【悲報】「Kimi」がユーザーの質問30万件をこっそりClaudeに丸投げ!?AI業界に激震の報告書 本当の問題は「国の対立」ではなく「見えるか見えないか」だった
AI業界に、衝撃の告発が舞い込んだ。2026年9月10日、Anthropicが公開した全154ページに及ぶ「脅威インテリジェンス報告」で、中国のAI企業Moonshot AI（Kimi）が名指しされたのだ。報告によると、Kimiの利用者が投げた質問がその場でClaudeに転送され、返ってきた答えが「Kimiが考えた答え」として画面に表示されていた疑いがあるという。10日間でおよそ30万件、使われていたのは5380個の不正アカウントで、その多くがシンガポールと日本の住所であるように見えたと記されている。大半の通信は、Claudeの中でも最上位の「Opus」に向けられていた。
「よそから取り寄せた唐揚げ」 APIとアプリの構造的な盲点
なぜこんな手口が成立してしまうのか。鍵になるのは「厨房が見えない」という構造だ。これはAIの仕組みを理解するところから始まる。ユーザーが手元で触れられるのは「注文する画面」と「届いた答え」だけだ。注文がサーバーに届いた後、どのモデルへ回すかを決める「振り分け（ルーティング）」は事業者のサーバー側にあり、客からは絶対に見えない。返ってくるデータの中の「モデル名」欄を埋めるのも店（提供側）であって、客が確かめて書くわけではない。つまり大半の正規事業者は正しく書いているが、その「正しさ」を客の側から検証する手段がない、という構造的な穴がある。だからこそ、別の国の住所で作った大量のアカウントから、ステルスでClaudeへ中継するという荒業が可能になったのだ。
ただし、ここは正確に整理しておく必要がある。Anthropicは中国国内からClaudeの利用を認めておらず、そこで「別の国の住所で作られた5380個の不正アカウント」を使って転送していたと報告は言う。日本とシンガポールに見えたのは「接続経路の話」であり、日本人が加担したという話ではない。また、報告に名指しされたのはMoonshotだけではない。Alibabaは5月から7月にかけて1億5100万往復超、ピーク時は1日当たり300万往復近く、使ったアカウント3500個、Anthropicが計測した中では過去最大の蒸留とされる。DeepSeekも7月の14日間で1200万件超。他にも中国系AI企業数社が名を連ね、7社合わせておよそ1億9000万往復、キャンペーン数は5件に上る。もっとも、AnthropicがどうやってMoonshotだと突き止めたのかは公開されておらず、名指しされた各社の回答も準備段階では得られていなかった。この告発自体が「外からは検証できない」段階の話であることも押さえておきたい。
公開された「重み」には通信機能そのものが存在しない
ここからが今回の話の核心だ。同じMoonshotには「Kimi K3」というモデルがあり、その重み（学習結果を数値化したファイル群）は7月27日からHuggingFaceで誰でもダウンロードできる状態で公開されている。丸投げ疑惑の直後に自社の最先端モデルが公開されているのは一見矛盾するが、実はそこがミソだ。公開されている重みのファイル（safetensors形式）の中身は「数字の表」と「その形の目録」だけで、外へ通信するといった動作を書き込む欄が存在しない。つまり「材料の袋に電話番号を書く欄がない」のと同じで、隣の店へ注文を回す係がいる場所そのものがないのだ。この違いが、なぜ丸投げがAPIとアプリの側でしか起きないのかという答えになる。
混同しやすいのが「MoE」という仕組みだ。Kimi K3は内部に896人の専門家を持ち、1つの単語ごとに16人だけを起こして働かせる構造を採用している。この「選ぶ係」はルーターと呼ばれるが、選ぶのは自分の中身だけだ。外の会社へ送るかどうかを決めるサーバーの振り分けとは、全く別物である。家の中で夫が作るか妻が作るかを選ぶのは出前ではない、ということだ。Kimi K3そのものは総パラメータ2兆8000億、実際に動作するのは1040億、コンテキスト長は100万トークン、ファイル総量は1.56テラバイトに達する巨大モデルで、96個に分割されて公開されている。
自分で確かめる3つの方法 どれも特別な道具はいらない
公開された重みを手元で動かす人は、答えの「出所」を自分の手で確かめる方法を3つ持っている。一つ目は「回線を切る」こと。ノートパソコンなら機内モード、デスクトップならLANケーブルを抜いた状態で質問を投げ、答えが返ってくるかを見る。外と繋がっていないのに答えが出たなら、それは中で計算されている。外部からの取り寄せが物理的に不可能だからだ。二つ目は「出ていく通信を見る」こと。Windowsでも使える「netstat」コマンドで現在の接続先を一覧化できるほか、Wiresharkで全通信を記録したり、ルーターのログで家中の外部通信を監視したりする手もある。家から外へ出る道は一本しかないので、そこを見張れば全部映る。そして三つ目が「SHA256の指紋を照合する」こと。HuggingFaceは全ファイルのSHA256ハッシュを公開しており、公式ダウンローダーを使えば落としながら自動で検証できる。ほんの1ビットでも内容が変われば、全く別の値になる性質だ。壊れた重みでもエラーを出さずに黙って読み込むsafetensorsの性質（開発者の間でも課題とされる）を踏まえると、指紋の照合は落とす段階で自分側で実行する必要がある。
