自らを「ChatGPT」と名乗った中国モデル――蒸留疑惑はどこまで証明されているのか

米財務長官が中国AIの「蒸留」を「窃盗」と批判し制裁を警告。ChatGPTを名乗るモデルの出現、Anthropicが公表した1,600万回のAPI交信、さらに透かしの「放射性トレース」──中国AIへの非難を支える技術的根拠を一つずつ検証する。

2026年7月21日、米財務長官スコット・ベッセントは経済番組で、ひとつの技術用語を持ち出して「窃盗」と言い切った。「非常に専門的なAIの言葉で蒸留(distillation)と呼ぶが、あなたや私の感覚では、これは盗みだ」。中国発のオープンな大規模言語モデルが米国勢に肩を並べ始めたこの数か月、米政府はついに制裁をちらつかせた。発言の5日前、中国のMoonshot AIが公開した2.8兆パラメータのモデルKimi K3は、あるコード生成の競技会で米国の最上位モデルをすべて抜き去り、重みを公開したモデルとして初めて最前線に並んでいた。

この「蒸留は窃盗だ」という主張が、技術と証拠の上でどこまで立つのか。中国の官製メディアは米側の非難を「根拠がない」と切り捨て、政治的な締めつけにすぎないと報じている。だが、本当に根拠がないのか、それとも具体的な証拠が残っているのか。株価や制裁の効き目ではなく、モデルがどう学び、盗みがどう見つかるのかという技術の底まで下りて、その線引きを確かめたい。争点は単純だ。知能を後から安く手に入れる手口が、正当な技術なのか、それとも他社の成果の吸い上げなのか、という一点にある。

蒸留は盗みか、技術か ― 教師と生徒、二つの学ばせ方

蒸留は、それ自体としては機械学習のごくまっとうな技術だ。大きく賢い「教師」モデルの振る舞いを、小さく軽い「生徒」モデルに写し取る。巨大なモデルの知恵を、動かす費用の安いモデルへ移すのが狙いである。ややこしいのは、蒸留という一語がまるで性質の違う二つのやり方を指していて、今回の非難が名指しするのはそのうち片方にすぎない点だ。

ひとつめが、ソフトラベル蒸留と呼ばれる方法だ。教師モデルが次にどの語を出すかを決める内部の確率分布(専門的にはロジットと呼ぶ数値の並び)を、生徒にそっくり真似させる。正解そのものだけでなく、「この語が最も確からしいが、あの語もそこそこ有り得る」という教師の迷いや自信の度合いまで写せるので、ここには「暗黒知識(dark knowledge)」と呼ばれる濃い情報が乗る。ただ、この方法には教師の内部数値、つまり重みやロジットへ直接触れることが要る。OpenAIやAnthropicの非公開モデルに、外部の人間がそれを行う術はない。

もうひとつが、系列レベル蒸留、別名ハードラベル蒸留だ。教師の内部はいっさい覗かず、教師が実際に吐き出した「答えのテキスト」だけを大量に集めて、それを教材に生徒を鍛える。教師に質問を投げ、返ってきた文章を集め、その問答の山で自社モデルを仕上げる。中身が見えなくても、対話の窓口(API)さえ叩ければ成り立つ。今回、中国勢が疑われているのは、このもうひとつのやり方のほうだ。ChatGPTやClaudeに膨大な問いを浴びせ、返答を刈り取って自社モデルの養分にしたのではないか、という嫌疑である。蒸留が正当な技術であることと、他社の有料の窓口を規約に反して吸い上げてよいかどうかは、まったく別の問題だ。

自らを「ChatGPT」だと言い張ったモデル

疑惑が最初に形をとったのは、2024年12月のことだ。中国DeepSeekが公開したDeepSeek V3に「あなたは何者か」と尋ねると、モデルは自分をOpenAIのChatGPTだと名乗った。ある検証では8回のうち5回、自分はGPT-4版のChatGPTだと言い張り、GPT-4がよく口にするのとよく似た冗談まで返した。DeepSeekのAPIについて問うと、代わりにOpenAIのAPIの使い方を説明したという(TechCrunch)。

なぜこうなるのか。モデルは、学習データの中で何度も出会った「自分は何者か」という記述を、そのまま自分の素性として取り込む。訓練の教材にChatGPTの出力が大量に混ざっていれば、モデルは自らをChatGPTだと思い込む。翌月に登場したDeepSeek R1が、推論の性能で当時のOpenAI o1に肩を並べながら、訓練費用はその一部と報じられたことも、既存モデルの出力を教材にすれば近道ができるという見方を後押しした。

