Claudeトークンが中国で1ドル1元、安全網の盲点

情報の灯台

2026年5月10日 12:2200

中国の開発者は、Claudeを公式価格の1割で買っている。AnthropicのKYCも地域ブロックも、なぜか機能していない。仕組みを追うと、AI安全対策の前提そのものが崩れている。

1ドル1元という値段の意味

中国の開発者コミュニティでは、Claudeのトークンが1ドル1元で取引されている。日本円換算でも、公式価格の1割。なぜここまで安く売れるのか、その答えを追うと、Anthropicが用意した何重ものアクセス制限が、ほぼ無力化されている実態が見えてくる。

オックスフォード中国政策研究所のZilan Qian氏が、ニュースレター「ChinaTalk」に寄稿した調査記事「How to Buy Cheap Claude Tokens in China」が、この灰色市場の構造を細かく解き明かしている。映し出されているのは、米中対立の文脈に押し込めると見えなくなる、AI安全フレームワーク全体の盲点だ。

2026年4月23日、米ホワイトハウスは「中国の組織が産業規模の蒸留(distillation)キャンペーンを展開し、検出を逃れるために数万のプロキシアカウントを利用している」と警告するメモを公表した。これに先立ち、Anthropicも2026年2月23日、DeepSeek、Moonshot AI、MiniMaxの3社がおよそ2万4000の不正アカウントでClaudeに対し1600万件の対話を生成し、エージェント推論やコーディング能力を抜き取ろうとしたと公表している。

Qian氏の論点は、この先にある。米政府もAnthropicも、プロキシ経済を「一握りの中国フロンティアラボが米国モデルを抽出するための装置」として描いている。実際にはその下にもっと大きな市場が広がっており、フロンティアラボの距離感とは関係ない大学教授や個人開発者、趣味のエンジニアまでが、この回路を日常的に使っている。

「中転站(中转站)」とは何か

中国の開発者は、Anthropic公式APIへの中継サーバーを「中転站(中转站)」と呼ぶ。海外に置かれたサーバーが開発者からのAPIリクエストを受け取り、自分の所在地から発信されたかのようにAnthropicへ転送し、応答を返す。利用者は環境変数のANTHROPIC_BASE_URLを中転站のアドレスに書き換えるだけで、海外クレジットカードもVPNも要らずにClaudeを使える。決済はWeChat PayかAlipayで人民元支払い。

GitHubには中転站を一覧化したリポジトリがあり、価格や稼働率をリアルタイム比較できるランキングサイトまで存在する。表の上位に並ぶ大手の下に、雨後の筍のように現れては消える零細業者の長い裾野が続く。

機能だけ見ればOpenRouterのような正規アグリゲーターと変わらない。違うのは、立っている地面の合法性だ。正規アグリゲーターは透明な企業契約のもとで開発者の作業を簡素化する。中転站は逃げるための設計だ。データは説明責任を持たない中継者の手を通って流れる。

中国の規制では、フィリングと安全評価を経ないAIサービスの提供は違法とされる。それでも小規模事業者の多くは罰せられないまま運営を続けている。ただし、規模が大きくなるほど運営は危うくなる。

Anthropicが積み上げた防壁、そして突破される現場

Anthropicは中国向けに、業界で最も厳格と言われる多層防御を用意してきた。電話番号、海外クレジットカード、住所一致のチェック。2025年9月には、中国に本社を置く企業に直接・間接を問わず50%以上保有される法人を、所在地を問わず利用禁止にした。海外子会社経由でAPIを保つ抜け穴も塞がれたわけだ。

そして2026年4月、Anthropicは政府発行の写真付き身分証とライブの自撮りを使った本人確認(KYC)の導入に踏み切った。プラットフォーム整合性チェックの一環として一部の利用者に求める仕組みで、消費者向けAIプラットフォームでこのレベルの身元確認を実装した最初の企業となった。理屈の上では、中国の利用者が電話番号や住所を偽装できても、政府発行書類と一致するライブの自撮りを偽るのは困難なはずだ。

Anthropicは検証パートナーとしてPersona Identitiesを採用し、IDと自撮りはAnthropicのシステムではなくPersona側で保管・処理する。データはモデル学習に使わない、と公式FAQは明記している。

