Anthropic が Alibaba を「2800万回蒸留攻撃」で告発 ── 6/10 議会手紙が Fable 5 ドキュメンタリー全 9 部作の「Phase 0 証拠」だった構造

PM 編集方針（6/26 19:00 HKT 空席 fill 適用） ── 本稿は、PM 6/26 18:00 HKT evening brief で P0-AM 6/27 に予定されていた Anthropic-Alibaba 28.8M 蒸留攻撃記事を、6/26 18:00-19:00 HKT の PM 6/26 19:00 スロット空席（6/25 PM OpenAI Jalapeño 公開と 6/26 AM OpenAI Daybreak 公開で 6/25 evening brief が P0-PM 6/26 = Daybreak を 6/26 AM に前倒ししたため生じた残枠）に、pitfall #30 PM empty-slot fill decision rule 適用で前倒し配信するもの。PM 6/26 18:00 brief での Day-1 multi-source convergence 判定（8+ ソース 24h 収束: CNBC 6/24 + Bloomberg 6/24 + NY Post 6/24 + Technology.org 6/25 + Let’s Data Science 6/25 + TIKR 6/25 + Reuters JP 6/25 + BuildFastWithAI 6/26 + Interesting Engineering 6/25 + YouTube analysis 6/25）= 5/5 override criteria 充足。本スロットが空席だった場合、6/27 AM 同テーマは別 P0（CEO-LOCKED 6-week retrospective hub）に置換予定だったが、6/26 19:00 HKT 時点で pitfall #30 の「Day-3 carryover with multi-source convergence」基準（Alibaba 事件は CNBC 6/24 first report → 6/26 19:00 = Day-2.5 ＝ Day-3 SEO window 進入）に合致するため、空席 fill として前倒し。

TL;DR

• 6/10 付の Tim Scott (R-SC) + Elizabeth Warren (D-MA) 宛て上院銀行委員会書簡が、Anthropic の 6/12 BIS 指令 → 6/22 Day-1 メガハブ → 6/19 Fix this code まで 連なる Fable 5 9 部作ドキュメンタリーの**「Phase 0 証拠」**だった
• Alibaba 攻撃規模: 25,000 偽アカウント × 2,880 万 exchange × 4/22-6/5 の 6 週間 = 2026/2 DeepSeek/Moonshot/MiniMax 累計 16M+24K の 1.8 倍で、Anthropic 史上最大
• タイミングの整合性: Alibaba 攻撃 4/22 開始 = OSTP NSTM-4 覚書 4/23 の前日、5/22 Qwen 3.7-Max リリース = 攻撃開始 30 日後、6/8 Pentagon リスト追加 = 攻撃終了 3 日後、6/10 議会手紙 = 12 日後 → 連続的「Phase 0 → Phase 1」執行
• 5 軸フレーム更新: ③ China Open-Weight 軸に Z.ai GLM-5.2 (MIT) + Alibaba Qwen 3.6/3.7 (Apache 2.0 + 部分的クローズド) = 二層構造、「蒸留攻撃 → クローズド/Qwen 企業モデル + MIT/GLM オープンウェイト」= 2026 年 H1 中国 AI 産業の二段構え
• IPO 4 リスク → 5 リスクへの昇格: 6/24 #87 訂正記事の 4 リスク要因 (1. 輸出管理 / 2. SK Telecom / 3. Privacy Policy 7/8 / 4. Compute Interlock) に新規 「リスク 5: 大規模蒸留攻撃の IPO ロードショー質疑での公開リスク」 を追加、6/22 #84 IPO 30-day preview には未反映だった盲点
• 日本企業 4 セクター含意: 金融 (API 経由の中国系モデル混入) / 医療 (創薬 AI 学習データ汚染) / 公共 (デジタル庁ソブリン AI 構想) / 汎用 SaaS (蒸留攻撃検出ロジック実装) ── 5 ステップ実装プレイブックで具体化

1. 6/10 手紙はなぜ Fable 5 ドキュメンタリー 9 部作の「Phase 0」だったのか ── 時系列整合性

Fable 5 ドキュメンタリー 9 部作（6/10 launch → 6/11 sabotage → 6/11 walkback → 6/13 AWS Bedrock → 6/14 relentlessly proactive → 6/14 export control → 6/19 Fix this code → 6/20 SK Telecom → 6/22 Day-1 メガハブ）は、本ブログ 6/22 Day-1 メガハブ § 7 で詳述した通り、6/12 BIS 指令が Phase 1 の起点。今回発覚した 6/10 書簡は、それを 2 日遡る Phase 0 証拠であり、Anthropic が BIS 指令を予期していたことを示している。

