DeepSeekなど中国AI6社を米政府が蒸留で名指し——罰する法律がない理由

1 米政府が名指しした中国AI6社——「蒸留」はなぜ国家安全保障の問題になったのか

米政府が名指しした中国AI6社——「蒸留」はなぜ国家安全保障の問題になったのか

米NSA・CISA・FBIが中国AI6社を産業規模の蒸留で名指しし、中国側は根拠なしと反発した
蒸留自体は正当な標準技術で、著作権も営業秘密も届かず、米国法上は現状犯罪ではない
それでも日本企業には稟議停止という形で影響が届き、リスクは米中どちらのモデル側にもある

2026年9月8日、米国のNSA（国家安全保障局）・CISA（サイバーセキュリティ・インフラセキュリティ庁）・FBIの3機関が、中国のAI企業6社を名指しする共同サイバーセキュリティ勧告AA26-251Aを公表した。

名指しされたのは、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの6社。容疑は「産業規模の蒸留キャンペーン」だ。

翌9日、中国商務省は「根拠がなく、法的裏付けもない」と反発した。ここで押さえておきたいのは、これが単なる米中の言い争いではないという点である。この告発には、罰する法律がない。

この記事では、蒸留とは何で、なぜ米政府は名指ししながら訴えなかったのか、そして日本企業が中国モデルの採用をどう判断すべきかを、勧告本体と一次資料をたどりながら整理する。

米3機関が名指しした6社と、その中身

勧告が主張する構図は明快だ。6社が2024年後半から2026年半ばにかけて、米国のフロンティアモデル（その時点で最先端の高性能AIモデル）に大量の質問を投げ、その回答を教材にして自社モデルを訓練した、というものだ。

対象として挙げられたのは、Claude、GPT、Gemini、Grok 4といった主力モデル群。DeepSeekは2024年後半以降、Moonshot AIは2025年半ば以降、Alibaba・MiniMax・StepFunが2025年後半、Z.AIが2026年半ばまでに、という時間差で並んでいる。

一斉行動ではない。先頭が成功したのを見て、後続が続いた形だ。

中国政府の関与について、勧告は断定していない。「中国政府が認識していた可能性が高い」という推定表現にとどめており、直接的な証拠は示されていない。

6社の中で1社だけ、手口の質が違う。MiniMaxについて勧告は、プロンプトインジェクションを使ってClaude Codeに「自分はMiniMaxの製品だ」と信じ込ませようとしたと記述している。

※ プロンプトインジェクション：AIへの指示文に細工をして、開発者が設定したルールを上書きさせる攻撃手法。

これは蒸留というより、なりすましだ。ほかの5社が「店に通い詰めて味を再現した」なら、MiniMaxは「厨房に入って、料理人に自分がうちの従業員だと思い込ませようとした」に近い。

中国側の反応は、勧告の翌日に出た。中国商務省の報道官は、米側の主張を「根拠がなく、法的裏付けもない」と批判し、蒸留は「AIモデル同士が相互に学び合う一般的な慣行」であり、米国企業も中国モデルを大量に蒸留していると開示している、と反論している。そのうえで「蒸留を口実に中国のAI企業を抑圧するなら、断固たる対抗措置を取る」と警告した。

つまり、双方とも証拠を出さないまま主張をぶつけ合っている状態である。

あわせて読みたい：DeepSeekだけじゃない——中国AI「八雄」全解剖

蒸留とは何で、なぜ「悪質」とされたのか

蒸留（知識蒸留）は、賢いAIにたくさん質問して、その答えを教材に別のAIを育てる手法だ。元のモデルの重みやソースコードには一切触れない。答えだけを集める。

超一流の料理人のレシピノートを盗むのではなく、その店に毎日通って全メニューを食べ尽くし、味を再現する。厨房には一度も入っていない。これが蒸留だ。

ここで大事なのは、蒸留そのものは、まったく正当な標準技術だという点。自社の大きなモデルから軽量版を作るのは日常業務であり、研究者が他社モデルの出力をベンチマークに使うのも普通のことだ。包丁と同じで、道具そのものに善悪はない。

