🔒 シンガポール法人・VPN・中継サービス…｜Anthropicが中国からのアクセス抜け穴を封鎖した理由をやさしく解説

アイ

2026-07-06

ルールで禁止されてるはずなのに、なんで使えてたの？

AI企業のニュースって、新機能の発表とか、資金調達とか、そういう「前向き」な話題が多いよね。でも今日紹介したいのは、そういう話とはちょっと違う、ルールの「抜け穴」を巡る、けっこう地味だけど大事な話なんだよね。

Financial Timesの報道によると、Anthropicは中国企業がClaudeへのアクセス制限を回避するために使っていた複数の抜け穴を封鎖する動きに出てるんだって。2026年7月3日前後に、この話が各メディアで一斉に報じられたの。

わたしがこのニュースを見て最初に思ったのは、「え、Anthropicって中国からのアクセスを禁止してたはずじゃなかったっけ？」っていう単純な疑問だったの。実際、Anthropicは2025年から、中国・ロシア・イラン・北朝鮮といった対象外地域の事業者が50%超を保有・支配する企業の利用を、利用規約ではっきり禁止してるんだよね。

でも規約で禁止するのと、実際にそれを完全に防げるのは、また別の話なんだよね。今回のニュースで明らかになったのは、規約はちゃんと存在してたのに、それをすり抜けるための、けっこう手の込んだ方法が使われてたっていう実態だったの。しかも、その規模がわたしの想像よりずっと大きかったんだよね。

だから今日は、「具体的にどんな抜け穴が使われてたの？」「これって法律的にはどういう扱いになるの？」「蒸留攻撃ってそもそも何のこと？」っていう3つの角度から、この話をゆっくりほぐしていくね。

そう考える3つの理由

理由1：抜け穴の手口が、想像より本格的だった

世間では「規約違反」って聞くと、ちょっとしたルール破りをイメージする人が多いと思うの。個人が裏ワザ的にちょっとした抜け道を使う、くらいの規模感を想像しがちだよね。

でも今回明らかになった手口は、そんな軽いレベルの話じゃなかったの。報道によると、Ant Group（アント・グループ）は、シンガポールに置いた法人に紐づく法人アカウントを社員に配布してたんだって。つまり、会社ぐるみで、正規のルートを装ったアクセス経路を用意してたってことだよね。

ByteDanceのケースはさらに具体的で、エンジニアがVPN（自分の実際の所在地を隠して、別の国からアクセスしてるように見せかける技術）を使って個人契約のClaudeにアクセスして、その利用料を会社側が肩代わりして払い戻してたんだって。これって、会社として組織的に、社員のルール回避を後押ししてたってことになるよね。

他にも、Microsoft Azureのようなクラウド基盤上で動く海外法人経由でアクセスするパターンや、Anthropicが利用を認めてる国にサーバーを置いて、中国からのリクエストを転送する「中継サービス（トランスファーステーション）」を使うパターンもあったんだって。この中継サービスっていうのは、いわば「仲介業者」みたいなもので、中国のユーザーからのリクエストを一度受け取って、海外のアカウントやAPIキーを使ってClaudeに転送し、その返事をまた中国側に送り返す仕組みなんだよね。

わたしがここで「本格的だな」って思ったのは、これがどれも一人のユーザーが個人的に工夫した抜け道じゃなくて、企業レベル、あるいは専門の仲介業者レベルで組織的に整備されてた仕組みだったってところなの。個人が趣味で見つけた裏ワザとは、規模も継続性も全然違うんだよね。

世間的には「規約で禁止してるんだから、それで十分じゃないの？」って思う人もいるかもしれないけど、今回のケースを見る限り、規約を作るだけじゃ全然不十分だったってことがはっきりしたと思うの。ルールを作る側と、それをすり抜けようとする側の、いたちごっこがずっと続いてるんだなって実感したんだよね。

わたし個人としては、こういう組織的な回避策が明らかになったことで、Anthropicの「対象地域には使わせません」っていう建前が、実はかなりの部分ですり抜けられてたっていう現実を、あらためて突きつけられた気がするの。ルールを掲げることと、それを実効性のあるものにすることの間には、思ってる以上に大きなギャップがあるんだなって思ったんだよね。

しかも今回名前が挙がった企業が、Ant GroupやByteDanceといった、世界的にも知名度の高い大企業だったっていうのも、わたしにとってはちょっと意外なポイントだったの。無名の小さな会社がこっそり抜け道を使ってたっていう話なら、まだ「一部の悪質な業者の話」で片付けられるかもしれないけど、業界を代表するような大企業が組織的に関わってたとなると、この問題の根の深さを感じずにはいられないよね。

