AI・テクノロジー

Kimi「代理回答」疑惑——顧客のプロンプトが裏でClaudeに流れていた

Anthropicは2026年9月10日、中国Moonshot AIのKimiがユーザーのリクエストを裏でClaudeへ転送していたと主張した。ある10日間で約30万件。「代理回答」疑惑は、ホスト型AIでは誰が答えたかを検証できない構造を突きつける。

claude

• 8 min read
Share

あなたがKimiに投げた質問に答えたのは、本当にKimiだったのか。

2026年9月10日、Anthropicが公開した脅威インテリジェンス報告は、その問いを現実のものにした。同社の主張によれば、中国Moonshot AIは自社サービスが受け取った顧客のリクエストを、裏でClaudeのAPIへ転送していた。ある10日間で約30万件。使われたのは5,380個の不正アカウントで、その大半はシンガポールや日本に所在するように見せかけられていたという。

これは2026年2月から続く「モデル蒸留疑惑」とは質が違う。蒸留は「他社モデルの出力で自社モデルを学習させる」という、学習データの出自をめぐる問題だった。今回指摘されているのは、推論のたびにリアルタイムで他社モデルを呼んでいたという話であり、利用者が受け取った回答そのものの出所が問われている。

背景——2月の第一弾から9月の第二弾へ

Anthropicがこの問題を公表したのは今回が初めてではない。

2026年2月23日、同社は「Detecting and preventing distillation attacks」と題する報告で、DeepSeek・Moonshot AI・MiniMaxの3社を名指しし、約24,000個の不正アカウントを通じて1,600万件超のやり取りが生成されたと公表した。Moonshotに帰属したのは340万件超。帰属の決め手のひとつは、リクエストのメタデータが同社幹部の公開プロフィールと一致したことだったとされる。

9月10日の報告は、対象期間を2025年12月から2026年8月に広げたものだ。規模は桁が変わった。

  • 蒸留関連とみられる交信は全体で約2億件、5つのキャンペーンに帰属
  • Alibaba（Qwen向け）が2026年5〜7月で1億5,100万件、3,500超のアカウント、ピーク時は1日約300万件
  • Moonshot AIが同期間で2,300万件超
  • DeepSeekが1,210万件、Zhipu AIが340万件超、Xiaomiが1,500アカウントで40万超の開発者セッション再生

Anthropicは国家安全保障上の理由で中国国内向けに商用提供をしておらず、これらはすべて商用プロキシ業者を経由した回避だったと説明されている。1つのプロキシ網が同時に2万超の不正アカウントを運用していた例もあったという。

同じ9月上旬、FBI・NSA・CISAが中国企業6社による産業規模の蒸留を指摘する合同勧告を出し、中国商務省は9月9日に「事実的・法的根拠を欠く」と反論した。蒸留は「本質的に中立な技術手法」であるというのが中国側の立場だ。

「代理回答」とは技術的に何をしていたのか

報告のなかで最も新しい論点が、リクエストのルーティング——いわゆる代理回答である。

構造そのものは単純だ。KimiのUIやAPIでユーザーのプロンプトを受け取り、それを自社モデルに流さず、不正アカウントとプロキシを経由してClaude APIへ中継する。返ってきたClaudeの回答をKimiの出力として表示し、その往復ログを学習データとして保存する。狙われたのは主にOpus系で、能力領域としてはエージェント的推論とツール使用、コーディング、データ分析、computer-useエージェントあたりが中心だったとされる。

もうひとつ、Anthropicが指摘した手口が興味深い。Claudeは内部の推論トレースをそのまま返さず、「thinking signature」と呼ばれる参照値を返す設計になっている。Moonshotはこの署名を保存し、新しいセッションを開いてClaudeに元の推論を再構成させたとされる。クロスセッション・リプレイ攻撃と呼ばれる手法だ。単に答えを盗むのではなく、答えに至る過程を復元しようとしていたことになる。

検出側についても、Anthropicは手法の概要を公開している。

  • IPアドレスの相関
  • リクエストメタデータと実在人物の公開プロフィールの一致
  • インフラ指標と同業他社からの裏付け
  • トラフィックパターン分類器（狭い能力領域への異常な物量集中、高反復な構造）
  • 多数アカウントを横断する協調行動の検出

Alibabaの3,500アカウントが1本のキャンペーンとして束ねられたのは、それらが単一の固定プロンプトを共有していたからだという。なお、コミュニティでよく語られる「トークナイザの指紋」や「モデルに自分の名前を名乗らせる」といった検証手法は、今回Anthropicが挙げた検出手段のなかには確認できなかった。

Anthropicの告発をどう受け止めるか——検証されていない点

事実認定はまだ終わっていない。ここは慎重に見るべきところだ。

根拠はすべてAnthropic自身のテレメトリである。 生ログも、送信元がKimiのどのサービスだったのかも、Kimiのトラフィックのうち何パーセントが転送されていたのかも公開されていない。第三者機関や規制当局による検証も、現時点では確認できない。Anthropicは紛争の当事者であり、証拠を独占している側でもある。

一方のMoonshot AIも、告発そのものへの正面からの反論は見えていない。同社が9月12日に公表したのは、創業者や従業員に関してネット上で流れた情報を「完全な捏造で悪意ある中傷」として公安に通報したという内容で、代理回答の事実関係に直接答えたものではなかった。なお同社は前日の9月11日、Kimi CodeにK2.8 Previewを投入している。