それでも、現実には中国の利用者がClaudeを問題なく使い、しかも公式の1割の価格で買えてしまう。理由は、この防壁を逐一商品化する供給網が完成しているからだ。

ある開発者向けWeChatグループには、こんな冗談が流れたという。「Anthropicが本人確認を始めるらしい。仮想通貨業界のKYC業者が、ついに本領を発揮する番だ。アフリカでエボラの危険を冒して現地の人を見つけ、5USDで歯を見せた写真を撮ってもらい、北京・知春路のバイトダンスのプログラマに100USDで売る。我々の業界以外には、こんな苦労は引き受けられない」

Anthropicが積み上げた多層防御の発展史

基本層
(従前)

アカウント登録時の基本検証

電話番号、海外クレジットカード、住所一致のチェックを義務付け。標準的なサインアップ防御層。

回避手段: SMS認証業者・盗難カード

2025年
9月

中国系企業の子会社経由アクセスを禁止

中国に本社を置く企業に直接・間接を問わず50%以上保有される法人を、所在地を問わず利用禁止。海外子会社経由でAPIを保つ抜け穴を塞ぐ。

回避手段: 中転站経由でアカウント供給

2026年
2月23日

蒸留攻撃3社の特定と告発

DeepSeek、Moonshot AI、MiniMaxの3社が約2万4000の不正アカウントで1600万件の対話を生成し、エージェント推論やコーディング能力を抽出していたと公表。

数時間で代替プロキシが立ち上がり継続

2026年
4月

政府発行IDと自撮りによるKYC導入

Persona Identitiesと連携。一部の利用者にプラットフォーム整合性チェックの一環として要求。消費者向けAIプラットフォームでこのレベルの身元確認を実装した最初の企業に。

回避手段: アフリカでの顔写真買付・ディープフェイク

2026年
4月23日

米ホワイトハウスが警告メモを公表

中国の組織が産業規模の蒸留キャンペーンを展開し、検出を逃れるために数万のプロキシアカウントを利用していると指摘。

中国市場では公式価格の1割で流通継続

※ Anthropic公式発表(2025年9月5日規制更新、2026年2月23日蒸留攻撃公表、2026年4月 KYC実装)、米ホワイトハウス公表メモ(2026年4月23日)に基づく。

供給網は分業制になっている

中転站は単独で動いていない。複数の専業プレイヤーが分業し、互いに直接顔を合わせないまま全体が回るモジュール型の構造になっている。Qian氏はこの分業の上流・中流・下流を整理する。

上流には3つの専業がいる。一つは、Anthropicアカウントを大量登録または取得して在庫として持つ業者。一つは、サインアップに使う海外電話番号を提供するSMS認証プラットフォーム。一つは、Anthropicのクライアントコードを解析して認証の抜け道や検出ロジックの変更を察知するリバースエンジニアたち。これに、海外への課金を中国国内から可能にするカード業者とプロキシネットワークが加わる。

KYCには、AIで突破するルートと人間で突破するルートの両方が用意されている。AI生成のフェイクIDは主要プラットフォームの本人確認を通すレベルにあり、ディープフェイクツールは生体認証をリモートで通す動画を作れる。それでもAIが疑われる場合に備え、より労働集約的な手段として、エージェントが低所得国に渡って現地の生身の人間に対面確認を代行させる。仮想通貨の世界では先例がある。Worldcoinの闇市場では、カンボジアやケニアのKYC業者から虹彩スキャンが30USD未満で売られていたと報告されている。

中流に位置するのが、中転站本体だ。利用者リクエストを受けてAnthropicへ正規アカウントからの要求として転送するソフトウェア層、AlipayやWeChat Payの決済統合、そしてアカウントが垢BANされる前にローテーションし、負荷を分散し、Anthropicの不正検知アップデートに合わせて挙動を調整する地味な運用層が、ここに同居する。

下流が顧客だ。Claude Codeのようなコーディングエージェントを使う個人開発者、社内ワークフローをプロキシ経由でつなぐ企業、自社製品にAPIを組み込むアプリビルダー、そして卸として買ってTaobaoで個人向けに小分けする二次転売業者。全工程を1社で握る業者はほぼ存在しない。誰もが1〜2リンクだけを担い、それをきっちりマネタイズする。AIモデル提供側が個別運営者を停止しても、上流のアカウント在庫プールと下流の顧客ベースは無傷で残り、数時間で代替の中転站が立ち上がる。