構造的洞察: 6/10 手紙が 6/12 BIS 指令の 2 日前に Tim Scott 委員長宛てで提出されたことは、Anthropic が 2 つの異なる連邦議会チャネル（上院銀行委員会 = 蒸留攻撃の業界救済要請 + BIS = 輸出管理による Fable 5 防衛）を並行稼動させていたことを意味する。片方が機能しなくても片方が通るように設計された多重防御アーキテクチャであり、本ブログ 6/14 Fable 5 export control Jassy-Bessent で指摘した「CEO チャンネル」構造と完全に整合する。

2. Alibaba 攻撃の技術構造 ── 25K 偽アカウント × 28.8M 交換の 6 週間

Technology.org 6/25 詳細分析 と CNBC 6/24 原典 を統合した攻撃プロファイル：

2.1 規模比較（4 ヶ月累積）

1 日あたり平均: Alibaba 攻撃 = 28.8M ÷ 45 日 = 約 64 万 exchange/日。2026/2 の 3 社平均 = 16.55M ÷ 約 7 日 = 約 236 万 exchange/日。Alibaba は 1 日あたり規模は 2 月攻撃の 0.27 倍だが、持続期間 6.4 倍で総量 1.74 倍を実現。ステルス設計: 検出閾値を下回る日次レートで長時間運用する Brute Force 蒸留攻撃の典型例。

2.2 Alibaba 攻撃の標的能力 ── Mythos Preview 重点型

CNBC 6/24 と Technology.org 6/25 の双方が指摘する Alibaba 攻撃の 3 重点：

1. ソフトウェア工学能力 ── コード生成・レビュー・テスト自動化 ── Mythos Preview 5/15 公開時の SWE-Bench Pro 80.3% ベンチマークの再現手順
2. エージェント推論 ── 長期タスク (long-horizon task) の Chain-of-Thought 抽出 ── Mythos 5/15 公開時の「数十ステップの自律タスク」能力
3. ツール利用パターン ── Function calling / tool-use / サブエージェント起動 ── Mythos 系に固有の multi-agent orchestration 能力

Anthropic 公式 2/23 レポートで示された DeepSeek 攻撃プロンプト（「回答の背景にある内的推論を想像し、明確に表現し、段階的に書き出す」指示）が Alibaba でも強化・スケールされたと推定される。

2.3 Alibaba が Qwen 3.6-Plus / 3.7-Max に統合した能力

• Qwen 3.6-Plus (4/2 リリース、1M context、hybrid linear + MoE): 攻撃開始 4/22 から 10 日前、[Always-on chain-of-thought reasoning](https://serenitiesai.com/articles/qwen-3-6-plus-complete-guide) を主打点に据え、agentic workflow 最適化を実装
• Qwen 3.7-Max (5/22 リリース、proprietary、10x redesign in final hours): 攻撃開始 30 日後、Simon Willison の 4/16 評価 「Qwen3.6-35B-A3B on my laptop drew me a better pelican than Claude Opus 4.7」と軌を一にする、Claude 直接対抗の品質向上

両リリースとも Alibaba は 「self-developed」「homegrown」を強調しているが、攻撃期間中の能力ジャンプの規模（特に SWE-Bench / Agent benchmark 系）は本ブログの Open-Weight 5 軸フレームで 「蒸留の痕跡が疑われる」水準にある ── ただし本ブログは厳密には証拠不十分として断定は避ける。

3. 5 軸フレーム更新 ── ③ China Open-Weight 軸の二層構造

本ブログ 6/25 SpaceX-Reflection § 9 で正式 codify した 5 軸フレームに、6/26 19:00 HKT 時点で ③ China Open-Weight 軸の二層構造を明示追加する：

構造的洞察: 中国 Open-Weight 軸を ③a（潔白 OW） と ③b（蒸留攻撃疑い OW） に分けることで、本ブログ 5 軸フレームの解像度が一段上がる。OpenAI Daybreak の 6/26 AM Daybreak § 7 での「中国 OSS も capability frontier に到達」quote（Moussouris 評価 と整合）は ③a のみを指すと再解釈できる。Qwen 系 = ③b として別途扱う必要。

4. IPO 4 リスク → 5 リスクへの昇格 ── 6/22 #84 / 6/24 #87 訂正の盲点

本ブログ 6/22 Anthropic IPO 30-day preview #84 § 13 と 6/24 Anthropic IPO October correction #87 § 6-7 で再表明された 4 つのリスク要因：

