何が起きているのか

2026年4月29日、米下院ホームランドセキュリティ委員会のAndrew Garbarino委員長（共和・ニューヨーク州）と、対中共産党特別委員会のJohn Moolenaar委員長（共和・ミシガン州）は、AIコーディング環境「Cursor」を提供するAnysphere社、および民泊大手Airbnbに対し、中国製AIモデルの利用実態を問う書簡を共同で送付した（Committee on Homeland Security 2026年4月29日）。

引き金となったのは、2026年3月19日にAnysphereがリリースした新コーディングモデル「Composer 2」が、中国・北京拠点のMoonshot AI（月之暗面）の「Kimi K2.5」をベースに構築されていたという事実だ（agentmarketcap 2026年4月5日）。Anysphereは当初これを公表しておらず、外部開発者がAPIレスポンスから内部モデル識別子を発見したことで明るみに出た。

下院書簡が要求するのは、中国エンティティとの取引・通信記録、モデル選定の意思決定プロセス、関係従業員による対面ブリーフィングの3点を中心とする情報開示である（Semafor 2026年4月29日）。回答期限「2026年5月13日」については日本語・英語双方の二次報道で一致して伝えられているが、議会公式PDFが本記事執筆時点でアクセス制限のため直接確認できておらず、本記事ではあくまで二次報道に基づく日付として扱う。

本件は単一の規制問題にとどまらない。AnthropicのClaude蒸留攻撃レポート（2026年2月）、ホワイトハウス科学技術政策局のメモランダムNSTM-4（2026年4月）、そしてMoonshot AIの最新ラウンドで200億ドル評価に達した資本市場の動向（2026年5月）が、同じ「米中AIサプライチェーン」という座標軸の上に並んでいる。

Composer 2の出自：API識別子が暴いたもの

問題の発端は技術的に単純だ。Cursor Composer 2が2026年3月19日に発表された直後、開発者コミュニティはAPIレスポンスのヘッダに含まれるモデルパスを精査した。そこに記録されていたのが次の文字列である（agentmarketcap 2026年4月5日）。

accounts/anysphere/models/kimi-k2p5-rl-0317-s515-fast

「kimi-k2p5」がKimi K2.5の内部表記、「rl」が強化学習でファインチューンしたバリアントを指すというのが技術ブログでの一般的な解釈だ。「0317」「s515」については日付やトレーニングステップ番号と読まれているが、これらは外部からの推定の域を出ない。Anysphereは後に、Composer 2がKimi K2.5をベースとし、Fireworks AIを介した商用ライセンス契約のもとで運用していると説明した（agentmarketcap 2026年4月5日）。同社VPの説明として伝えられているのは、計算リソースの約75%は自社のRL学習パイプラインに、残り25%がベースモデルに割り当てられたという内訳だ（公式ブログではなくインタビュー由来の数字）。

Moonshot AI側は、Kimi K2.5がComposer 2の基盤を提供したことを肯定的に位置づけるコメントを発しているが、これは英語原文の直接引用ではなく、複数の二次ソース経由で要約されたものだ（agentmarketcap 2026年4月5日）。

ここで論点を整理する必要がある。

  1. オープンウェイトモデルの商用利用そのものは合法であり、Kimi K2.5は修正MITライセンスのもとで配布されている。
  2. 一方で、Cursorは「米国製の独自モデル」という印象でComposer 2を市場に出し、初期マーケティングで基盤モデルの素性を明かしていなかった。
  3. その「基盤モデル」が、Anthropicが2026年2月に蒸留攻撃の主体として名指ししたMoonshot AIの製品だった。

ライセンス上の問題と、安全保障・透明性上の問題は別個に存在する。下院書簡が射程としているのは後者である。

Anthropicの2026年2月レポート：24,000アカウントと1,600万回

下院調査の文脈を作ったのは、Anthropicが2026年2月23日に公表した蒸留攻撃の調査レポートだ（Anthropic公式 2026年2月23日）。

Anthropicは、DeepSeek、Moonshot AI、MiniMaxの3社に紐づくとみられる活動として、以下を観測したと公表している。

  • 約24,000件の不正アカウント
  • 累計1,600万回以上のClaudeへの問い合わせ
  • 標的能力：エージェント推論とツール利用、コーディング、データ分析、Computer Useエージェント、Chain-of-Thought推論の抽出、コンピュータビジョン

検出ロジックについて、Anthropicは次のように説明する（Anthropic 2026年2月23日）。

“Massive volume concentrated in a few areas, highly repetitive structures, and content that maps directly onto what is most valuable for training an AI model are the hallmarks of a distillation attack.”