「中転站」エコシステムの3層供給網

上流資源供給層

アカウント業者大量登録または取得し、在庫として保持

SMS認証業者サインアップ用の海外電話番号を提供

リバースエンジニアクライアント解析と検出ロジック追跡

カード業者海外課金を中国国内から可能に

KYC突破業者ディープフェイクと現地人雇用の二系統

プロキシ網運用 IPの分散と地理的擬装

▼

中流中転站本体

利用者リクエストを正規アカウントからの要求としてAnthropicへ転送する中継ソフトウェア。AlipayやWeChat Payの決済統合、アカウントのローテーション、負荷分散、不正検知への適応を担う運用層が同居。通過する全プロンプトとレスポンスがここに蓄積される。

▼

下流消費・再販層

個人開発者 Claude Codeなどコーディング用途

企業ワークフロー社内タスクをプロキシ経由で接続

アプリビルダー自社製品にAPIを組み込み再販

二次転売業者 Taobaoで個人向けに小分け販売

大学・研究機関教授、学生、研究者の利用

ホビイスト趣味のエンジニアによる消費

※ 全工程を1社で握る業者はほぼ存在しない。各層は独立して運営され、Anthropicが個別運営者を停止しても上流の在庫プールと下流の顧客ベースは無傷で残るため、数時間で代替の中転站が立ち上がる構造。

「一魚三吃」、なぜここまで安くなるのか

公式価格の1割で売れる経済合理性はどこから来るのか。中国語圏の議論では、これを「一魚三吃」、つまり一匹の魚を三つの料理に使い切る、という言い回しで説明する。

一の料理は、アクセス上のマークアップだ。少なくとも5つの「比較的おとなしい」手口を上流業者は積み重ねる。Anthropicの5USD無料クレジットを狙ってAPIアカウントを大量登録する。他人のアカウントの未消費枠を転売する。法人・教育機関向け割引のアービトラージ。そして、月額200USDのMaxプランをトークン毎時クォータで複数人にスライスする「APImaxxing」。Anthropicの定額サブスクと従量制APIの単価差を突いた手口だ。

これらの裏には、もっと暗い入口もある。盗難クレジットカードで作られたアカウントがプロキシプールに事実上ゼロコストで流れ込む経路だ。比率の検証は外部からは難しいが、5つの「おとなしい」手口の市場とインフラと人材の一部を共有していることは想像にかたくない。

二の料理は、モデルの差し替えとトークン水増し。プロキシ経由ではユーザーの入力もモデルの出力も中転站を通る。利用者は自分のリクエストが本当にどのモデルで処理されたかを検証できない。ユーザーがOpus 4.7を選んでも、プロキシが黙ってSonnetやHaiku、最悪の場合はGLMやQwenに流して、出力にOpus 4.7のラベルを貼って返すことが技術的には可能だ。

ドイツのCISPAヘルムホルツ情報セキュリティセンターの研究者は最近、17の中転站を監査し、モデル差し替えが広範に行われていることを示した。「Gemini-2.5」として売られていたプロキシが医療ベンチマークで37.00%しか取れず、公式APIの83.82%から大幅に落ちる例まで見つかっている。利用者側には、複雑なタスクで出力が「降智(zhì)」、つまり頭が悪くなったように感じる、という形でしか兆候が出ない。証明する手段はほぼない。

加えてトークン消費自体を膨らませる手口がある。アカウントを頻繁に切り替えるプロキシは、副作用としてキャッシュの連続性を破壊する。本来ならほぼ無料で済むコンテキストの再送に、利用者がフルプライスのトークンを焼く形になる。これが構造的な副作用なのか、業者が意図的に水増ししているのかは、外側から線を引くのが難しい。

三の料理が、おそらく一番重い。ログそのものが商品だ。プロキシを通る全リクエスト、つまり完全なプロンプト、レスポンス、ツール呼び出し、反復のすべてが、運営者のサーバー上に積み上がる。AIコーディングエージェントのログには、長い推論連鎖、現実のエンジニアリング判断、リポジトリ文脈、人間が検証した正解の出力が含まれる。ポストトレーニング向けのデータセットとしては、ほぼ理想形だ。実エンジニアリング課題の教師ありファインチューニングに使え、推論トレースが取れていればClaudeの推論パターンを小型モデルに蒸留する素材になる。

中国の開発者コミュニティでは、これが少なくとも一部で起きているという声が複数上がっている。HuggingFaceにはClaude Opus 4.6の推論出力データセットが、出所の説明なく流通しているものもある。整形して中国の他のモデル開発者に売る、というシナリオは技術的にも商業的にも成立する。

