中国人民解放軍（PLA）部隊の研究者はOpenAIのGPT-3.5を、国防系大学の研究者はAnthropicのClaude 3 Haikuを教師に使い、国内の小型AIを訓練していたことを、Reutersが2026年7月31日、中国の論文と特許80件超を調べて報じた。ただし、後者については軍事配備を示す証拠はない。公開資料から最も明確に確認できるのは、米国のフロンティアモデルを丸ごと複製した事例ではない。PLA部隊がGPT-3.5に大量の教師データを作らせ、コード要約という一つの能力を小型モデルへ移した実験である。高度な半導体を止めるだけでは塞げない、モデル出力を経由する技術移転の回路がそこにある。
215万件の出力を3億5000万パラメータへ
PLA第96941部隊の研究者6人は、2025年7月に『大規模モデル知識蒸留に基づくコード要約』を公開した。ソースコードを外部のAIへ送ることに伴う漏えいリスクを避けるため、GPT-3.5で作った要約を使い、ローカル環境で動く小型モデルを訓練する研究だ。論文は第96941部隊を著者全員の所属先として記している。米空軍のChina Aerospace Studies InstituteがまとめたPLAロケット軍（PLARF）の部隊番号資料では、96941はPLARF参謀部の直属部隊に当たる。
研究者らは、Javaのメソッドと人間が書いた要約を収めた公開データセットを起点にした。GPT-3.5へ「このJavaメソッドを1文で説明せよ」と問い、最終的に215万件の要約を収集した。蒸留先には、3,800万、1億1,000万、3億5,000万パラメータの「Jam」と、155億パラメータのStarCoderを用意した。Jamは事前に520万件のJavaメソッドを学んだモデルであり、GPT-3.5の出力だけから一から作ったわけではない。
数字が物語るのは、汎用知能の複製ではなく、特定作業を安く切り出す効果だ。215万件を使った3億5,000万パラメータ版Jamの訓練時間は10.5時間で、単一の16GB消費者向けGPUで動かせる。155億パラメータのStarCoderは、17万件のデータでも訓練に28時間かかった。論文によればStarCoderの費用はJamの28倍だが、評価指標の差はMETEORで10%、USEで5%にとどまった。
人間による比較でも差は小さい。15人のJava開発者が30件ずつ、計450件の要約を評価したところ、GPT-3.5を好んだ割合は52%、Jamは46%、判断不能は2%だった。正確性、完全性、簡潔性には統計的に有意な差がなかったという。研究者自身も、学生モデルがGPT-3.5の全能力を再現するとは主張していない。論文は未知のコードへの一般化で問題が起こり得ると留保する一方、評価対象のコード要約では外部APIに近い結果を得た。コードを第三者へ送らずに済むことも、ローカル実行の利点になる。
軍関係機関の研究と軍事配備の間
Reutersの調査を読む際には、研究者の所属、論文が想定する用途、実際の配備を分ける必要がある。中北大学の研究者が2025年に発表した論文は、Claude 3 Haikuで少量データを増やし、知識蒸留と枝刈りを組み合わせた小型分類モデル「EQSBERT」を作るものだ。公開抄録は、自動ラベリング、ソーシャルメディア監視、コンテンツ監査への応用可能性を挙げる。だが、軍や警察へ納入したとは書いていない。
中北大学と国防産業の結びつきは明白である。同大学は公式プロフィールで、山西省政府に加えて中国の工業情報化部と国家国防科技工業局が共同で設置する大学だと説明している。前身は1941年に八路軍が設立した兵器工業学校で、自らを「人民兵工第一校」と呼ぶ。学校の使命には「軍のために武器を造る」という文言もある。それでも、国防系大学に所属する研究者がClaudeを使った事実だけで、その分類モデルを軍事システムと認定することはできない。
一方、PLAがどの能力を求めているかは別の資料から確認できる。Georgetown大学のCenter for Security and Emerging Technologyは、2023年から2024年に公開されたPLAの提案依頼書を数千件調査した。そこには意思決定支援、センサー性能の強化、異なる情報源から得たデータの統合が並ぶ。米海軍の艦艇を探知する技術や、米国の宇宙システムへ対抗する技術も目立った。
したがって、需要と供給の両側は存在する。PLAは大量の情報を素早く処理し、現場で使える小型AIを欲している。軍と制度的に結びついた大学や部隊は、米国製モデルを教師として研究している。ただし、公開論文は研究成果が実戦システムへ組み込まれた時期も、部隊での運用実績も示していない。Reutersが見つけた文書群は、外国製APIから国産・ローカル実行モデルへ能力を移す研究が、軍部隊や国防系大学で行われた複数の例を示す。しかし、公開情報だけでは、この経路が軍関係機関にどこまで広がっているかは判定できない。