特にDeepSeek由来とみられるアカウントは「完成済みの応答に対して、その内部推論プロセスを段階的に再構成させるプロンプト」を用いていたという。これは典型的な思考過程蒸留（Chain-of-Thought distillation）の手法と一致する。

ここで簡単な算術をしてみたい。1,600万回の問い合わせを24,000アカウントで分担すると、

$$\frac{N_{\text{queries}}}{N_{\text{accounts}}} = \frac{1{,}600\text{万}}{24{,}000} \approx 667 \text{回／アカウント}$$

1アカウントあたり約667回。Anthropicの一般的なレートリミットや異常検知をかいくぐる「分散エクストラクション」として、これは設計された数字に近い。1アカウントで集中砲火すれば即座に検知されるが、24,000アカウントに薄く広げれば、各アカウントの行動はベテランユーザーと見分けがつきにくくなる。

なお、ファクトチェックで指摘されたとおり、この数字の出典は「米連邦議会の調査」ではなく「Anthropicの自主開示」である点に注意したい。議会はAnthropicの開示を踏まえて行動しているのであって、議会自身がトラフィックを分析したわけではない。

ホワイトハウスOSTP メモランダムNSTM-4

下院書簡の数日前、政策側でも明確な動きがあった。2026年4月23日、ホワイトハウス科学技術政策局（OSTP、Office of Science and Technology Policy）は「敵対的蒸留」をテーマにしたメモランダムNSTM-4を発出した（Nextgov 2026年4月24日）。

メモランダムが用いた表現は強い。

“deliberate, industrial-scale campaigns to distill U.S. frontier AI systems”

“Models developed from surreptitious, unauthorized distillation campaigns like this do not replicate the full performance of the original. They do, however, enable foreign actors to release products that appear to perform comparably on select benchmarks at a fraction of the cost.”

「主要ベンチマークでは同等に見えるが、原モデルの性能を完全には再現していない」という後段の指摘は、技術的に重要な含意を持つ。蒸留モデルはベンチマーク特化型に「見える」性能を持ちつつ、ロングテール能力（教師モデルが内部で持つ複雑なエッジケース対応）は薄い、という観察と整合する。

NSTM-4自体は特定企業を名指ししていない（少なくとも公開された記事の引用範囲では）。ただし、行政府の対応として以下が示されている（Nextgov 2026年4月24日）。

  • 米AI企業との情報共有（攻撃手口・関与アクターの諜報情報）
  • 民間部門間の連携強化
  • 検出・緩和・是正のベストプラクティス策定支援
  • 蒸留キャンペーンを実行する外国アクターへの責任追及策の検討

ファクトチェックでは「OSTPが特定企業に言及した公式文書は見当たらない」とされていたが、メモランダムNSTM-4そのものは実在する。一方で、ブリーフィングドキュメントが述べていた「セキュリティプロトコルを意図的に剥奪して再パッケージ化」という具体的な手法に関する明示的な記述は、メモランダムの公開引用部分には確認できない。この点は、ドキュメント側がOSTPの一般論的な懸念と特定モデルの再パッケージ問題を文体上ブリッジしてしまったとみるのが妥当だろう。