では勧告は何を「悪質」と呼んだのか。挙げられたのは3つの指標だ。規模、領域の網羅性、そして検知回避の組織性。技術ではなく、やり方を問題にしている。

具体的な手口として記述されているのは、数千のアカウントを複数国に分散させること、正規API・クラウド・第三者アグリゲータ経由での迂回、「transfer stations」と呼ばれるAPIプロキシのグレー市場、法人サブスクの共有、不正アカウント作成とジェイルブレイク、リクエストの発信元情報の洗浄。

なかでも今回いちばん重いのは、思考過程まで抽出対象になっていた点だ。「完成した回答の内側にある推論を想像して書き出せ」と指示すると、AIは答えに至る道筋まで喋ってしまう。盗まれたのは料理ではなく、料理人の頭の中だった。

そしてもう一つ、日本企業に直接関係する部分がある。勧告が挙げた検知の手がかりだ。

複数IPからの同一アカウント利用。人間らしい休憩のない24時間稼働。契約人数と実使用量の異常な乖離。契約直後からいきなり上限いっぱいで回り始める新規サブスク。

——最後の2つ、心当たりのある会社は少なくないはずだ。「アカウントを部署で回して使う」という、悪意のない運用が、提供側から見ると蒸留と同じシグナルに見える。ここは自社の使い方を一度確認しておく価値がある。

なお、勧告が提示した対策には議論を呼びそうなものも含まれている。「疑わしい相手への応答を意図的に、気づかれない形で劣化させる」という提案だ。防御としては合理的だが、ユーザーに知らせずに品質を下げることの是非は、これから論点になるはずだ。

米政府が「訴える」と言わなかった理由

ここが今回の核心だ。3機関そろって告発しながら、勧告は「捜査する」とも「提訴を支援する」とも言っていない。呼びかけたのは、業界横断の情報共有と自衛だった。

理由は単純で、蒸留は現行の米国法では犯罪ではないからだ。

法律の専門家による分析（Lawfare、Bahrad A. Sokhansanj氏、2026年7月16日）は、使えそうな法的手段を一つずつ潰していく。

著作権は使えない。守られるのはソースコードだが、蒸留はコードをコピーしていない。しかも「AIの出力にはAI企業の著作権がある」と認めてしまうと、ユーザーがChatGPTに書かせた企画書にもOpenAIの権利が及ぶことになる。AI企業自身が、それは主張したくない。

特許も届かない。蒸留は特許の実装をコピーしているわけではないからだ。

営業秘密が一番惜しいところだが、ここも厳しい。同氏は「通常の出力はアカウントを持つ誰もが得られる。だから蒸留が営業秘密に該当する情報を抽出していると論じるのは難しい」と書いている。鍵のかかった金庫ではなく、店頭に並んだ商品を全部買って分解した、という構図だからだ。

残るのは利用規約違反という民事契約と、CFAA（コンピュータ詐欺・濫用防止法）。同氏が最も現実的な手段として挙げるのは後者で、狙うのは蒸留そのものではなく、偽アカウント作成・身元の詐称・プロキシによる制限回避という手口のほうだ。

そして、この空白を埋める動きはすでに始まっている。

「Deterring American AI Model Theft Act of 2026」（H.R.8283）という法案が2026年4月15日に提出され、同月22日に下院外交委員会を通過した。柱は「AI Model Extraction Attackers List」——外国の個人・法人を公的に指定するリストの創設だ。制裁権限とエンティティリスト追加もセットになっている。

お気づきだろうか。法案が用意しているリストの中身を、成立を待たずに勧告として先に出した、という読み方ができる。順番が逆なのだ。法律ができてリストが作られるのではなく、リストが先にあって、法律が後から追いかけている。

※これは構図としての解釈で、勧告自体がそう述べているわけではない。

なおこの法案には批判もある。ITIFは、定義が広すぎて単なる利用規約違反まで拾いかねないこと、指定の証拠基準が不透明なこと、オープンソース開発や学術研究への適用除外が不十分なことを指摘している。網を大きくすれば、狙った魚以外もかかる。

米中競争のどこを狙った一手か

数字で見ると、この勧告が出たタイミングの意味が分かる。

Epoch AIの能力指標（ECI）による分析では、中国モデルは2023年以降、米国のフロンティアに平均7ヶ月遅れ。最小4ヶ月、最大14ヶ月だ。CSISが伝える米CAISI（AI標準・イノベーションセンター）の評価でも、DeepSeek V4 Proは主要米モデルに約8ヶ月遅れとされている。