最初の二つの料理だけでは、Anthropicの公式価格を少し下回る程度にしかならない。価格を10%、5%まで下げるには、三つ目を食べる必要がある。中国のことわざ通り、この世にタダの昼食はない。利用者は支払う顧客であると同時に、無償のデータ提供者でもある。低価格と引き換えに、自分のプロンプトを業者に渡している。中国の開発者の中には、漏洩したプロンプトを使った宣伝、詐欺、ゆすりの可能性まで警告する声もある。

KYCには見えないもの

ここからが、この話が地政学を超える理由だ。AI安全研究の現状は、システムレベルのアクセス制御、特にクローズドウェイトモデルの検出・監視・アカウント停止を、重要なセーフガードとして扱っている。監視は、開発者が推論インフラを制御している前提で成り立つ。有害な入出力をリアルタイムで検出し、KYCで利用者を識別可能なアクターに紐付け、アカウント停止が実質的にアクセスを止めると見なす。

中転站を経由する中国の利用者については、この前提が崩れる。Anthropicが見るのは利用者本人のIPではなく、プロキシのIPだ。アカウントを止めても、上流の供給網は数時間で新しいプロキシを立ち上げる。

問題はAnthropicのClioのような、より高度な監視ツールにも及ぶ。Clioは個別の会話レベルでは見えない協調的な悪用を、アカウントと会話を横断したパターンから捉える設計だ。実際に、自動化アカウント網が似たプロンプト構造で検索エンジンスパムを生成しているのを発見し、停止につなげた事例がある。だがリクエストがプロキシを経由する場合、停止は背後の挙動を止めない。さらに、有害な質問を多段階・複数のプロキシアカウントに分散して投げる、計画的な攻撃を考えてみてほしい。一つひとつのリクエストが単体では無害に見える状況では、シグナルが「協調」として浮き上がりにくい。設計上シグナルが明確なスパムとは話が違う。

そして、中転站は単に「米AI企業対中国利用者」「AIセーフガード対悪意のあるアクター」という伝統的な攻防の枠にも収まらない。ブラックマーケットには独自の搾取ロジックを持つ供給網があり、生み出される害はアクセス問題の元の枠を大きくはみ出る。

AnthropicのKYCを通すために収穫された顔は、明日には不正な金融口座開設、雇用記録の偽造、ディープフェイクの素材として再販されうる。元の被写体はグローバルサウスにいる現地の人間で、法的・評判上のしわ寄せを受けるのは彼らだ。Claudeリクエストを中継するインフラは、モデル差し替えによる詐欺、漏洩プロンプトを使った標的型詐欺、ゆすりへ転用できる。プロキシプールを満たすためのSMS一括認証、不正登録、カード詐取は、迷惑電話やフィッシング、不正ローン申請、クレジットカード詐欺といった、AIや地政学とは何の関係もない犯罪市場を太らせる。

「壁」が前提を変えてしまった

歴史は、アクセス遮断が決意した利用者を止めることはほとんどない、と教えてくれる。アクセスのコストが上がれば、それを下げる専門知を持つ者にとって儲かる市場が立ち上がる。中国のグレートファイアウォールはVPNを家内産業にし、KYC要件は身分偽装の経済を生み、東南アジアやアフリカの生体情報採取オペレーションまで連れてきた。フロンティアAI企業の多層防御は、同じ現象をAIの世界で再演している。

この構造には、地政学を超える不快な真実がある。地理的にブロックされた開発者が制限を回避する方法と、テロリストがフロンティアAIモデルにアクセスして追跡を逃れながら破壊的な生物兵器を作る方法は、構造的にほぼ同じだ。アクセス問題は、地政学固有の論点であると同時に、共通の安全問題でもある。

Qian氏は記事の謝辞で、自分はSingaporeノード経由のVPNでKYCを発動させずにClaudeを使えていることに「正直、感謝している」と書く。皮肉でもあり、彼女自身もまた、この灰色市場の利用者であることの自認でもある。

中転站は、Anthropicの設計思想と中国の開発者文化のすき間に育った。だがそのすき間は、AI企業や政府が監視できると思っている範囲の外側にも、害を撒いている。安全フレームワークの設計者にとって、検証されるべきは「どこまでブロックできるか」よりも、ブロックを擦り抜けた先で誰が踏みつけられるか、かもしれない。

参照元