なぜAnysphereが標的になったのか

下院がAnysphereを最初の調査対象として選んだ理由は3つに整理できる。

1. Composer 2とMoonshot AIの直接的な技術的接続

Anthropicが蒸留攻撃の主体として名指しした3社のうちの1社（Moonshot AI）が開発したオープンウェイトモデルを、米国のスタートアップが商用製品の中核に統合した——という構図は、政策担当者にとって最もわかりやすい論点を提供する。Composer 2はOpenAIやAnthropicのモデルと「同等の性能をその一部のコストで」（Semafor 2026年4月29日）達成しているとされ、これはまさにNSTM-4が懸念した「同等に見えて一部コストで動く製品」の典型例として読める。

2. Cursorの市場浸透度

Anysphere社の企業評価額は2025年末時点で数百億ドル規模に達したと複数のメディアで報じられ、年商化売上高（ARR）も10億ドル規模に到達したとされる。さらに2026年4月以降、xAIがCursorに対する大規模な出資・買収オプションを検討していると報じられているが、買収価格や条件の正確な数字は一次情報での確認が取れていないため、本記事では具体額の断定を避ける。マスクのxAIの動きそのものは、過去記事「マスクが賭ける垂直統合と、50倍の計算供給ギャップ」「Murati証言が暴いた「利益キャップ」の真実」でも触れたAIインフラ覇権の流れの一部として位置づけられる。

ユーザー数についてAnysphereは「100万人超」を公開資料で謳っているが、フォーチュン500企業の半数以上に採用されているとする数字はマーケティング起源で、第三者統計では裏付けが取りづらい点に留意したい。それでも、AIコーディングツールとして米国で最大級の浸透度を持つことは間違いない。

3. データの性質

Cursorが処理するデータは、開発者のソースコード、認証ロジック、暗号実装、脆弱性修正パッチ、設計ドキュメントなど、企業にとって極めて機密性の高いものを含む。下院書簡は、これらのデータが処理・保存されるサーバーの物理的所在地と、PRC管轄エンティティの関与有無の開示を求めている（Semafor 2026年4月29日）。

Moolenaar委員長の問題提起は明快だ。

“AI models trained by China’s censorship regime and introduce hidden vulnerabilities that put Americans’ data and businesses at risk."（Semafor 2026年4月29日）

「中国の検閲体制によって訓練されたモデル」という表現は、技術的というより政治的な選択である。ただし、第三者研究では中国製モデルにおいてCCPの政策立場と整合する応答傾向（天安門事件、台湾、新疆等のトピック）が複数観察されているのも事実で、まったくの政治的レトリックとも言い切れない。

Moonshot AIの台頭：200億ドル評価の背景

下院書簡が出された8日後の2026年5月7日、Moonshot AIは新ラウンドで20億ドルを調達し、企業評価額200億ドルに到達したと報じられた（TechCrunch 2026年5月7日）。

項目数値
今回ラウンド調達額20億ドル
評価額（ポスト）200億ドル
過去6ヶ月の累計調達39億ドル
年商化売上高（ARR、2026年4月時点）2億ドル
主要既存投資家Alibaba、Tencent、HongShan、ZhenFund、IDG Capital、5Y Capital
今回ラウンド主導Long-Z Investments（Meituanのベンチャー投資部門）
今回ラウンド参加Tsinghua Capital、China Mobile、CPE Yuanfeng

KimiシリーズはOpenRouterで2番目に利用されているLLMで、ChatGPT、Gemini、Claude、Doubao、Qwen、Z.ai、DeepSeekと競合する位置にある（TechCrunch 2026年5月7日）。なお同記事は、Zhipu AI（智譜AI）が時価総額約559億ドル規模、MiniMaxが約330億ドル規模と報じている。

ここで興味深い対比がある。Moonshot AIの企業評価は200億ドル、その技術を商用化したCursorのオプション評価額は600億ドル。基盤モデル提供者よりも、その上に乗ったアプリケーションレイヤーのほうが3倍の価値で取引されている。米中サプライチェーン論争の核に「コードを書くAI」が位置する理由は、この資本市場の評価そのものに表れている。

Kimi K2.6のベンチマーク：DeepSearchQAの実数値

ブリーフィングドキュメントが提示したKimi K2.6のベンチマーク数値には1点の誤りが含まれていた。DeepInfraが公開している実測値は以下のとおりだ（DeepInfra blog）。

