【BASIC SYNC】その AI の「中身」は誰のモデルか — 契約で送り先を確かめる

米 Anthropic は 2026 年 9 月 10 日に公表した脅威インテリジェンス報告書で、中国の Moonshot AI が自社の AI「Kimi」に届いた利用者の依頼を、利用者に知らせないまま Claude へ転送し、その回答を Kimi のものとして表示していたと指摘した。報告書によれば、ある 10 日間だけで約 30 万件の依頼が 5,380 個の不正アカウントを経由して中継されたという。契約した AI サービスが裏でどの会社のモデルに入力を渡しているのか。これは遠い国の出来事ではなく、導入企業が契約と規約で確かめておくべき調達の基本項目だ。

何が起きたか — 看板のモデルと、答えていたモデルが違った

The Next Web によると、今回の報告書は Anthropic の Threat Intelligence チームが 2025 年 12 月から 2026 年 8 月までに検知し、遮断した Claude の悪用事例をまとめたものだ。サイバー攻撃や世論工作と並んで「不正な蒸留(Illicit distillation)」の章が設けられ、そこで名指しされたのが Moonshot AI である。

Anthropic の主張は次のとおり。Moonshot AI は顧客からの依頼を自社の Kimi モデルで処理せず、黙って Claude に転送し、返ってきた回答をあたかも Kimi が生成したかのように表示していた。ある 10 日間で約 30 万件の依頼を、5,380 個の不正アカウントからなるネットワーク経由で中継したとされる。Unite.AI は、Moonshot AI によるやり取りが 2026 年 5〜7 月に 2,300 万件を超えたこと、Claude の推論過程を抜き出す手口も使われたことを伝えている。

Moonshot AI に対する同種の指摘は初めてではない。Anthropic は 2026 年 2 月 23 日にも、Moonshot AI が複数の経路にまたがる数百の不正アカウントを使い、340 万件を超えるやり取りで Claude の能力を引き出そうとしていたと公表している。いずれも現時点では Anthropic 側の主張であり、本稿もその前提で扱う。

技術の要点 — 「蒸留」と「転送」は利用者から見えない

蒸留とは、性能の高い AI の回答を大量に集め、それを手本にして別の AI を鍛える手法を指す。TechCrunch が引いた報告書の一節は、無許可のラボがこの数か月、防御をかいくぐって米国の最先端モデルの能力を収穫するための手法を、ますます巧妙にしてきたと述べている。

経営層が押さえるべきは、手法の名前より構造のほうだ。利用者が画面で見ているのは Kimi という看板だけで、入力した文章がどの会社のサーバーに届き、どのモデルが答えを作ったのかは、画面からは分からない。AI サービスは自社開発のモデルだけでなく、他社モデルの API やクラウド事業者の基盤を組み合わせて作られることがある。組み合わせること自体は普通の設計だ。ただ、その送り先が契約書にも規約にも書かれていなければ、利用者は入力の行き先を知る手段を持たない。今回の件は、その「見えなさ」が最も悪い形で表に出た事例として読める。

経営層への影響 — 「どの AI を契約したか」だけでは足りない

社内で使う AI ツールを選ぶとき、稟議で比べられるのは価格、機能、画面の使いやすさであることが多い。しかし実際に入力されるのは、見積書、顧客とのやり取り、未公表の事業計画といった情報だ。契約相手が国内の信頼できる事業者であっても、その先で別の会社のモデルやクラウドに処理を委ねている可能性はある。正規の再委託として契約や公開文書に明記されていれば、それ自体は通常の取引の形だ。問題になるのは、書かれていない場合と、書かれていても導入側が読んでいない場合である。

確認の入口になるのが「サブプロセッサ(再委託先)」の一覧だ。法人向けのクラウドサービスでは、データの処理を任せる外部事業者を一覧で開示し、変更時に通知する運用が珍しくない。AI サービスでも、契約書、データ処理に関する合意書、利用規約で次の点を確かめておきたい。入力はどのモデル提供者に送られるか。どの国・地域で処理・保存されるか。入力がモデルの学習に使われるか。再委託先が変わるとき、事前に知らされるか。問い合わせや監査に応じる窓口があるか。

SYNCON の視点 — 看板ではなく、送り先を契約する

AI 導入の議論は「どのモデルが賢いか」に寄りがちだ。だが今回の報告書が突きつけたのは、利用者が選んだつもりのモデルと、実際に答えていたモデルが一致しないことがあり得るという点である。性能比較の表をいくら精緻にしても、その前提である「このサービスはこのモデルで動いている」が崩れれば、比較は意味を失う。調達の単位は看板ではなく、データの送り先の連鎖にある。

隠れた転送そのものを、書類だけで見抜くことはできない。それでも、開示された送り先を基準線として持っていれば、説明と実態の食い違いを問いただす足場になる。入力する情報の重さを知っているのは事業部門、条項を読むのは法務、「この送り先なら許容する」と決めるのは経営だ。確認を情報システム部門だけの仕事にしないこと。来週の経営会議で問うべきは、「いま社内で使っている AI ツールのそれぞれについて、入力が最終的にどの会社のどのモデルに届いているのかを、誰が一覧で答えられるのか」である。

要点まとめ

• Anthropic は 2026 年 9 月 10 日の報告書で、Moonshot AI が Kimi 利用者の依頼を知らせずに Claude へ転送していたと指摘
• 報告書によれば、ある 10 日間で約 30 万件を 5,380 個の不正アカウント経由で中継。いずれも Anthropic 側の主張
• 利用者が見ている看板と、実際に入力を処理するモデルは一致するとは限らない
• 導入時はサブプロセッサ(再委託先)一覧、処理地域、学習利用、変更通知の有無を契約と規約で確認
• 性能比較より先に、データの送り先を一覧で答えられる体制があるかを問う

情報ソース:
・Anthropic「Threat Intelligence Report」(2026 年 9 月 10 日)
・The Next Web「Anthropic’s Claude misuse report: spying, weapons and more」(2026 年 9 月 10 日)
・Unite.AI「Anthropic Details Disrupted Claude Misuse Across Seven Harm Areas」(2026 年 9 月 10 日)
・TechCrunch「Anthropic details distillation campaigns from Alibaba, Moonshot AI, and DeepSeek」(2026 年 9 月 10 日)
・Anthropic「Detecting and preventing distillation attacks」(2026 年 2 月 23 日)