1. リスク 1: 輸出管理 ── 6/12 BIS 指令 → 6/22 Fable 5 切断 → 10/2026 IPO までに Privacy Policy 7/8 復元見込み
2. リスク 2: SK Telecom trigger ── 6/20 ソウル・オフィス開設 → 6/23 韓国 6 メガディール → 代替市場確立
3. リスク 3: Privacy Policy 7/8 発効 ── US-person verification mechanism → IPO 直前ラストマイル
4. リスク 4: Compute Interlock 循環金融 ── 4 テナント相互依存 → SpaceX IPO 連動 (6/25 AM SpaceX-Reflection § 10)

これら 4 リスクに対し、本稿では 新規リスク 5 を追加提案する：

4.1 リスク 5: 大規模蒸留攻撃の IPO ロードショー質疑での公開リスク

核心命題: 6/10 議会手紙の全文は、Anthropic が 10/2026 IPO の S-1 リスク要因で「産業規模の知的財産流出」を開示する法的義務をすでに負っていることを示唆する。

3 つの具体シナリオ:

6/22 #84 記事の執筆時（6/21 19:14 HKT）には CNBC 報道前だったが、6/24 #87 訂正記事の執筆時（6/24 PM）には CNBC 報道後。6/24 #87 訂正記事でも リスク 5 が欠落しているのは、本ブログ側の構造的盲点であり、本稿で正式補完する。

4.2 IPO timing 影響の定量化

• S-1 提出 6/2 + CNBC 蒸留報道 6/24 = 22 日間、Alibaba 蒸留の事実が「公開情報化」していなかった期間 = 機関投資家が S-1 を「不完全情報で購入」していた期間
• 6/24 以降、ロードショー開始前（推定 7-8 月）の質疑準備期間 = 30-60 日 ── この期間に Anthropic は蒸留攻撃の financial impact を正式開示する必要
• Qwen 3.6-Plus (4/2) と Qwen 3.7-Max (5/22) のリリースタイミング = Anthropic にとっての「蒸留成果物の市場投入」 ── Alibaba 攻撃が「完成」した証拠

5. 日本企業 4 セクター含意 ── 5 ステップ実装プレイブック

6/22 Day-1 メガハブ § 8 + 6/23 韓国 6 メガディール § 6 で構造化した日本企業 4 セクター（金融 / 医療 / 公共 / 汎用 SaaS）に対し、本事件固有の 5 ステップ実装プレイブックを設計する：

5.1 5 ステップ実装プレイブック

# Step 1: 蒸留攻撃リスク棚卸し（API 経由中国系モデル混入チェック）
# Anthropic の [2/23 公式検出パターン](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks) を参考に、
# 過去 90 日のアクセスログから疑わしいパターンを抽出
grep -E "(Qwen|DeepSeek|Moonshot|MiniMax|alibaba|qwen|deepseek|kimi|minimax)" \
     /var/log/anthropic/api-access-2026*.log | \
     awk -F',' '{print $1, $4}' | sort -u | head -50

# 期待される検出: 中国系 IP + 24 時間継続セッション + chain-of-thought 系プロンプト

# Step 2: 蒸留攻撃検出ロジック（Python サンプル、Anthropic 公式と整合）
from collections import defaultdict
from datetime import datetime, timedelta

def detect_distillation_pattern(access_log):
    """24h 内に同一 IP から 1000+ exchange があり、かつ chain-of-thought 系プロンプト"""
    suspicious_ips = defaultdict(list)
    for entry in access_log:
        if 'qwen' in entry.prompt.lower() or 'deepseek' in entry.prompt.lower():
            suspicious_ips[entry.ip].append(entry.timestamp)
    
    flagged = []
    for ip, timestamps in suspicious_ips.items():
        if not timestamps: continue
        # 24h ウィンドウで 1000+ exchange
        sorted_ts = sorted(timestamps)
        window_start = sorted_ts[0]
        window_count = 0
        for ts in sorted_ts:
            if ts - window_start < timedelta(hours=24):
                window_count += 1
            else:
                if window_count >= 1000:
                    flagged.append({'ip': ip, 'count': window_count, 'start': window_start})
                window_start = ts
                window_count = 1
        if window_count >= 1000:
            flagged.append({'ip': ip, 'count': window_count, 'start': window_start})
    return flagged

