中国系LLMが米国内トークン消費を席巻、OpenRouterは“US内完結ルーティング”でデータ主権に応答します

今日の深掘りポイント

• OpenRouterが米国内での通信をUS内に閉じるルーティング機能を打ち出し、背景に「米国ユーザーのトークン消費の多くを中国系AIモデルが占める」という実務の現実があると報じられています。この一手は性能・コストとデータ主権のせめぎ合いを可視化します。The New Stackの報道を一次情報として据えます。
• ルーティングをUS内に限定しても、「どの法域の事業者がログやモデル運用を握るか」という法的・組織的リスクは残ります。データ滞留（residency）と司法管轄（sovereignty）は別物です。
• 生成AIの“経路制御プレーン”としてのAPIアグリゲータ（OpenRouter型）の重要性が増す一方、サプライチェーン攻撃や誤ルーティングという新たな故障モードも増えます。
• MITRE ATT&CKの視座では、正規のWebサービス経由のデータ持ち出し（T1567）、アプリ層プロトコルの悪用（T1071.001）、サプライチェーン妥協（T1195）といった“侵害ではなく運用の穴”を突くシナリオが主戦場になります。
• 現場アクションとしては「リージョン固定の徹底（fail-closed）」「許可モデルのホワイトリスト化」「プロンプト・レスポンスの機微情報マスキング」「エグレス監査」「DPAとログ保持のゼロ化交渉」を優先度高で回すべきです。

はじめに

生成AIの運用は、もはや「どのモデルを使うか」だけではなく「どの経路で、どの法域に、何が残るか」を選ぶ時代に入りました。The New Stackは、OpenRouterが米国内での通信をUS内に閉じるルーティング保証を始めたと伝えています。背景として、米国ユーザーによるトークン消費の相当割合が中国系モデルに流れているという実情があるとされています。一次報道はこちらです。

このニュースは、性能・コスト優位なモデルを使いたいという開発現場の圧力と、データ主権・規制遵守を守り切りたいという経営・セキュリティ側の要請が正面衝突していることを示す鏡です。日本拠点のCISOやSOCにとっても、米国子会社・顧客を抱えるかぎり対岸の火事ではありません。個人情報保護委員会（PPC）の越境移転規律や、取引先監査の厳格化の流れの中で、生成AIの“経路”設計は避けて通れない設計責任になりつつあります（PPCの越境移転ガイダンス参照）参考。

深掘り詳細

事実関係（確認できる一次情報）

• The New Stackは、OpenRouterが「USリージョン内で通信を完結させるルーティング」を開始したと報じ、米国ユーザーのトークン消費の多くが中国系モデルに集中していることを背景事情として挙げています。出典
• 本件は「トラフィックの地理的な滞留（データパスの国内化）」に関する措置であり、モデル提供主体の法的管轄や、運用・保守におけるアクセス主体を直接的に変更するものではありません。ここは報道の事実と一般的なデータガバナンスの原則から読み取れるポイントです。
• 生成AIに関する攻撃知識体系として、MITRE ATT&CKは“正規Webサービスを経由した持ち出し（Exfiltration over Web Service, T1567）”や“アプリ層プロトコルの悪用（T1071.001 Web Protocols）”、および“サプライチェーン妥協（T1195 Supply Chain Compromise）”を整理しています。これはAIのAPI経路が組織の正式な出口として開放されている現実と噛み合います。T1567、T1071.001、T1195
• プロンプトインジェクションのようなアプリケーションレベルの脅威は、OWASPのLLM Top 10でも最上位リスクとして定義されています（LLM01: Prompt Injection）。出典
• 中国法制度に関しては、国家情報法第7条に「組織・個人は国家の情報活動を支持・協力・支援し、秘密を保持する義務を負う」との規定があり、これは供給者の法的リスク評価においてしばしば参照されます（条文英訳）出典。この規定は“必ず情報が取得される”ことを意味するわけではないものの、管轄リスクの定性的評価根拠にはなります。

インサイト（編集部の視点と示唆）

• データ滞留（residency）と主権（sovereignty）は別の層です。US内完結ルーティングは「経路上の域外露出」を減らしますが、「どの法人がどの規約でログ・メタデータを保持するか」という法的・契約的リスクは別管理系統です。調達・法務・セキュリティの三者で、リージョン設定（ネットワーク）と、DPA/ToS/ログ保持（契約・運用）を“二段ガード”で閉じる必要があると考えます。
• APIアグリゲータは、開発者体験と調達の分散を解消する反面、「経路制御プレーン」という新たな単一障害点と化します。可用性だけでなく、鍵管理・ログ保管・リージョン逸脱時のフェイルモード（fail-openかfail-closedか）がリスクの要諦です。US固定を宣言しても、モデルやプロバイダ側がUSエッジを持たないときに“どう落ちるか”の設計が肝になります。
• セキュリティ投資の優先度は「ルート固定 > データ最小化 > 契約でのログゼロ化 > 監査観測」の順で効きます。特に、プロンプト・レスポンスからの機微情報除去（PII/秘匿語・鍵・ソースコード断片のマスキング）を“送信前”にかけると、最悪時の法的・インシデント負債が一桁変わります。
• 日本企業は、APPIの越境移転説明義務（相手国制度・漏えいリスク・再委託の実情の開示）を満たすためにも、モデル単位で「法域・実際の保管場所・再委託先（観測基盤含む）・保持期間・削除権限」を台帳化し、レビュー可能な監査証跡を残す体制が必要です。