なぜチップ規制だけでは止まらないのか
知識蒸留は、本来は正当なモデル圧縮技術である。Geoffrey Hinton、Oriol Vinyals、Jeff Deanが2015年に示した方法では、大きなモデルや複数モデルの出力を教師信号にして、配備しやすい小さなモデルを訓練する。大きな教師が出す確率分布や応答には、正解ラベルより豊かな情報が含まれる。モデル開発企業も、自社の大型モデルから安価な製品を作るために使ってきた。
問題は、教師モデルの所有者が許可していない状況でも、その出力を集められることだ。Florian Tramèrらは2016年、内部の重みや訓練データを知らなくても、公開APIへ繰り返し問い合わせればモデルの機能を高い忠実度で複製できると実証した。生成AIでは返答が長く、説明やコード、推論の例まで教師データにできる。APIは製品を成立させるために能力を外へ見せなければならず、その出力自体が抽出面になる。
PLA第96941部隊の論文は、この非対称性を具体的な数字へ落としている。米国側はGPT-3.5を作るために巨大な計算基盤とデータを必要としたが、利用者は完成済みモデルへ215万回分の教師例を作らせ、3億5,000万パラメータの学生へ狭い能力だけを移せる。学生モデルの訓練にはGPUが要るものの、論文が示した規模は単一の16GB GPUで足りる。チップ規制が狙う最先端モデルの事前学習と、蒸留後の特化モデル配備では、必要な計算量が違う。
とはいえ、蒸留は計算資源を不要にしない。教師への大量アクセスには費用がかかり、検知を避けるには多数のアカウントや代理サービスが要る。学生側にも事前学習済みモデルと質の高い入力が必要だ。第96941部隊の論文が成功したのは、コード要約という評価しやすい一作業に狙いを絞ったからである。蒸留でGPT-3.5の重みや設計を取り戻したわけでも、一般的な推論能力を再現したわけでもない。
この制約は脅威を小さくするとは限らない。軍事用途では、万能チャットボットより、通信が切れた環境で一つの仕事を確実に処理する小型モデルの方が使いやすい場合がある。今回の論文は、コード要約という狭い用途なら単一GPUで動くモデルへ能力を移せることを示した。ただし、画像分類やセンサー処理でも同じ効果を得られるかは、この研究では検証されていない。米国側は基盤モデルの訓練工程に加えて、その能力を速く、安く、閉じた環境へ運ぶ配備工程も守らなければならない。
利用規約から国家安全保障へ
Anthropicは2026年2月、DeepSeek、Moonshot AI、MiniMaxが約2万4,000の不正アカウントを使い、Claudeと1,600万回超やり取りしたと発表した。同社によれば、MoonshotはClaudeの推論過程を再構成しようとし、MiniMaxはClaudeの新モデル公開から24時間以内に抽出トラフィックのほぼ半分を新モデルへ切り替えた。一つの代理網が2万超のアカウントを同時に管理した例もあったという。これはAnthropicによる帰属判断であり、第三者監査で確定した数字ではない。それでも、個々の研究者がAPIを試す段階とは異なる規模を示す。
米政府もモデル出力を独立した防衛対象として扱い始めた。White House Office of Science and Technology Policyは4月23日のNSTM-4で、中国を中心とする外国主体が「意図的かつ産業規模」で米国のフロンティアAIを蒸留していると記した。対策には、企業と政府の情報共有、AI企業間の防御協調、関与した外国主体への責任追及が含まれる。
議会では4月15日に「Deterring American AI Model Theft Act of 2026」が提出され、下院外交委員会が4月22日に可決した。法案は、モデル抽出に関与した主体の評価と公開リスト、制裁の枠組みを設ける。蒸留を一律に禁じるのではなく、所有者の同意を得た圧縮と、不正アカウントやアクセス制限の回避を伴う抽出攻撃を分けようとしている。
それでも、政策が技術へ追いつくには証拠の質が要る。軍関係機関の所属だけで軍事利用を断定すれば、汎用研究まで同じ網にかかる。反対に、利用規約違反だけに縮めれば、抽出した能力を閉じたローカル環境へ移せる可能性を、安全保障上どう扱うかという問題を見落とす。第96941部隊の論文が残した基準は明快だ。誰がどの教師モデルへ何回問い合わせ、どの能力を、どの規模の学生モデルへ移し、どのハードウェアで動かしたのか。この連鎖を具体的に示せるかどうかが、次の規制と報道の信頼性を決める。
