OpenAI、Moonshot AI関係者に関連する推論抽出キャンペーンを阻止

Ravie LakshmananOct 01, 2026人工知能 / 脆弱性

OpenAIは水曜日、同社の人工知能（AI）モデルから保護された推論を不正に抽出するように設計された、調整された蒸留（distillation）キャンペーンを特定し、阻止したと発表しました。

7月の第1週にまで遡る「活動の中核クラスター」は、北京に拠点を置く中国のAI企業であるMoonshot AIに関連する個人によるものとされました。セキュリティ上の理由からか、この評価を裏付ける技術的な証拠は引用されていません。

「攻撃者は当社の暗号化を破ったり、データベースを侵害したり、保存されたユーザーの会話に直接アクセスしたりはしていません」とOpenAIは述べました。「その代わりに、利用規約に違反する調整された大規模な方法で、保護された推論を要求者に表示される形式で再現できるよう、モデルの相互作用を操作したのです。」

この活動は2026年7月1日に始まったとされ、当初は低ボリュームでしたが、2026年7月24日と25日に急増し、4,000人以上のユーザーから関連する抽出パターンを使用した16,000件の試行リクエストが発生しました。さらなる調査の結果、同社は15,000人以上のユーザーにわたる関連する「プロンプトパターン活動」を特定したと述べました。このキャンペーンは2026年7月28日に完全に阻止されました。

このAI新興企業は、この活動を敵対的蒸留（adversarial distillation）と定義しました。これは、あるモデルの出力を体系的かつ無許可で使用して、別のモデルのトレーニング、再現、または改善を支援するものです。OpenAIはそれ以来、この攻撃に対抗するための追加の緩和策を導入し、活動に関与した不正アカウントを禁止したと述べました。

さらにOpenAIは、他人の暗号化された推論を既に所有している者がそれをリプレイして内容を復元することを可能にしていた「経路」を閉鎖したほか、推論を露出させる可能性のあるストリーミング出力を検出して保留するチェック機能を追加したと述べました。

2026年8月に発表された研究で、研究者グループは、暗号化された推論トレースを「プロバイダーのエコシステム内の異なるセッション、ユーザー、モデル間で完全に互換性があり、交換可能」にするアーキテクチャ上の脆弱性を発見しました。攻撃者はこれを悪用して、スケーラブルな復号ジェイルブレイクを開発し、蒸留防止メカニズムを回避できる可能性があります。

「特定のモデルからの暗号化された推論トレースを、同じプロバイダーのより弱く、保護が不十分なモデルに注入することで、より高性能なモデルを直接ジェイルブレイクすることなく、そのトレースを平文で逐一デコードして出力させることができます」と、MATS Research、ELLIS Institute Tübingen、Synkの研究者たちは述べました。