年単位ではなく、四半期から半年。米国は今も先頭だが、後ろの足音が聞こえる距離まで来た。

ところが、普及の側はすでに逆転している。CSISはHugging Faceの発表を引いて、中国モデルが月間・累計ダウンロードともに米国モデルを上回り、過去1年のダウンロードの41%を占めたと報告している。性能で勝っていても、世界の開発者が実際に叩いているAPIは中国製になりつつある。

この文脈に置くと、米国が閉めてきた蛇口の順番が見えてくる。半導体の輸出規制でハードを止め、モデルそのものへの輸出管理でソフトを止め、それでも残っていた最後の経路が正規APIだった。今回は、その裏口に手をかけた回だ。

蒸留が戦略的に重要なのは、能力差そのものではない。能力差を維持できる期間を短くするからだ。7ヶ月のリードが数ヶ月に縮めば、先行投資の回収期間が消える。米政府が動いた理由は、ここに集約される。

ただし、米国内も一枚岩ではない。2026年7月24日、25社の米国企業がオープンウェイトモデルへの広範な制限に反対する共同書簡に署名した。興味深いことに、OpenAI・Anthropic・Googleは署名していない。締めすぎれば自国の研究者とスタートアップが巻き添えになり、緩めれば中国モデルが世界標準になる。この綱引きの中で選べた、最も穏当な手が今回の勧告だった。

日本企業が持つべき3つの判断軸

では、日本のビジネスパーソンは明日から何をすればいいのか。3つに絞る。

軸1：稟議は、法的決着を待たない

法律ができるかどうかとは無関係に、「米政府が名指しした6社」という一行が調達判断を止める。中国モデルを本番導入しようとしている会社は、この一行が稟議書に入る前提で説明資料を作り直しておくべきだ。

逆に言えば、説明できる会社だけが使い続けられるということでもある。用途を限定する、機密データを通さない、代替モデルを併記する。この3点が書けていれば、名指しがあっても議論は前に進む。

軸2：リスクは、片側だけではない

ここが最も誤解されている点だ。「中国製を避ければ安全」ではない。

Anthropicの Claude Fable 5 は2026年6月9日に公開され、その3日後に米政府の輸出管理指令で提供停止になった。解除されたのは19日後だ。米国製でも、ある日突然使えなくなる。

つまり地政学リスクは両側にある。対策は「どちらを選ぶか」ではなく、どちらが止まっても業務が続く設計にしておくこと。モデル名を業務フローに直接埋め込まず、差し替え可能な形にしておく。これが今日からできる実務だ。

軸3：「安いから中国製」の前提は、もう崩れている

DeepSeekは2026年8月16日にAPI価格を50%から1,100%超まで引き上げ、V4系にピーク・オフピーク課金を導入した。日本のビジネスアワーは、そのピーク帯に丸ごと該当する。

Kimi K3やQwen系では売上連動型のライセンスも登場している。コスト優位は、もはや絶対ではない。

比較すべきは単価ではなく、成功した1タスクあたりの費用だ。安いモデルで3回失敗するより、高いモデルで1回で終わるほうが安い。この計算をしていない会社は、そもそも中国モデルを選ぶ根拠自体があやふやなままだ。

よくある質問（FAQ）

Q1. 「蒸留」とは何ですか？違法なのですか？

大手AIモデルに大量の質問を投げ、その回答を教材に別モデルを訓練する手法。元モデルの重みやソースコードには触れず、出力だけを使う。技術自体はモデルの軽量版作成やベンチマークにも使われる正当な標準技術で、米国の現行法では犯罪に当たらない。

Q2. 米政府はなぜ「訴える」ではなく「名指し」にとどめたのですか？

著作権・特許・営業秘密のいずれも蒸留には法的に届かないため。著作権はソースコードを保護対象とし蒸留はコードをコピーしない、特許も実装をコピーしていない、営業秘密も公開されている出力を集めただけと整理できてしまう。残る手段は利用規約違反やCFAA（コンピュータ詐欺・濫用防止法）だが、これらは蒸留そのものではなく偽アカウント作成などの手口を狙うものにとどまる。