ただし、この自己同一性の漏れは決め手にはならない。いまやインターネットはChatGPTの生成物であふれ、公開されたウェブをかき集めて学習しただけでも、モデルは他社の素性を吸い込んでしまう。AI Now研究所の主任科学者ハイディ・クラーフらは、こうしたデータの汚染が、意図的な蒸留と見分けのつかない痕跡を残すと指摘する(TechCrunch)。モデルがChatGPTを名乗ったことは、状況証拠にはなっても、盗みの物証ではない。より重い証拠は、別の場所に残っていた。

1,600万回の交信、2万4千の偽アカウント ― Anthropicが出した帳簿

状況証拠と物証を分けたのは、モデルの中身ではなく、窓口に残ったアクセスの記録だった。2026年2月23日、AnthropicはDeepSeek・Moonshot AI・MiniMaxの中国3社が、産業規模の蒸留を仕掛けていたと公表した。同社の集計では、3社は約2万4千の不正なアカウントを使い、Claudeと合わせて1,600万回を超えるやり取りを重ねていた。中国からClaudeへの商用アクセスは規約で止めてあるにもかかわらず、3社は商用のプロキシ業者を挟んでその制限をすり抜け、数万のアカウントを同時に走らせていたという(CNBC)。数か月後の6月24日には、AnthropicはAlibabaについても、AI能力を「あからさまに」「不正に」抜き取ろうとしたと名指しした(CNBC)。

OpenAIの側にも似た記録がある。Microsoftのセキュリティ研究者は2024年の秋、DeepSeekに関係するとみられる人物たちが、OpenAIのAPIを通じて大量のデータを外へ吸い出す様子を捉えた。規約に反する動きだった(SCMP)。トランプ政権でAI政策を担うデービッド・サックスは2025年1月、DeepSeekがOpenAIモデルの出力に頼って自社技術を育てた「相当の証拠がある」と語っている(Techmeme/Bloomberg)。翌年、OpenAIは議会の対中特別委員会に出した文書で、DeepSeekの従業員が第三者の中継サーバーなどでアクセス制限を回避し、ChatGPTの仕組みの上で自社モデルを訓練したと主張した(FDD)。

これらの記録は、モデルがChatGPTを名乗ったという状況証拠とは、そもそも質が違う。アカウントの数、やり取りの回数、プロキシによる規約回避。どれも窓口の側にはっきり残った、数えられる痕跡だ。中国の官製報道が繰り返す「根拠がない」という評価は、少なくともこの記録の前では通らない。

透かしは、蒸留を生き延びるのか ― 放射性トレースという新技術

ベッセントの発言には、技術として検証すべき一節がある。彼は「我々の大規模言語モデルの透かし(watermark)を、多くの中国モデルの中に見つけている」と述べた。テキストの出力に、生徒モデルの再訓練をくぐり抜けて残る透かしを仕込めるのか。ここが、盗みを物証として示せるかどうかの分かれ目になる。

この問いに、近年の研究は「条件つきでできる」と答える。鍵になるのが「放射性(radioactive)」と呼ばれる性質だ。教師モデルが文章を作るとき、次の語をほんの少し特定の向きへ偏らせる統計的な信号を、人には気づかれない形で紛れ込ませる。競合他社がその出力を教材に生徒モデルを訓練すれば、生徒はこの偏りを「受け継いだトークンの癖」として引き継ぐ。訓練後のモデルからこの癖が見つかれば、それが他社の出力で鍛えられた証拠になる。2025年から2026年にかけて出たTextSeal、GoogleのSynthID-Text、Gumbel-Maxといった手法は、どれもこの透かしが蒸留をくぐり抜けて生徒に伝わることを実証した(TextSeal, arXiv)。原理の上では、ベッセントの主張は絵空事ではない。

ただ、この刃は両側を斬る。米企業がこうした放射性の透かしを自社の全出力に本番で使っていると、公に裏づけられた事実はない。仮に仕込んであっても、生成文を別の言葉に置き換える「言い換え攻撃」や中和の手法で、受け継がれた信号は消せることがある。検出の確からしさが、透かしのない文章と見分けのつかない水準まで落ちる場合があると報告されている(同研究群)。ベッセントは「透かしを見つけた」と言い切ったが、その検出データは表に出ていない。盗みを物証として示す道は確かにある。だが米政府がその道を実際に歩き切ったことは、まだ公には示されていない。

