AIモデルの「内部思考」を抽出する新手法を発見
原題: A New Trick Reveals AI Models’ Inner Thoughts
なぜ重要か
AIモデルの推論プロセス保護の限界が実証され、知的財産保護とセキュリティ対策の両面で業界全体に影響を与える可能性がある。
ドイツのテュービンゲン大学などの研究者チームが、Claude・GPT・GeminiなどフロンティアAIモデルの隠れた「推論トレース」を抽出する手法を発見した。この手法により、中国モデル「Kimi K3」の推論出力が米国モデルと酷似していることが判明。また、モデル内部推論からパスワードやAPIキーを取得できる脆弱性も確認されたが、すでに修正済みとなっている。
テュービンゲン大学・マックスプランク研究所・AIセーフティ機関MATS Research・セキュリティ企業Snykの研究者らが共同で、OpenAI・Anthropic・GoogleのフロンティアAIモデルが抱える共通の脆弱性を特定した。これらのモデルはAPIを通じてアクセスされる際、通常は非公開のはずの「推論トレース」（問題解決過程の思考ステップ）を暗号化してユーザー端末に送信しているが、研究チームはこの暗号化されたデータから推論内容を抽出する方法を開発した。
研究者らが発表した論文では、中国のMoonshot AIが開発したオープンウェイトモデル「Kimi K3」が、特定のプロンプトに対してClaude Opus 4.8およびGPT 5.6 Solの隠れた推論トレースと著しく類似した出力を生成することが示された。研究チームのAlexander Panfilov氏は「因果関係としての蒸留を確立することはできない」と慎重な立場を取りつつも、推論パターンの類似性を指摘している。一方、中国のDeepSeekおよび米国企業Thinking MachinesのInklingは、Claudeとの推論類似性を示さなかったという。Moonshot AIおよびZ.aiは締め切りまでにコメントを返答しなかった。
蒸留（ディスティレーション）は既存モデルの能力を新モデルへ効率的に移転する確立された技術だが、中国AI企業が米国モデルを無断で蒸留しているとの疑惑から近年論争の的となっている。2025年2月にはOpenAIが米議会に対しDeepSeekが自社モデルを模倣した可能性を報告し、2025年6月にはAnthropicがAlibabaのQwen開発においてモデルが組織的に蒸留されたと証言した経緯がある。
なお、この手法を使えばモデルの内部推論からパスワードやAPIキーなどの個人情報を回収できることも実証されたが、この脆弱性はすでに各社によって修正されている。Panfilov氏は「テストした主要フロンティアモデルプロバイダーすべてがこの脆弱性を共有しており、個人情報漏洩や大規模な推論蒸留攻撃につながり得る」と述べている。