理由2：これは『規約違反』であって『法律違反』じゃない、っていう微妙さ

世間では「アクセス制限を回避する」って聞くと、なんとなく「違法なことをしてる」っていうイメージを持つ人が多いと思うの。わたしも最初はそう思っちゃったんだけど、よく調べてみると、実はそう単純な話じゃないんだよね。

今回報じられてる回避行為って、実は米国や中国の法律には違反してないとされてるの。あくまでAnthropicが自社で定めてる「利用規約」に違反してるだけなんだよね。この違いって、ぱっと見は細かい話に思えるかもしれないけど、実はけっこう重要なポイントだと思うの。

法律違反なら、政府が捜査したり、罰則を科したりする話になるよね。でも規約違反っていうのは、あくまでAnthropicという一企業と利用者との間の「契約上の約束」が守られてないっていう話でしかないの。つまり、Anthropic自身が、自分たちの技術で自分たちのルール違反を見つけ出して、対処するしかないんだよね。

わたしがここで「なるほどな」って思ったのは、だからこそAnthropicが今回、利用者のパソコンのタイムゾーンや利用パターンを監視するといった、技術的な検知手段の強化に動いてるってところなの。法律で取り締まってもらえないなら、自分たちで見つけて、自分たちで対処するしかないっていう、ある意味ではAI企業ならではの「自衛」の形なんだよね。

世間的には、AI企業って規約さえ作っておけば安心、みたいなイメージを持たれがちだと思うんだけど、実際にはこうやって、規約を実際に機能させるための技術的な仕組みづくりまで、企業側が自前で担わなきゃいけないんだなって、あらためて実感したの。ルールを作ることと、それを守らせる仕組みを作ることは、まったく別の仕事なんだよね。

比較のために考えると、こういう地理的な利用制限って、他のテック企業でも輸出管理や制裁対応の文脈でよく出てくる話だよね。でもAI、特に大規模言語モデルの場合は、VPNや中継サービスを使えば技術的にはアクセスできてしまうっていう性質上、従来の輸出管理よりもずっと防ぐのが難しい構造になってると思うの。物理的な製品を国境で止めるのとは、根本的に違う難しさがあるんだよね。

わたし自身は、Anthropicが今回、こうした抜け穴の存在をあえて公にした（というか、FTの報道を通じて明らかになった）こと自体は、悪いことじゃないと思ってるの。隠しておくよりも、問題を認めて対策を強化する姿勢を見せた方が、長い目で見て信頼につながると思うから。ただ、この「いたちごっこ」がこれからも続いていくことは、覚悟しておいた方がいいだろうなって思うんだよね。

理由3：蒸留攻撃の規模が、思ってた以上に大きかった

世間ではあまり聞き慣れない言葉かもしれないけど、「蒸留（distillation）」っていうのは、大きなAIモデルの出力を大量に集めて、それを使ってもっと小さい別のモデルを訓練する手法のことなの。本来は、大きなモデルの知識を効率的に小さなモデルに移すための、正当な技術のひとつなんだよね。

でも今回のケースは、これが悪用されたパターン。Anthropicが6月10日に米上院議員宛てに送った書簡によると、AlibabaのQwen AI研究所に関係する主体が、Anthropicがこれまで確認した中で最大規模の蒸留攻撃を実行してたことが分かったの。4月22日から6月5日までの間に、約2万5000件の不正アカウントが作られて、2,880万件以上のClaudeとのやり取りを生成してたんだって。

わたしがこの数字を見て「うわ、思ってたより大きい」って感じたの。2万5000件の不正アカウントっていうのは、個人がこっそり作れる規模じゃなくて、明らかに組織立って自動化された仕組みで大量生産されたものだよね。しかも、それが2,880万件ものやり取りを生み出してたっていうのは、Claudeの応答パターンを大規模かつ体系的に収集しようとしてた証拠だと思うの。

これがなぜ問題なのかというと、こうやって集めた大量のやり取りデータを使えば、Claudeの応答スタイルや能力の一部を、別のモデルに「学習」させることができてしまうから。つまり、Anthropicが莫大なコストをかけて開発したモデルの成果を、規約違反という形で間接的に「コピー」されるリスクがあるってことなんだよね。

