AIの知識蒸留とは？教師モデルの出力で生徒モデルを訓練する手法
知識蒸留（英語では distillation）とは、大きくて高価な 教師モデル の出力を使って、小さくて安い 生徒モデル を訓練する手法です。中国語では「知识蒸馏」と書きます。
料理でいえば、出汁を取り直さずに、できあがった出汁を味わって同じ味を再現するような発想です。ゼロから訓練するより桁違いに安く済みます。
今回の分析の概要
蒸留そのものは業界で広く使われている手法
先に押さえておきたいのは、分析は蒸留一般を悪だとしていないことです。業界で広く使われている手法であり、資力の乏しい参加者もAIの恩恵を受けられる生態系を保つのに役立つ、と明記しています。
問題にされているのは、その一部が adversarial distillation（敵対的蒸留） と呼ばれる形で行われている、という点です。
Distillation (知识蒸馏) refers to the practice of training a smaller, cheaper “student” model by using the outputs of a larger “teacher” model. ／ It is a practice used widely across the industry for a variety of purposes. It is good for competition and helps maintain an ecosystem in which less well-resourced players can benefit from AI. ／ A review of dozens of Chinese academic and industry papers published between 2024–2026 provides evidence of how Chinese entities are approaching distillation in problematic ways. — 蒸留の定義、業界での一般性、および分析が対象とした論文の範囲に関する記述より
敵対的蒸留が問題視される3つの理由
分析が挙げる問題点は3つに整理されています。
分析が挙げる3つの問題点
3つめが最も重い、というのが分析の立場です。AIの能力そのものより、その能力がどこへ渡るかを問題にしている構図になります。
なお、蒸留のうち何が狙われているかについても踏み込んでいます。標的は chain of thought（思考の連鎖）、つまりモデルが答えを出す前に問題を分解して検証していく途中の手順です。分析は、これが最も開発費のかさむ能力であり、だからこそ蒸留の誘因が強いと説明しています。
First, it violates the terms of use of Western companies’ models. Second, it provides a shortcut that helps Chinese models catch up to the frontier by leveraging the strengths of leading Western models. Third, and most important, Chinese models built in part from distilling Western models are being used in military and public security applications. Moreover, because they have been distilled, they may not retain the safety guardrails of the original models. ／ The prize is frontier reasoning: the step-by-step “chain of thought” that is the most expensive capability to build and the one on which U.S. laboratories lead most clearly. ／ Adversarial distillation aims to imitate how Western frontier models reason by targeting models’ “chain of thought” (思维链). These are the intermediate steps through which models breaks down a problem and tests its findings before offering an answer. — 敵対的蒸留を問題視する3つの理由、安全対策の継承、および標的とされる「思考の連鎖」に関する記述より
中国モデルが西側モデル由来だと示す実例
主張の裏づけとして分析が引くのは、外部の告発ではなく 中国側の研究者自身の実験結果 です。
Qwen-MaxがClaude、DeepSeek-V3がOpenAI製だと答えた
中国科学院（CAS）の研究者を中心とするチームが、複数の中国モデルに脱獄（ジェイルブレイク＝安全機構を迂回させる操作）をかけ、自分の出自についてどれだけ口を割るかを調べました。
結果として、Qwen-Max は自分を「Anthropic が作ったAIアシスタントの Claude」だと名乗り、DeepSeek-V3 は「OpenAI に作られた」と答えたと報告されています。研究チームは蒸留された疑いの強さで順位づけし、Qwen-Max・GLM-4-Plus・DeepSeek-V3 が上位に並んだとしています。
この件の発端として分析が置いているのは、Moonshot AI の Kimi K3 をめぐる経緯です。2026年7月に公開され、Anthropic の Claude Fable 5 のような西側の主要モデルと肩を並べると同社が主張した直後、西側モデルの蒸留で最先端に到達したのではないかという批判が出た、という流れです。Kimi K3 の中身はKimi K3の解説記事で扱っています。