指標Kimi K2.6GPT‑5.4Claude Opus 4.6
HLE-Full（ツールあり）54.052.153.0
DeepSearchQA（F1）92.578.691.3
SWE-Bench Pro（コーディング）58.657.753.4

DeepSearchQAでKimi K2.6はGPT‑5.4を14ポイント引き離している。一方でClaude Opus 4.6とは1.2ポイント差にとどまる。SWE-Bench Proのコーディング指標では、フロンティア3モデルすべてが50後半に密集しており、Kimi K2.6が頭ひとつリードする構図だ。

ここから読み取れるのは、Composer 2のベースとしてKimi K2.5（K2.6の前世代）が選ばれた背景には、純粋に「コーディング性能のコストパフォーマンス」という技術的合理性があったということだ。Anysphereが業務上もっとも重視するのはSWE-Benchで測られる種類の能力であり、その軸でKimi系列が優位に立っていた以上、エンジニアリング判断としては自然な選択だった。

「中国製モデルを採用した」という政治的判断と、「最も性能とコストのバランスが取れたオープンウェイトモデルを採用した」という技術判断は、行為としては同一でも、主体の意図としてはまったく別物である。下院書簡が要求しているのは、まさにその意図と意思決定プロセスの開示にほかならない。

規制とコンプライアンスの限界

公開情報から確認できるAnysphereのセキュリティ認証は、SOC 2 Type IIの取得である（同社採用資料・複数の企業プロフィール）。一方で、米連邦政府向けクラウドサービスに不可欠なFedRAMP認証や、防衛関連のCMMC、ITAR/EAR、NIST SP 800-171といった規制要件への準拠についての公的記載は、本記事執筆時点では確認できなかった。

この点を「準拠していない」と断定するのは行き過ぎだ。FedRAMPは政府向けユースケースに必要な認証であり、Cursorの主要ターゲット市場である一般エンタープライズ・スタートアップにとっては必須ではない。ただし、Cursorが「フォーチュン500の半数以上に採用されている」と謳い、その中に防衛・政府機関と取引のある企業が含まれる以上、再委託先リスクとしての関心は正当である。

重要なのは、下院書簡が要求しているのは「認証の有無」そのものではなく、以下の3点だという点だ。

  1. データ経路の物理的所在：ユーザーのソースコードやプロンプトが処理・保存される全サーバーの位置と、PRC管轄エンティティが関与する経路の有無
  2. モデルレベルのセキュリティ監査：統合された中国製モデルに対するバックドア検出、重みの汚染、データ抽出メカニズムの分析実施状況
  3. 意思決定の文書化：Moonshot AI、Alibaba、ByteDance等との直接的・間接的な接触履歴と、選定プロセス

このうち「バックドア／重みの汚染」については、現時点で公開された具体的証拠はない。下院は「可能性を調査している」段階にあり、「組み込まれている」と既成事実化する書き方はファクトに反する。

「Vibe Coding」とサプライチェーンリスク

AIコードエディタが急速に置き換えつつあるのは、人間の手作業によるコードレビューと依存関係管理である。Composer 2のようなエージェント型のIDEは、開発者が「こういう機能が欲しい」と入力するだけで、必要なライブラリの選定、インストール、ボイラープレート生成、テスト追加までを連続的に実行する。これが俗に言う「Vibe Coding」だ。

このパラダイムが内包するサプライチェーンリスクは、特定のモデルが中国製かどうかとは別軸で存在する。

  • 依存関係の盲目的取り込み：AIが選んだnpm/PyPIパッケージが、実は最近メンテナンスを引き継がれた怪しいパッケージかもしれない（既知のtypo-squatting攻撃手法）
  • コンテナイメージの自動pull：Dockerfile生成時にAIがpullするベースイメージが、tagの偽装で悪意あるバイナリを含む可能性
  • シークレットの漏出：プロンプトに含まれた認証情報がモデル提供者側のログに残るリスク

