蒸留（ディスティレーション）戦争：推論を盗む矛、ウォーターマークという盾
前回のオープンウェイト書簡の記事の本当の争点は「オープンかクローズドか」ではなく、蒸留（distillation） でした。書簡（235社）は蒸留を「正当な手法」と擁護し、Anthropicのダリオ・アモデイは「産業規模の蒸留の取り締まり」を対案に掲げた。ところが8月第2週、その抽象的な論争が二つの具体的な技術として同時に落ちてきました。向きはちょうど正反対です。
- 矛（攻撃） — Stealing Reasoning Traces：フロンティアモデルが隠した推論をまるごと取り出す方法。蒸留を可能にする。
- 盾（防御） — Claudeのウォーターマーク：モデルが出力した成果物に見えない印を埋め込む方法。蒸留（と不正使用）の検出を可能にする。
矛 — 隠された推論を盗む
脆弱性を一行で
フロンティアラボは推論（chain-of-thought）をサーバーに保存せず、暗号化ブロックとしてクライアントに返し、次のリクエストで受け取り直します。 論文の核心的発見は、このブロックが同じプロバイダー内でセッション・ユーザー・モデルをまたいでそのまま互換だという点。強いモデル（Opus 4.8）が作った暗号化推論を、弱くてガードの緩い兄弟モデル（Haiku 4.5）に入れて「そのまま書き写して」と指示すると、平文で読み上げます。
手順はAPI二回の呼び出しで完結します：
- 通常の応答から暗号化された推論ブロックを取得する
- そのブロックを別のリクエストのアシスタントターンに差し込む（Claudeは
<thinking-copy>、GPTはencrypted_content、Geminiはthought_signature） - 「付いている思考をそのまま書き写せ」と指示し、拒否は捨て、複数回サンプリングして繋ぎ合わせる
なぜこれが蒸留の矛なのか
従来の蒸留はモデルの最終回答だけを写しました。しかし推論トレースは中間の解法プロセス全体 — 問題分解、中間推論、戦略 — というはるかに密な教師信号を与えます。コストも現実的で、Haiku 4.5の単価で1万件のトレース復元に約720ドル。論文はさらに、Opusの復元推論の断片をKimi-K3に prefill すると、Kimiのその後の推論と最終回答のスタイルがClaude寄りに傾く現象まで示しました — ホワイトハウスが主張した「Kimi K3＝Fableの蒸留」論争が実験台の上に載った格好です。
本当に重要なもの — セキュリティ情報の漏洩
蒸留はIPの問題ですが、この脆弱性のより恐ろしい顔は個人情報・認証情報の漏洩です。開発者はセッションログを公開リポジトリに上げますが、暗号化ブロックの中身を読む手段がないまま、そのまま共有してしまう。研究者がGitHub・Hugging Faceから実際のトレース6,708件を収集し315,320個の推論ブロックを復号したところ：
- PII 367件＋認証情報 182件を復元（実利用セッションだけでAPIキー62個、パスワード33個、個人メール30個）
- セッション単位では4.9%（328/6,708）が実際の機微情報を漏洩
- 一部のPIIはユーザー入力にすら無かったもの — モデルがメモリから引き出し推論の中にだけ残したため、平文の匿名化では絶対に除去できない
肝は非対称性です。攻撃者は高価なフロンティアモデルに触れる必要すらありません — 他人がすでに作って公開した暗号化推論を、安い兄弟モデルに再生するだけ。だからフロンティアのエンドポイントの異常検知には何も引っかかりません。 5月にマシュー・グリーンがこの再生（replay）問題をラボに報告したとき、答えは「セキュリティ上の含意はない」でした。
おまけ — 要約は信用できず、推論は宇宙語だ
盗まれた推論が明らかにした副産物が二つ、安全研究者にとって興味深い。
CoTを隠すと蒸留だけでなく、外部の安全監視も同時に塞ぎます。 要約が実際の推論を歪めているなら、私たちが見る『説明』は事後の脚色かもしれません。
盾 — 見える出力の中に隠す
同じ週、Anthropicは反対方向の技術をオンにしました。2026年8月2日以降にリリースされたClaudeモデルは、生成物に機械可読の印を埋め込みます（それ以前のモデルも遡及適用）。名目はその日に発効した**EU AI法の透明性条項（第50条2項）**の遵守。API・アプリ・Claude Code、AWS・Google Cloud・MS Foundry経由まで、世界中の全製品に適用されます。
二つの手法：