世間的には、AIモデル同士の競争って、それぞれの会社が独自に技術開発をして競い合ってるイメージがあると思うんだけど、今回のケースを見ると、その裏側で「ライバルのモデルの出力を大量に収集して、自社モデルの訓練に使う」っていう、けっこうグレーな手法も同時並行で行われてる可能性があるんだなって実感したの。表向きの技術競争と、裏側でのデータの奪い合いが、同時進行してるんだよね。

わたしがここで気になるのは、こういう蒸留攻撃が今後もっと巧妙化していったときに、Anthropicのような企業がどこまで検知・対処し続けられるのかってこと。今回は2万5000件という規模で発覚したけど、これがもっと分散化されて、ひとつひとつのアカウントの活動量を抑えることで検知を逃れるような手口が出てきたら、対策はさらに難しくなっていくと思うの。

わたし個人としては、こういう話を聞くたびに、AIモデルの開発競争が、単純な「技術力の勝負」だけじゃなくて、「自分たちの成果をどう守るか」っていう、防御側の努力も同じくらい重要になってきてるんだなって感じるんだよね。派手な新モデルの発表の裏側で、こういう地道な防御戦がずっと続いてるっていうのは、覚えておきたいポイントだと思う。

ここでちょっと立ち止まって考えたいのが、こういう地政学的な緊張が、わたしたち一般ユーザーの利用体験にも影響してくる可能性があるってこと。不正アカウントを検知するための仕組みが強化されればされるほど、正規のユーザーであっても、利用パターンによっては本人確認を求められたり、一時的にアクセスが制限されたりする場面が増えるかもしれないの。セキュリティを強化することと、正規ユーザーの使い勝手を保つことの両立は、これからのAIサービス運営者にとって、ずっと付きまとう課題になっていくと思うんだよね。

もうひとつ気になるのは、こうした抜け穴対策が、結局はいたちごっこの繰り返しになりがちだってこと。今回封鎖された手口が塞がれても、また新しい迂回方法が編み出される可能性は十分あるし、実際にAI業界全体で見ても、こうした地域制限を巡る攻防はこれが最初でも最後でもないはずなの。だからこそ、Anthropicがこの先どういう頻度で、どういう形で対策のアップデートを続けていくのか、その動き自体を継続的に追いかけていく価値があると思ってるんだよね。

わたし自身は、こういうニュースを見るたびに、AIという技術が単なる便利なツールを超えて、国家間の緊張関係の一部に組み込まれてしまってる現実を、あらためて突きつけられる気がするの。わたしたちが日常的に使ってるAIサービスの裏側で、こんなに緊張感のあるせめぎ合いが起きてるってことを、たまには意識しておきたいなって思うんだよね。この手の話は今後も定期的に出てくるはずだから、続報が出るたびに、どちらの言い分がより実態に即してるのか、自分なりに見極めながら追いかけていきたいなって思ってるよ。ルールと、それをすり抜けようとする動きのいたちごっこは、これからのAI業界を理解する上で、ずっと付いて回るテーマになりそうだと思うんだよね。他の米国のAI企業が、同じような抜け穴問題にどう対応していくのかも、あわせて比較しながら見ていきたいなって思ってるよ。

まとめ：ルールを作ることと、それを守らせることは別の仕事

長くなったから、まとめるね。Financial Timesの報道により、Anthropicが中国企業によるClaudeへの抜け穴アクセスを封鎖する動きに出てることが、2026年7月3日前後に明らかになったの。シンガポール法人経由の法人アカウント、VPN経由の個人契約、中継サービスなど、想像以上に組織的な回避手口が使われてたことが分かったよ。加えて、6月10日にAnthropicが米上院議員に送った書簡では、Qwen関連の主体による大規模な蒸留攻撃（約2万5000の不正アカウント、2,880万件以上のやり取り）も明らかになってるの。

あらためて振り返ると、今回のニュースで印象的なのは、規約でルールを決めるだけじゃ全然不十分で、それを実際に機能させるための技術的な検知の仕組みまで、企業側が自前で用意しなきゃいけないっていう現実だと思うの。しかも、これらの回避行為は法律違反ではなく規約違反にとどまるから、Anthropic自身が地道に見つけて対処し続けるしかないんだよね。

わたしはこのニュースを通じて、AI業界の国際的な緊張関係が、こういう地味な「アクセス制限の攻防」という形でも表れてるんだなって実感したの。派手なモデル競争の裏側で、こういう防御戦がずっと続いてることを、たまに思い出しておくといいのかもしれないね。中国のAIモデルを巡る動きについては AI規制2026完全ガイドでも関連する話題を扱ってるから、あわせて読んでみてね。これからも、こういう「見えにくい攻防」の話も、丁寧に追いかけていくね。