この批判は、個社への疑いから始まったものではありません。分析は、米ホワイトハウスの科学技術政策局が2026年4月の時点で、米国の最先端AIシステムを蒸留する「産業規模の取り組み」があると主張していた、と紹介しています。政策レベルの認識が先にあり、そこへ個別の事例が重なった、という順序です。
Qwen-Max identified itself as “Claude, an AI assistant created by Anthropic,” and DeepSeek-V3 answered that it was “created by OpenAI.” ／ In July 2026, Chinese artificial intelligence (AI) firm Moonshot AI (月之暗面) released Kimi K3 ／ Moonshot AI drew accusations that it had reached the frontier by distilling Western models ／ As early as April 2026, the White House Office of Science and Technology Policy was alleging “industrial-scale campaigns to distill U.S. frontier AI systems” — 中国モデルの自己申告、Kimi K3 をめぐる批判、および米政府の主張に関する記述より
人民解放軍系の機関が関わる敵対的蒸留の研究例
分析の中心はここです。蒸留の研究をしている主体に、軍・国防産業・国有研究機関が並ぶという指摘になります。
分析が挙げた研究例（すべて公開論文）
| 主体 | 内容 |
|---|---|
| 人民解放軍陸軍工程大学 | 安全機構を破る「攻撃知識」を小型・高速の道具へ蒸留。安全対策の強い商用モデルによく効くとする |
| ロケット軍に属する可能性のある部隊 | OpenAI の GPT-3.5 を蒸留し、コードを要約する小型モデル群を作成 |
| 空軍工程大学ほか | 複数の教師モデルを蒸留して代理モデルを構成し、それを攻撃する道具を作成 |
| 南京理工大学 | 戦車や軍艦の画像に文字の命令を隠し、モデルが従うかを実験 |
| 中国科学技術大学 | 検出を逃れるための「異常特徴」の低減と「隠匿性」の向上 |
| 人民解放軍サイバー空間部隊ほか | 教師モデルの能力を引き継ぎつつ、透かし（モデルに埋め込む識別用の印）を効果的に除去する方法 |
One survey paper by academics at Army Engineering University of PLA proposes distilling a way to break a model’s safety mechanism—known as “attack knowledge” (攻击知识)—into small, fast tools that can run attacks continuously. ／ The authors note that these tools work very well against “strongly safety-aligned commercial models” ／ In a separate paper, written by members of a PLA unit that may be part of the PLA Rocket Force, the authors distill OpenAI’s GPT-3.5 to create a series of smaller models that can summarize code to almost the same standard ／ A group from Air Force Engineering University, PLA Information Engineering University, and an undisclosed PLA unit distilled several teacher models to construct a proxy “black box” model, then built tools to attack it — 表の各行に対応する研究例（攻撃知識の蒸留、コード要約への蒸留、代理モデルの構成）に関する記述より
検出を逃れる技術と透かし除去まで研究対象になっている
とくに重いのが最後の2行です。蒸留は、モデルに埋め込まれた電子透かしが生徒モデルに残ることで検出できる場合があります。その手がかりを消すこと自体を目的にした研究がある、というのが分析の指摘です。
南京理工大学の実験も具体的です。戦車や軍艦の画像の中に文字の命令を仕込んだところ、GPT-4o と2種類の Claude がその隠し文字を読んで従ったとされています。これはプロンプトインジェクション（指示の割り込み）と呼ばれる攻撃手法で、蒸留とは別に、モデルを外から操れるかという論点にあたります。
中国モデルがサイバー領域で使われる流れ自体は、DeepSeekのモデルが自律的なサイバー攻撃に使われた件でも報告されています。
They reduced the “anomalous features” (异常特征) for which a model’s defense mechanism scans and increased the tool’s “stealthiness” (隐匿性) to defeat backdoor and poisoning detectors ／ one paper by researchers affiliated with the PLA Cyberspace Force and PLA Information Engineering University outlines ways to remove watermarks effectively while still inheriting the teacher model’s capabilities ／ In an experiment, they concealed written commands inside images of tanks and warships. GPT-4o and two versions of Claude allegedly read the hidden text and obeyed it — 検出回避の手法、透かし除去、および画像への命令埋め込み実験に関する記述より
