2026年9月、にわかには信じがたい話が明るみに出た。「DeepSeekを使っているつもりが、その質問は米国のClaudeへ送られていた」——ブランド名を信じただけでは防げない、AIの"裏側"の話である。
まず3行で
- 中国系AI 7社が、無許可で米国トップAIの出力を吸い上げていた（蒸留＝ディスティレーション）とAnthropicが公表。
- 利用者の一部は、選んだはずのAIではなく、裏側で別のモデルに質問と機密情報を渡していた。
- 教訓は「中国だから」ではない。クラウド型AI全般で、データの"経路"を疑うべきだ。
何が起きたのか——時系列と転送の仕組み
発端は、Anthropicが公開したAI悪用の脅威レポート「Detecting and countering misuse of AI」の2026年9月版だ。2025年12月から2026年8月までに検知・遮断した不正を、7つの領域にわたってまとめている。
- 2025年12月〜2026年8月：一連の不正アクセスを検知・遮断した対象期間。
- 2026年5〜7月：ある中国大手経由で観測されたやり取りが最大規模に。ピーク時は1日あたり約300万件。
- 2026年7月（14日間）：別の中国製AI経由で1210万件超を観測。
- 2026年9月10日：脅威レポートを公開し、中国系7社を実名で名指し。
利用者は中国製アシスタント「Kimi」と会話しているつもりだった。ところが一部のリクエストは、その裏で米国のClaudeへ転送されていたという。
このアシスタントを手がけるのは北京のMoonshot。返ってきた回答を、あたかも自社モデルの回答であるかのように利用者へ表示していた——とAnthropicは説明する。
その規模は、わずか10日間で約30万件の顧客リクエスト。大半を上位モデルのClaude Opusが処理していたとされる。
同じ構図はDeepSeekでも確認されたという。外部の開発ツール経由で来た一部のリクエストを選別し、上位モデルへ転送していた。
【誤解に注意】これらの中国製AIが「丸ごと他社モデルの皮をかぶった製品（ラッパー）」だったわけではない。あくまで"特定の通信だけ"を転送していた、というのが報告書の内容だ。ここを混同すると事実を見誤る。
名指しされた中国AI 7社
報告書が実名を挙げたのは、以下の7つのAIラボ。手口の中心は、高性能AIの出力を大量に集めて自社モデルの教師データにする「蒸留（ディスティレーション）」だ。
| ラボ名 | 観測された規模・特徴 |
| Alibaba（アリババ） | 最大規模。5〜7月に1.51億件超を観測。3500超の不正な利用者名を使い、自社モデル群（Qwen系）の推論力強化に使ったとされる。 |
| Moonshot（ムーンショット） | 5〜7月に2300万件超。10日間で約30万件の顧客リクエストを転送。監視データ流出の事例も報告。 |
| DeepSeek（ディープシーク） | 7月の14日間で1210万件超。開発ツール経由の通信を選別・転送。中継データに認証情報の混入も。 |
| 智譜（Zhipu） | 次世代モデル公開前の能力を狙った収集に関与したとされる。 |
| Xiaomi（シャオミ） | 会話を収集。ただし主に訓練データ作成が目的で、回答をそのまま返した証拠はないと区別された。 |
| SenseTime（センスタイム） | 異色の手口。第三者データ業者から、やり取りの記録を直接購入。 |
| MiniMax（ミニマックス） | 代理サーバー網（プロキシ網）を用いた収集に関与。 |
何が漏れていたのか——中身の深刻さ
件数もさることながら、深刻なのは中身だ。転送・収集された会話には、氏名やアドレス、企業の内部資料、ソースコード、そして実際に使える認証情報（クレデンシャル）まで含まれていたとされる。
とりわけ衝撃的なのが、監視カメラ映像をめぐる事例だ。中国の治安・軍関係とみられる利用者が、ある人物を追跡するための映像を読み込ませたところ、そのデータが転送先の米国モデルにまで届いていた、と報告書は指摘する。
「担当者が社内の開発資料を分析させたら、その中身が国外のモデルへ流出した」という構図は、報告書が挙げる企業内部文書・内部コードの混入と符合する。ただし、どの企業のどの案件かという個別特定までは公表されていない。断定ではなく"含まれていた事例がある"という水準で受け止めたい。
これは「事実」なのか——鵜呑みにしない3点
センセーショナルな話ほど、立ち止まって出所を確かめたい。押さえるべきは次の3点だ。
- ① 出所は一方の当事者。これはClaudeを運営するAnthropic自身の調査・主張であり、独立した第三者による司法的な確定ではない。
- ② 相手側の反論。名指しされた各社の多くは取材にコメントせず、中国側は「蒸留への非難には事実・法的根拠がない」と反論している。数値や帰属（アトリビューション）の確定は今後の検証待ちだ。
- ③ 数字の読み方。「10日間で30万件」と「5〜7月で2300万件」は集計期間も対象範囲も別物。異なる指標を単純に足し引きしないこと。
とはいえ、複数の独立系メディアが報告書を基に報じており、事件の骨格——無許可の蒸留と、一部トラフィックの転送——自体は広く共有されている。
「中国だから危険」で終わらせてはいけない
ここで話を「中国製AIは危ない」で締めると、本質を見失う。今回の主役は"蒸留という特定の不正行為"であって、クラウド型AIを使うこと自体のリスクは、ブランドの国籍とは別の問題だ。
外部のクラウドAIに何かを入力する——それはChatGPTでもClaudeでも、入力した情報が自社の管理境界の外へ出る、ということを意味する。「学習に使われない＝外部に出ていない」ではない。
金融システムの世界には「障害の切り分け（フォールトアイソレーション）」「最小権限（リースト・プリビレッジ）」「監査証跡（オーディットトレイル）」という発想がある。AI利用も同じで、"ブランド名"ではなく"データがどこへ流れ、誰が触れ、記録が残るか"で評価すべきだ。
「DeepSeekだから危険」「OpenAIだから安全」——この単純な二分法こそ、最も危うい。判断基準はブランドではなく、データの経路と統制である。
企業でAIを使うときの実践チェックリスト
では、業務でAIを使うなら何を見るべきか。社名の印象ではなく、次の観点で"経路"を点検したい。
- 保存と削除：入力と回答は保存されるか、いつ消えるか。保持期間を契約で確認する。
- 学習利用：入力がモデルの再学習に使われない設定・契約か。既定値（デフォルト）を必ず点検する。
- アクセス経路：どの事業者・下請け（サブプロセッサ）が中身に触れられるか。転送先が別の国・別の会社になっていないか。
- 管轄と法域：データがどの国の法域（ジュリスディクション）に置かれるか。本社の所在地ではなく、実際のサーバー所在地で見る。
- 最小権限：AIに渡すのは業務に必要な最小限だけ。認証情報や本番データは原則入れない。
- 監査証跡：誰が何を入力したかを記録・追跡できる仕組みを社内に持つ。
- 出口の設計：機密度の高い用途は、構内設置（オンプレミス）や閉域で完結するモデルを検討する。
まとめ——恐れるべきは"社名"ではない
「Kimiのはずが、クラウド越しにClaudeへ」。今回の一件は、AIのブランド名がいかに当てにならないかを突きつけた。
だが教訓は中国に限らない。外部AIに何かを打ち込むたび、あなたの情報は"どこかの誰か"のサーバーに着地している。恐れるべきは特定の社名ではなく、経路が見えないまま機密を手渡してしまう、その無自覚さのほうだ。