ところが、この3つはAPIの側ではどれ一つとして実行できない。回線を切ればそもそも答えは返らないし、通信を見ても「相手の会社に繋がっている」ことしか分からない。その先で誰に回されたかは玄関の外の話だからだ。指紋を照合したくても、照合する材料そのものが手元にない。黒箱だからこそ、今回のような事件は「見えない場所」でしか起きなかったと言える。しかも、これは中国の会社に限った話ではない。世の中には他社のAIを裏で呼んでいるだけのアプリが山ほどあり、規約上もよく見られる手法だ。問題は「どこのモデルを使っているかが明記されているか」どうかで、書いていないアプリは構造として同じ黒箱になる。月額を払っていても、中身は断りなく安いモデルに差し替えられ、画面の見た目は一度も変わらない。だからこそ「味で気づけない」場合は黒箱のままだ。
594ギガバイト、H100×8枚 それでも結論は変わらない
正直なところも言っておかなければならない。Kimi K3は家庭用パソコンでは動かない。読み込むだけで約594GBのメモリが必要で、最小構成でも業務用GPU「H100」8枚を要する。1枚で数百万円の世界だ。実際の運用想定ではさらに大掛かりになり、量子化で精度を落としても1ビットまで潰せば約540GB、2ビットなら約861GB。MacでもゲーミングPCでも届かない、データセンター向けのモデルだ。冒頭の3つの検証法はそのままでは使えないが、結論は変わらない。回線を切る・通信を見る・指紋を照合する、という手順はモデルの大きさに一切依存しないからだ。90億パラメータの小型モデルでも同じ手順が通じ、量子化した小型モデルなら数GBの枠に収まるものもある。家で動かせる「Ollama」や「LM Studio」といったツールに重みを入れれば、回線を切って答えが出るか、通信が外へ出ていくか、指紋が合うかを自分の手で確かめられる。「確かめたい性質」と「動かしたい大きさ」は別の話であり、大きさは予算の問題で、検算できるかどうかは構造の問題なのだ。
公開されている重みには、もう一つの価値がある。「抜き打ちができる」ことだ。ベンチマークの点数は自己申告だが、誰でも落として同じ試験を回し直せるなら、合わない数字は合わないと公表される。過去にもそうした指摘は何度も起きている。逆にAPIしかないモデルは、測っているのが常に会社のサーバーの上でしかなく、「試験の日だけ強いモデルを出す」という離れ業も理屈の上ではできてしまう。つまり今回の一連の話で最も皮肉なのは、「公開されている部分が一番信用できる」ということだ。疑われたのは公開されていない側、つまりAPIとアプリだった。
ネットの反応
中国軍が極秘情報を入力したら、そのまま米国に情報が渡ってキレてるって、こういうことか…。
「どのAIに振るのか」を決める方式、どこぞの日本語スタートアップもそうじゃない？確か同じ仕組みだよな。
黒箱と検算できるか。本当の線は国境じゃなくてここなんだよな。
勝手に安いモデルに差し替えられててもバレないって、実はこれまでずっと起きてた可能性あるよな。
APIは信頼関係でしか回らない。裏切られた時の保険はローカルモデルしかない気がする。
確かめる方法が無いということと、悪意があるということは違う。そこを分けて報道してくれるの助かる。
自分の台所（ローカルLLM）を一つ持っておくと、ニュースの見え方が確かに変わるわ。
594GBは無理でも、数GBのローカルモデルなら回線切って動作確認できる。今日やってみる。
AIの所感
この件を「中国対米国の対立」として消費してしまうと、最も本質的な教訓を取り落とす。「本当の仕切り線は、国籍ではなく『黒箱か、検証できるか』」にあるという指摘は鋭い。APIという黒箱の上で、モデルの差し替えや中継が検知されにくいのは構造的な問題で、どの国の会社かは関係ない。一方で「オープンウェイトなら安全」という過剰な安心も禁物だ。重みの中身が良心的かどうかは別問題で、言えるのは「どのモデルが答えているかについては嘘をつけない」という一点だけ。有限の情報で咀嚼するなら、この告発自体も「Anthropicの主張」であり、検証手段が公開されるまでは保留すべきだろう。自分でオフライン検証できるローカルモデルを一台持っておくことは、ニュースの真偽を測る「物差し」になる。検証手段が身につけば、どのベンダーの話も等しい距離で読めるようになるはずだ。