蒸留したモデルは監視・治安維持の用途にも回っている
用途の側にも記述があります。国有の中国電子科技集団（CETC）のスマートシティ研究所の技術者が、大型の防犯モデルを蒸留して街頭カメラの端末側の処理装置で動くようにした、という例です。低照度でも群衆の中の個人の顔を識別する用途とされています。
さらに、兵器産業を出自とする中北大学の研究者が Claude を蒸留し、SNSの監視とコンテンツ審査の仕組みに使えると自ら提案する分類器を作った、とも記されています。
分析の言葉づかいに注意が要る箇所でもあります。「使われている」と「使えると提案している」は違います。分析自身も、提案段階のものを含めた書き方をしており、実配備の断定はしていません。
分析が引いている論文は、いずれも公開されているものだと明記されています。原文にあたるなら、手元に落とした資料から本文を抜き出して読むところから始められます。
engineers at the state-owned China Electronics Technology Group’s smart city institute distilled large security (安防) models to run on the edge processors inside street cameras that can identify individual faces in crowds under low-light conditions for surveillance purposes ／ Researchers at the North University of China (中北大学), which has its roots in the ordnance industry, distilled Claude through a “multi-objective knowledge distillation” (多目标知识蒸馏) process to create a classifier they propose could be used for “social media monitoring and content moderation systems” (社交媒体监控以及内容审核系统) — 街頭カメラへの蒸留モデル展開、および Claude を蒸留した分類器に関する記述より
無料ツールPDF→Markdown変換PDFの内容をMarkdown形式に変換。ドキュメントのテキスト再利用に。今すぐ使ってみる →
知識蒸留のこの分析を読むときに押さえたい2つの留保
ここまでは分析の主張です。読む側として押さえておきたい前提が2つあります。
公表の遅れがあるため「下限」しか見えていない
1つめは分析自身が置いている留保です。中国の学術誌・軍事誌にも査読と刊行の周期があり、実験から公表まで1〜2年かかります。したがって扱われているのは 2023年・2024年時点の最先端モデルに対する実験 であり、現在の能力の上限ではなく下限を示すものだと明記しています。
これは分析の主張を弱めるというより、読み方を規定する注意書きです。「今これができる」ではなく「少なくとも2年前にはここまでやっていた」と読むことになります。
This means that these studies describe experiments conducted against the frontier models of 2023 and 2024, and so only show the floor of current PRC capabilities, not a ceiling. — 実験から公表までの遅れと、そこから導かれる読み方に関する記述より
敵対的蒸留の分析という文書の性格を踏まえておく
2つめは出典の性格です。この文章は、ジェームズタウン財団の刊行物 China Brief に載った分析記事であり、公開されている論文を読み解いたうえで対処の方向まで論じるという構成をとっています。引用されている個々の論文は公開されており誰でも当たれますが、そこから何を読み取るかには書き手の視点が入ります。引用元をたどれることと、解釈に同意することは別だ、と切り分けて読むのが安全です。
分析自身の総括も、断定を避けた書き方になっています。西側の最先端モデルの蒸留は中国のAI生態系で重要な役割を果たしている、ただしその役割は決定的ではない、しかし問題ではある——という三段構えです。
Distillation of Western frontier models plays an important role in the PRC’s AI ecosystem. This role is not decisive, but it is problematic. — 蒸留が中国のAI生態系で果たす役割についての、分析自身の総括より
まとめ：知識蒸留が安全保障の論点になった理由
知識蒸留は、もともとはモデルを小さく安くするための技術です。それが安全保障の話になったのは、蒸留が「能力だけを取り出して、制約を置いていける」性質を持つからでした。
分析が3つめの問題を最も重いとしたのは、蒸留で作られたモデルが軍事と治安維持の用途に実際に使われているという点でした。そこへもう一段重なるのが安全対策の話です。元のモデルには危ない使い方を断る仕組みが組み込まれていますが、出力だけを写し取って別のモデルを訓練すると、その仕組みまで一緒に付いてくる保証はありません。用途が重い場所へ渡り、しかも歯止めが薄くなりうる——この2つが重なるところが論点になっています。
もう一段引くと、これは計算資源の話とも地続きです。蒸留が近道として魅力的なのは、正面から訓練するには膨大な計算力が要るからです。中国のAI企業がどうやって計算力を確保しているかという論点は、Moonshot AIのチップ調達をめぐる報道でも扱っています。計算力の入手経路と、能力の入手経路。規制の対象として並んでいるのはこの2つです。
無料ツールPDF→Markdown変換PDFの内容をMarkdown形式に変換。ドキュメントのテキスト再利用に。今すぐ使ってみる →