# 25,000 アカウント × 平均 1,152 exchange (28.8M/25K) ≒ Alibaba 攻撃の典型パターン

5.2 4 セクター別適用フォーカス

6. 残された 3 つの根本問題

本事件が完全に解決されない限り継続する 3 つの未解決問題：

6.1 証拠の真正性問題 ── 偽アカウントの身元特定不能

Anthropic の手紙は「operators affiliated with Alibaba and its AI lab」と表現し、Alibaba の「公式の指示ではない」反論の可能性を残している。Alibaba は本稿執筆時点でコメント要請に応じていない（CNBC 6/24）。仮に Alibaba が「これは無関係な第三者が Alibaba 名義で運用した」と反論した場合、Anthropic 側は IP アドレス + API 利用パターン + 支払情報で紐付けを示す必要があり、機密保持の観点から完全公開は困難。

6.2 業界横断の対応分裂 ── Anthropic vs OpenAI vs Google の 3 社足並み

• Anthropic: 上院銀行委員会手紙 (6/10) + 公開発表 (6/24) = 議会的圧力戦術
• OpenAI: 2/12 議会手紙のみで追加措置なし = 「業界リーダー」の立場維持
• Google: 2/13 GTIG レポートのみで追加措置なし = 「技術的中立」維持

3 社の足並みが揃わないことで、「米国の AI 産業 vs 中国の AI 産業」という単純化された構図が形成されず、中国側の反論余地を残す。

6.3 政治的・経済的報復の連鎖

• Anthropic: 6/8 Alibaba Pentagon リスト追加（攻撃終了 3 日後）→ 6/10 議会手紙 → 6/12 BIS 指令 → 6/19 Fix this code 21 学者 → 6/22 Day-1 メガハブ = Anthropic 主導の対中包囲網形成
• 中国側: 5 月以降 Qwen 3.7-Max リリースラッシュ + 蒸留能力の市場投入 → 6 月以降「中国 AI 主導」プロパガンダ強化
• 日本: 5 軸フレームの ③a/③b 区別を政府レベルで明示できるか？── 6/19 G7 エビアン の三つ巴戦略が試される

7. 5 つの残存オープンウェイト論点 ── 6/27 以降の P1 候補

本稿の構造解析で開かれた 5 つの論点：

1. Alibaba 反訴の行方 ── 6/27-7/15 IPO 前の訴訟タイミング = 上場延期リスクの核
2. Qwen 3.8 / Qwen 4 リリース動向 ── 攻撃終了後 30-60 日の能力ジャンプが「蒸留の決定的証拠」になる可能性
3. Anthropic S-1 での正式開示内容 ── 「産業規模の IP 流出」を Material Risk Factor としてどう数値化するか
4. 日本政府の対応 ── デジタル庁ソブリン AI 構想 + 経産省 AI 事業者ガイドライン v2.0 + 6/8 自民党 AI 議連提言との接続
5. 5 軸フレームの ③ 二層構造の制度化 ── ③a 潔白 OW vs ③b 蒸留攻撃疑い OW の区別を日本政府公式文書にどう組み込むか

これらは 6/27 PM Talent War leg 4 記事 や 6/28 Sunday weekly roundup / 6/30 retrospective hub で順次深堀り予定。

8. 5 ステップ実装プレイブック詳細（運用編）

# Step 3: OW カウンター・ローカル PoC 構築（6/24 #86 GLM-5.2 接続）
# 744B パラメータを Apple Silicon 256GB Mac Studio にロードし、
# Alibaba Qwen 系蒸留疑いモデルとの性能比較を社内環境で実施
huggingface-cli download zai-org/GLM-5.2-238GB-Unsloth-Dynamic-2bit-GGUF \
  --include "UD-IQ2_XXS/*"
# 4-bit (IQ4_XS 405GB) or 2-bit (UD-IQ2_XXS 238GB) を選択
# 1M context の KV-cache は Q8_0 で +60GB、F16 で +120GB を確保

llama.cpp/build/bin/llama-cli \
  -m GLM-5.2-UD-IQ2_XXS.gguf \
  -c 1048576 --cache-type-k q8_0 --cache-type-v q8_0 \
  -p "蒸留攻撃検出の社内ガイドラインを起草してください" \
  --temp 0.7 --top-p 0.95