論点を整理すると、少なくとも4つの軸がある。

  1. ベンチマークの信頼性：代理回答が事実なら、ホストされたKimiのスコアは「Kimiの実力」を測っていないことになる。ただしこの告発が直撃するのはAPIサービスとしてのKimiであって、公開されたオープンウェイトそのものではない。自分でウェイトを回して測った数字は、代理回答の影響を受けない。
  2. 検証可能性：ウェイトを公開していることは「誰でも検証できる」という反論材料になる。しかし学習データの出自はウェイトからは読み取れず、蒸留の有無は依然として証明が難しい。
  3. 規約か法律か：「出力を学習に使うな」は各社の利用規約上の制約であって、著作権法上の決着がついた話ではない。
  4. データガバナンス：そして今回、問題は規約論争を超えた。Kimiを選んだユーザーのプロンプトが、同意なく米国企業のサーバへ渡っていたことになるからだ。実際に転送されたなかには、成都の防犯カメラ映像を解析させようとしたものや、内部コードと有効な認証情報を含むものがあったとされる。

影響・今後——ローカルLLM／セルフホスト勢にとっての実務的な意味

この件が自宅サーバーでモデルを動かしている読者に突きつけるのは、シンプルな事実だ。

ホスト型サービスでは「どのモデルが答えたか」を利用者が原理的に検証できない。 APIの向こう側で何が起きているかは、ベンダーの申告を信じるしかない。今回のような疑惑が出たとき、利用者の側に反証する手段がない。

手元でウェイトを回せば、そこだけは確定する。これはセルフホスティングの再評価材料になる。具体的にできることを挙げておく。

  • 同一プロンプトを2経路で流す：ベンダーAPIと、llama.cppやvLLMで動かした自前推論の両方に同じ入力を投げ、出力傾向・レイテンシ・思考ブロックの形式を突き合わせる。乖離が大きければ何かが違う。
  • ベンダー公表ベンチではなく自分のタスクで測る：モデル素の能力と、プロンプトやツール説明、文脈管理の効き方は別物だ。実際に使う構成で事前検証する。
  • 量子化まで含めた挙動一致を見る：正解率だけでなく、同じ入力に同じ振る舞いを返すかという観点で評価する。
  • 機密案件はローカルに寄せる：業務データを外部APIに投げる場合、ベンダーが再委託・転送していないかは規約でしか担保できない。今回の件は、その判断を後押しする材料になった。

今後の焦点は、第三者による検証が成立するかどうかだろう。現状は告発者がログを独占し、被告発者が別件の否定声明を出し、両国政府が別々の言い分を述べている状態で、技術的な事実認定と地政学が分かちがたく絡んでいる。中立の検証機関が存在しないことが、この構図の一番の弱点だ。

よくある質問（FAQ）

「代理回答」と「モデル蒸留」は何が違うのか

蒸留は、強いモデルの出力を集めて弱いモデルを学習させる手法で、学習段階の話である。代理回答は、ユーザーからリクエストを受けるたびにリアルタイムで他社モデルのAPIを呼び、その回答を自社の出力として返す運用を指す。前者は「どう作ったか」、後者は「いま誰が答えているか」の問題であり、後者のほうが利用者にとって直接的な影響が大きい。

Kimiのオープンウェイトを自分で動かしている場合も影響を受けるのか

今回Anthropicが指摘したのは、Moonshot AIが運用するホスト型サービスのトラフィックについてである。公開されたウェイトを自分のマシンにダウンロードして推論する場合、外部APIへ中継される経路は存在しないため、代理回答の影響は受けない。ただし、そのウェイトが他社モデルの蒸留で作られたかどうかという別の疑惑は、ウェイトを見ただけでは判定できない。

Moonshot AIは疑惑を否定しているのか

代理回答という告発そのものへの正面からの反論は、本記事執筆時点で確認できていない。同社が9月12日に公表したのは、創業者や従業員に関するネット上の情報を捏造として公安に通報し法的措置を取る、という内容だった。Bloombergの初報時点では、同社はコメントを控えたとされる。

Anthropicの主張はどこまで検証されているのか

公表されている根拠はAnthropic自身のテレメトリ（IPアドレスの相関、リクエストメタデータ、トラフィックパターンなど）であり、生ログは公開されていない。第三者機関や規制当局による独立した検証は確認できていない。司法判断も出ていないため、現時点では「Anthropicの主張」として扱うのが妥当である。

ベンダーのAPIを使うとき、自分のプロンプトが第三者に渡らない保証はあるのか

技術的に検証する手段は利用者側にはなく、実質的には利用規約とベンダーの申告に依存する。今回の件は、その依存がどこまで信頼できるかを問い直す事例になった。機密性の高いデータを扱う場合は、ローカル推論やオンプレミス構成を選ぶ判断が現実的な対策になる。

まとめ

Anthropicの9月報告は、規模の数字（約2億件、5,380アカウント、10日で30万件）が目を引くが、本質的に新しいのは「代理回答」という指摘だ。学習データの出自をめぐる争いから、推論のたびに何が起きているかという運用の問題へ、論点が移った。

事実認定はまだ終わっていない。告発者がログを独占し、被告発者は別件の声明で応じ、第三者検証は存在しない。だからこそ、この件から引き出すべき教訓は「どの会社が悪いか」ではなく、ホスト型AIサービスでは利用者が中身を検証できないという構造そのものにある。

手元でウェイトを回すことは、性能でもコストでもなく「何が答えているかを自分で確定できる」という一点において、いまあらためて意味を持っている。

参考ソース

関連記事