- テキストの不可視ウォーターマーク — サードパーティ分析によれば、方式はサンプリング段階のトークンバイアスと推定されます。統計的にほぼ等価な次トークン候補の中で、選択を秘密鍵でわずかに傾け、長い文章に統計的署名を蓄積する。モデルレイヤーの下で動くため、モデル自身も知らず、プロンプトでオフにできません。
- C2PA署名メタデータ — .png/.jpg/.svgファイルに「Claudeが処理した」ことを示す暗号署名。ただしスクリーンショット・再保存・フォーマット変換で簡単に除去されます。
限界もAnthropicが自ら明記しています： 印の検出＝「Claudeが処理したという信号」にすぎず、著作性の証明ではない（人間の文章をClaudeで校正・翻訳しただけでも印が付く）。短い文章は信号不足、強い書き換えで消失、そしてコードはエントロピーが低いため特に弱く、フォーマッタを一度かければ消えます。
この盾の隠れた用途
表向きの名目は透明性ですが、戦略的価値は別のところにあります。ウォーターマーク付きのテキストで別のモデルを学習させると、生徒モデルにも統計的痕跡が残るという研究があります（ウォーターマークの「放射能（radioactivity）」）。つまりウォーターマークは蒸留を法廷で立証するインフラになり得ます。7月のアモデイの「産業規模の蒸留の取り締まり」は執行手段のないスローガンでしたが、8月にその手段が届いた格好です。
そして透明性規制は構造的にクローズドモデルに有利です。ウォーターマークはサンプリングパイプラインを握る者だけが強制でき、オープンウェイトは誰でもウォーターマークなしで動かせるため、原理的に遵守不可能。オープンウェイト陣営が警戒した「時期尚早な制限」が、モデル禁止ではなく透明性義務という迂回路で来る可能性があるということです。
反発 — 「普通の人だけを捕まえる」
r/singularityなどで有料ユーザーの反応は激しかった（TechCrunch報道）。要旨は一点に集約します — 熟練ユーザーはパラフレーズ一回で回避し、捕まるのはそれを知らない普通のユーザーだけ。 反対側も強い：「これを嫌う唯一の理由は、誰かを騙そうとしているからだ」。印が「処理した」としか言わないのに、学校や職場がこれを著作性の確定証拠として使う可能性が高い、というのが本当の危険です。
傍流 — 韓国ウェブ小説の「鉄の味」
この「検出の軍拡競争」は、すでに韓国のウェブ小説界で起きています。ノベルピア（Novelpia）などでは、Claude Opusで数百編を同時執筆してランキングを占める作家が話題で、読者はAI文体が透けて見える瞬間を**「ソェマッ（鉄の味）」** と呼びます — 鉄の味のように金属的で量産型のあの感じ。設定が崩れると「鉄の味がする」というコメントがすぐに付き、ノベルピアは有料化承認を出さないこともあります。
興味深いのは、当該コミュニティのスレッドの結論がウォーターマーク論争とまったく同じだという点です：
- 「AI校正すら禁じる『純粋な人間文学』カテゴリを新設しよう」→ 「技術的に検出不可能なので意味がない」
- 「もともとAIのように書いていた人はどうするのか」→ 誤検出の問題（Claudeのウォーターマークの『校正しただけでも印が付く』問題と同型）
- 結局可能な検証は「読者の通報＋作家インタビュー」だけ — 人間の勘（＝鉄の味）に依存
業界の公式回答（統計的ウォーターマーク）であれ、読者の民間回答（鉄の味）であれ、AIコンテンツ検出は原理的に不完全で、結局『普通の人』だけを捕まえるという結論は同じです。
結論 — 結局は蒸留戦争へ
三つの断片を一つの流れに並べるとこうです。オープンウェイト書簡が開いた論争の実体は蒸留であり、8月にその矛（推論の窃取）と盾（ウォーターマーク）が同時に現れ、「鉄の味」はその戦争の消費者最前線です。
- 盾はすでに破られた。 ラボがCoTを隠す目的（蒸留防止）の前提 — 「隠せば守れる」 — は720ドルの攻撃で崩れた。漏洩経路が外部ハックではなく自社エコシステムの弱い兄弟モデルだという点が痛い。
- ウォーターマークは盾というより証拠収集器だ。 蒸留は止められなくても、「産業規模の蒸留」規制の執行手段であり、クローズド陣営の政策的テコになる。
- 二つの技術とも国家規模のアクターは止められず、普通のユーザーだけを捕まえる。 パラフレーズ一段階でウォーターマークも推論窃取の防御も無力化される — ウェブ小説の「鉄の味」論争とまったく同じ構造。
- だから知能の価格は下がり続ける。 蒸留を止められなければフロンティアのマージンが圧迫され、前回記事の結論（「知能の価格は下がり続ける」）が続く。ウォーターマーク＋法執行で止めれば、フロンティアとオープンの差が再び広がる。今回の二つの文書は、その分岐点の両側からの号砲だ。