「窃盗」の物差しは、誰の手にあるのか

盗みという言葉を持ち出す以上、その物差しが公平かどうかも問われる。米国の主要なモデル自身が、大量の著作物や、無断で集められたウェブ上の文章で訓練されてきた。ニューヨーク・タイムズがOpenAIを訴えた一件は、その一例にすぎない。他人の書いたものを断りなく学習に使うという点だけを取れば、米企業もまた同じ土俵に立っている。

線を引くとすれば、公開されたウェブを広く学ぶことと、他社の有料の窓口を規約に反して狙って吸い上げることの間だろう。前者の是非は各国の法廷でなお争われる未決の問題で、後者は契約違反という、輪郭のはっきりした行為だ。Anthropicが突きつけたのは後者、つまり規約で禁じた商用アクセスを、偽アカウントとプロキシで回避した記録だった。「知的財産の窃盗」という重い言葉が、著作権法上の窃盗を指すのか、それとも契約違反を指すのかで、非難の意味はまるで変わる。米側の主張が最も強いのは、著作権の一般論ではなく、規約回避という具体の一点においてだ。

追いついた側の現実 ― Kimi K3が示す、抑え込みの効かなさ

証拠をめぐる議論とは別に、米国が制裁まで踏み込む本当の理由は、追う側が現に追いついたことにある。Moonshot AIが2026年7月16日に公開したKimi K3は、2.8兆パラメータを積む、重みを公開したモデルとしては史上最大級だ。混合エキスパート構造を採り、100万トークンの文脈を扱い、文章も画像も動画も受け取る。前線コード生成の競技会では1,679点で首位に立ち、Claude Fable 5やGPT-5.6 Solを抜いた。総合的な知能指数でも189モデル中4位に食い込み、米国の最上位級と肩を並べる。7月27日には、重みそのものの公開も予告されている(VentureBeat・Tom's Hardware)。

かりに出発点に蒸留があったとしても、いま最前線に並ぶモデルを、誰もが手元に落として動かせる形で配る。中国のオープンなモデルは、そこまで来た。ニューヨーク大学名誉教授で著名なAI批評家のゲイリー・マーカスは、7月20日の論考で、中国のモデルが米国の最先端に「ほぼ追いついた」とし、米国がこの競争に「勝つ」ことはもう不可能だと論じた。AIを勝ち負けのゼロサムとして扱うのをやめ、国際協調と公共財の道を探るべきだ、というのが彼の主張だ(Marcus on AI)。片やAnthropicのダリオ・アモデイは、輸出規制こそ世界が一極になるか二極になるかを決める最大の要因だとして、規制の強化を訴え続ける(Dario Amodei)。追いつかれた現実を前に、米国内でも「囲い込む」か「開く」かで、処方箋は割れている。

「根拠がない」という主張が、帳簿の前で崩れる

中国の官製メディアが繰り返す「米側の非難は根拠がない」という評価は、二つの点で事実の記録とぶつかる。Anthropicは匿名の憶測ではなく、アカウント数とやり取りの回数という、数えられる帳簿を公表した。放射性の透かしは、盗みを物証として示す技術が現に存在することを、査読を経た研究が裏づけている。非難の側には、少なくとも検証できる足場がある。

同時に、その物差しはもう一方の主張にも向く。ベッセントの「透かしを見つけた」という断言は、公開された検出データを伴わず、法廷で通る証拠にはまだ遠い。モデルがChatGPTを名乗る現象は、意図した蒸留とウェブの汚染を切り分けられない。米側もまた、政治の都合から、証拠より半歩先で言葉を強めている。読者に残るのは、どちらの政府の掛け声を信じるかではなく、どの主張がどの証拠に支えられているのかを、段階を分けて見る目だ。掛け声への最も強い反論は、別の掛け声ではない。一冊の帳簿だ。Anthropicは数字を出した。次に問われるのは、米政府が「透かしを見つけた」と言うのなら、その帳簿もまた公に開けるのか、である。

本記事は、ベッセント財務長官の発言(Bloomberg・TechCrunch)、蒸留の技術機構(MarkTechPost)、DeepSeek V3の自己同一性の漏れ(TechCrunch)、Anthropicの産業規模蒸留の公表(CNBC・CNBC/Alibaba)、OpenAI・Microsoftの調査(SCMP・FDD)、放射性透かしの研究(TextSeal, arXiv・arXiv)、Kimi K3の仕様(VentureBeat)、ゲイリー・マーカスの論考(Marcus on AI)を一次情報として独自に検証・構成した。技術の記述は各出典に基づき、株価や市場の数字は本稿の対象外とした。係争中の主張は、証拠の段階を明示して事実と区別した。