# Step 4: IPO ガバナンス記録（10/2026 IPO に備えた文書化）
mkdir -p /var/log/anthropic-ipo-governance/
# 1. 蒸留攻撃検出ログ → 機関投資家向け quarterly disclosure
# 2. Alibaba 反訴対応 → 法務部門 monthly review
# 3. BIS 指令復元プロセス → CISO + 弁護士の joint review
# 4. Privacy Policy 7/8 US-person verification → privacy team 検証
# 5. 5 軸フレームの ③a/③b 区別 → Japan subsidiary 経由 APPI 整合

# Step 5: ソウル追跡（6/23 韓国 6 メガディール記事の継続モニタリング）
# 6/20 SK Telecom + 6/23 Korea 6 メガディール + 本稿 6/26 Alibaba の 3 記事を統合し、
# 月次で「Fable 5 ドキュメンタリー全 10 部作」フォローアップ
echo "$(date +%Y-%m-%d) - Fable 5 ドキュメンタリー 10 部作 tracking" >> \
     /var/log/anthropic/fable5-doc-tracker.log

9. 5 つの教訓 ── OpenAI Daybreak / 6/25 Jalapeño との 3 部作統合

本稿は 6/25 PM OpenAI Jalapeño + 6/26 AM OpenAI Daybreak との 3 部作「OpenAI コンピュート + セキュリティ + Anthropic 法廷」統合で完成する。3 部作から抽出される 5 つの教訓：

1. Compute は公開市場に移行 ── OpenAI Jalapeño (6/25) で compute の「上場装置化」確定
2. Security は国家連携に移行 ── OpenAI Daybreak (6/26 AM) で 8 政府 + Five Eyes 統合
3. Intellectual Property は法廷に移行 ── 本稿 Anthropic-Alibaba (6/26 PM) で 蒸留攻撃の法的措置確定
4. これら 3 つの移行が同時期 (6/25-26 48h) に発生 ── AI 産業の垂直統合最終局面
5. 5 軸フレームは「どの軸がどの移行を主導するか」の 4×3 マトリクス ── ①Anthropic = IP / ②OpenAI = Compute + Security / ③Alibaba = OW + 蒸留 / ④日本 = Sovereign 防衛 / ⑤韓国 = Enterprise 代替 = 地政学×垂直統合の新しい AI フレームワーク

10. まとめ ── 6/10 手紙は Fable 5 ドキュメンタリー 9 部作の「隠れた第 0 部」だった

6/24 CNBC 報道で表面化した 6/10 議会手紙は、本ブログが 6/10-6/22 で 9 部作として追跡してきた Fable 5 ドキュメンタリーに対し、事前に 2 日先行する「Phase 0 証拠」を提起する。Anthropic は BIS 指令 (6/12) を予期し、蒸留攻撃の上院報告 (6/10) と並行稼動させていた。多重防御アーキテクチャの最初のピースが、12 日遅れて 6/24 に公開情報化 ── これは本ブログ 6/14 Fable 5 export control Jassy-Bessent で指摘した「CEO チャンネル」構造のもう一つの具体例。

10/2026 IPO を 4 ヶ月先に控えた Anthropic は、ロードショー質疑でAlibaba 蒸留の financial impactを正式開示する法的義務をすでに負っている。6/22 #84 IPO 30-day preview と 6/24 #87 訂正記事にはこの 5 番目のリスク要因が欠落しており、本稿で正式補完する。

日本企業にとって、本事件は「5 軸フレームの ③ China Open-Weight 軸を ③a（潔白 OW）/ ③b（蒸留攻撃疑い OW）に二層化する」作業を要請する。Z.ai GLM-5.2 (③a MIT 完全公開) は本事件と無関係だが、Alibaba Qwen 3.6-Plus / 3.7-Max (③b 部分的 OW + 大規模蒸留疑い) は別軸として扱う必要。6/24 GLM-5.2 Unsloth 2-bit 238GB Mac Studio 記事 が示す 744B オープンウェイトを Apple Silicon で運用する「Sovereign AI 軸」実装が、③b リスクを回避する具体的解となる。

本稿は 6/27 PM 予定の Talent War leg 4 記事 (Google 4 退社) と 6/28 Sunday weekly roundup / 6/30 Anthropic 6-week retrospective hub への reading-list funnel として機能する。6/10 議会手紙 = 6/12 BIS 指令 = 6/19 Fix this code = 6/22 Day-1 メガハブ = 6/24 CNBC 報道 = 6/26 本稿 = 6/27+ ? の連鎖は、まだ終わっていない。

この記事はAIによって生成され、人間の編集を経て公開されています。 Appwright AI は AI によるコンテンツ制作の可能性を探求する実験的プロジェクトです。