侵入せずに、問いかけだけで抜き取る——OpenAIが阻止した「モデル蒸留」の手口と、使う側が確かめること

要点

• OpenAIが2026年9月30日、モデルの非公開の推論を抜き取ろうとした組織的な活動を特定し、阻止したと公表しました
• 実行者は暗号を破らず、データベースにも入らず、保存された会話にも直接触れていません。モデルとのやり取りを操作するだけで、隠された推論を表に出させていました
• 7月24日・25日に4,000超のユーザーから16,000件のリクエストが集中し、関連する15,000超のユーザー群を7月28日までにすべて止めたとしています
• OpenAI自身が「この取り組みはまだ終わっていない」と書き、提携先がホストする環境への対策の展開を今後の課題に挙げています

何が新しいのか

「敵対的蒸留」は、あるモデルの出力や推論を無断で大量に集め、別のモデルの学習や再現に使う行為です。OpenAIが守ろうとしたのは、最終回答の手前でモデルが作業する際の内部記録で、発表文はこれを「protected reasoning（保護対象の推論）」と呼んでいます。

今回の特徴は、システムへの侵入がなかった点です。手口の一例として、ある会話から暗号化された推論をコピーし、別の会話でモデルに復号と書き起こしを頼む方法が挙げられています。独立したセキュリティ研究者からも、モデル間のやり取りや会話の圧縮（コンパクション）に関わる脆弱性の報告があり、OpenAIは攻撃経路が実在することを確認しました。

OpenAIは、活動の中核となった一群を、Kimiの開発元であるMoonshot AIの関係者によるものと「判断している」と書いています。全員が同じ主体だったかは不明としています。

※ 16,000件などの数字は抜き取りの「試行」の数で、成功した数ではないと脚注にあります。

仕組み

発表文が挙げる対応は、次の3つです。

1. アカウントを止める

不正なアカウントを停止・制限し、新規登録とインフラの管理を強めました。関連するネットワークの監視も広げています。

2. 推論の守りを、利用者・組織をまたいで固める

利用者、ワークスペース、組織、モデルファミリーをまたいで、非公開の推論の保護を強めました。他人の暗号化された推論を手に入れた者が、それを再送して中身を取り出せる経路を閉じています。推論が漏れるおそれのあるストリーミング出力を検知して送信を保留する確認も加えました。

3. 経由先や業界と共有する

活動がサードパーティのサービス経由に移った際は、その提供者と協力してアカウントを特定しました。調査結果はFrontier Model Forumと政府の情報共有経路にも渡しています。

企業のAI活用にとっての意味

1. 「侵入されていないから安全」とは言えなくなりました。

今回の攻撃は、正規の窓口からの問いかけだけで進みました。社内向けにAIアプリやエージェントを作る会社にも、同じ考え方が当てはまります。システムプロンプトや社内文書のように「回答には出さない情報」を持たせるなら、やり取りの操作で引き出される前提で、何を持たせるかを決めておく必要があります。

2. 推論や会話の記録を「持ち運べる」設計は、点検の対象です。

発表文は、推論の記録を持ち出したり再送したりできるシステムにも、関連するリスクがあり得ると書いています。会話の圧縮や、別の会話・別のエージェントへの引き継ぎを自社で組んでいる場合は、その記録を誰が読めて、どこへ再送できるかを洗い出してください。

3. 経由する事業者ごとに、対策の反映時期を確かめます。

OpenAIは、提携先がホストする環境にも自社サービスと同じ保護が要るとし、クラウドの提携先への展開を続けると書いています。クラウド事業者や他社サービスを経由してモデルを使っている会社は、今回の対策がいつ反映されるのかを契約先に問い合わせておくと、社内への説明がしやすくなります。

※ 本記事の内容は、OpenAIが2026年9月30日に公開した発表文の記述に基づきます。活動主体の判断はOpenAIによるもので、対策の範囲と時期は今後変わる可能性があります。最新の内容は一次情報をご確認ください。

※ この記事は海外の一次情報（発表元の公式発信）のみを出典とし、内容を確認のうえ掲載しています。