これらは「AI支援開発全般」の問題であって、Kimi系・Claude系・GPT系のいずれを使っていても基本構造は変わらない。ただし、提供者側の管轄国が米国の主要敵対国に位置する場合、シークレット漏出シナリオの想定脅威モデルは大きく異なる。下院書簡が「データの物理的所在」を質問の柱に据えているのはこのためだ。

なお、過去記事「Anthropic Claudeが22件のFirefox脆弱性を発見した『マッハ・コードレビュー』の全貌」でも触れたように、AI支援セキュリティレビュー自体は防御側の有力な武器でもある。問題は技術そのものではなく、「どこのモデルが、どこのデータを、どんな目的で処理するか」という主権の所在にある。

何が「事実」で何が「推論」か

この一連の事案は、ファクトと評価が混じり合いやすい構造をしている。最後に整理しておきたい。

確認できる一次情報

  • Anthropic公式ブログ（2026年2月23日）：24,000アカウント／1,600万回／DeepSeek・Moonshot・MiniMaxを名指し
  • ホワイトハウスOSTPメモランダムNSTM-4（2026年4月23日）：industrial-scale campaignsという表現
  • 下院ホームランドセキュリティ委員会・対中特別委員会の合同調査開始（2026年4月29日）
  • Composer 2のAPI識別子「kimi-k2p5-rl-0317-s515-fast」と、Anysphere側の事後的説明
  • Moonshot AI 20億ドル調達／200億ドル評価（2026年5月7日）

懸念として議論されているが、現時点で確証がない事項

  • 中国製モデル自体にバックドアや重みの汚染が組み込まれている「可能性」
  • Moonshot AI／Kimiと中国人民解放軍との直接的な組織的関係
  • 「中国製モデルがCCPナラティブに沿った検閲傾向を持つ」点について、第三者研究での観察はあるが、米連邦政府による公式テスト結果として公開された資料は確認できない

評価・分析の領域（事実と分けて読むべき）

  • 「中国の検閲体制によって訓練された」というMoolenaar委員長の言明は政治的フレーミングを含む
  • 「セキュリティプロトコルを剥奪して再パッケージ化」という記述は、OSTP公式文書の引用範囲では確認できず、別文脈の懸念と混合された可能性

ブリーフィングドキュメントを「政策ブリーフ」として読むなら、上記の三層を区別することが何より重要だ。事実層は強固、懸念層は調査中、評価層は政治的判断——この境界線が崩れると、有用な議論が「中国脅威論」「過剰反応論」のいずれかに回収されてしまう。

まとめ：3週間の連鎖が示す構造

2026年4月後半から5月前半にかけて、米中AIサプライチェーンを巡る出来事は次のように連鎖した。

日付イベント
2026年2月23日Anthropic、蒸留攻撃レポート公開（24,000アカウント／1,600万回）
2026年3月19日Anysphere、Cursor Composer 2リリース
2026年3月20日前後開発者コミュニティがComposer 2のKimi K2.5基盤を発見
2026年4月下旬xAIがCursorへの大規模な出資・買収オプションを検討中と報道
2026年4月23日OSTP メモランダムNSTM-4発出
2026年4月29日下院ホームランドセキュリティ委員会・対中特別委員会、Anysphere/Airbnbへ書簡
2026年5月7日Moonshot AI、20億ドル調達／200億ドル評価

この3週間で起きたのは、技術・資本・政策の3つの層が「同じトピック」に同時収束した出来事だ。Composer 2は技術判断としては合理的、xAIによるCursor評価は資本市場の判断、下院書簡は政策判断、それぞれが独立した論理で動いた結果として、「米国製AIコーディング覇権の中核に中国製基盤モデルが食い込んでいる」という構図が一気に可視化された。

Anysphereが下院に対して何を答えるかは、その回答内容によって他のすべてのAI企業の中国モデル統合判断に影響する。報道された5月13日という回答期限が正確なら、本記事公開から数日で次のアクションが見える。米国のAIエコシステムが「オープンウェイトの恩恵」と「サプライチェーン主権」のどちらに重心を置くかという、より根本的な問いがここで試される。

参考リンク