脅威シナリオと影響

以下は仮説に基づくシナリオであり、組織の技術・契約・運用条件により変動します。MITRE ATT&CKに沿って関連付けを併記します。

• シナリオ1：正規Webサービス経由の“静かな流出”
  開発者・業務アプリが許可済みのAI APIに機微データを投入し、モデル提供者や再委託先のログに保存される。通信はTLSかつ正規宛先のためFW/IDSは検知しづらい。
  該当TTP：Exfiltration over Web Service（T1567）、Application Layer Protocol: Web Protocols（T1071.001）
  影響：契約違反・規制違反・情報ソブリンティの毀損。発見は監査ベースに依存し、遡及削除が困難です。

• シナリオ2：プロンプトインジェクション＋ツール呼び出しでの秘密情報漏えい
  悪意ある入力や外部ドキュメント埋め込みにより、エージェントが社内APIキー・顧客データを要約・送信する。
  参照：OWASP LLM Top 10（LLM01: Prompt Injection）
  関連TTP：Exfiltration over Web Service（T1567）
  影響：業務アカウントの不正利用、二次被害としての顧客通知・罰金です。

• シナリオ3：アグリゲータ妥協（サプライチェーン）
  APIアグリゲータまたはその観測SaaSが侵害され、APIキーやプロンプトログが窃取される。
  該当TTP：Supply Chain Compromise（T1195）、Unsecured Credentials（T1552）
  影響：全社横断の鍵ローテーション、全モデルの一時停止、広範なインシデントレスポンスが必要になります。

• シナリオ4：リージョン逸脱のフォールバック
  USリージョン固定設定でも、対象モデルにUS POPがない場合にグローバルへ自動フォールバック（fail-open）する実装・設定があると、気づかず越境が発生。
  該当TTP：Valid Accounts（T1078）に依存する正規利用の“設定悪用”＋Exfiltration over Web Service（T1567）
  影響：想定外の越境、監査での不一致、法務・顧客説明コストの増大です。

• シナリオ5：法域による合法的アクセスのリスク
  供給者の本社法域における合法的リクエスト（例：国家情報法等）により、ログやメタデータへのアクセスが生じる可能性。
  該当：ATT&CKの直接TTPではなく、戦略リスク。
  影響：国際取引・公共調達における適格性、顧客の域内要件への適合性に波及します。
  参考：国家情報法第7条（英訳）出典

総じて、即応性は高く、実務の設定変更で低コストにリスク低減できる反面、根本原因（供給者の法域・ログ保持・再委託）は設計・契約の課題であり、中長期の統制が要ります。短期は“経路を閉じる”、中期は“データを減らす”、長期は“供給者を選ぶ”の三段ロジックで進めるのが現実解です。

セキュリティ担当者のアクション

優先度の高い順に、現場で回しやすい手順に落とします。

1. ルーティングを“固定し、失敗は閉じる（fail-closed）”にする

• OpenRouter等のアグリゲータでUSリージョン固定を有効化し、対象モデルがUS POPを持たない場合は“エラーで止める”を標準にします。
• 宛先IPレンジ／FQDNのホワイトリストをFW/プロキシで管理し、観測でリージョン逸脱があれば自動ブロックします。

2. モデル利用のホワイトリストと台帳化

• 事業部・開発チーム横断で「承認モデルカタログ」を作成し、モデルごとに法域、実際の処理リージョン、再委託先、ログ保持期間、削除SLAを記載します。
• 変更管理をPull Request運用にのせ、未承認モデルはネットワークで遮断します。

3. データ最小化：送信前マスキングの標準化

• プロンプト・コンテキスト・ツール出力に対し、PII/秘密情報（鍵・認証情報・固有識別子・ソース断片）を送信前にトークナイズ／マスキングするゲートウェイを導入します。
• LLM Top 10（Prompt Injection）に沿い、ツール呼び出し権限を最小化し、外部リソース参照は“許可リスト＋サンドボックス”で制御します。参考

4. ログ保持ゼロ化と契約（DPA）

• 可能な限り「ログ保持オプトアウト（ゼロ保持）」と「モデル推論データの二次利用禁止」をDPAに明記します。
• 保持不可のデータはアプリ側で暗号化・要約・匿名化し、不可逆化してから送信します。

5. 監査と検知：エグレスの実測と地理検証

• eBPF/プロキシでの宛先SNI・CN抽出、TLSメタデータとGeoIPの照合、定期的なシンセティック・トランザクションで“US内終端”を客観測定します。
• 検知ユースケースとして、MITRE ATT&CKのT1567/T1071系（正規Webサービス経由の大容量送信・新規宛先）をNDR/Proxyログで相関します。T1567、T1071.001

6. 鍵と資格情報の分離保護

• アグリゲータ用APIキーは環境・用途ごとに分割し、短寿命化。KMSでラップし、秘匿情報がプロンプトに混入しない静的検査も併用します。
• インシデント時の一括ローテーション手順と影響範囲特定（SBOM for AI接続）を準備します。

7. サプライチェーン・レジリエンス

• アグリゲータ妥協を想定し、直結経路（主要モデルへの直接API）と“セーフモード”（社内推論 or 代替アグリゲータ）を整備します。
• MITRE ATT&CKのSupply Chain Compromise（T1195）に沿った脅威モデリングを年次で更新します。T1195

8. 規制と顧客要件の突合

• 日本のAPPI越境移転、EU/GDPR SCC、米国の業種規制（HIPAA/GLBA等）に対し、モデル別の適合性マトリクスを作り、顧客監査に即応できる状態にします。PPCの公表情報も随時参照します。参考（PPC）

9. メトリクスの運用可視化

• 「USリージョン固定率」「未承認モデル宛のブロック件数」「プロンプト送信前マスキング率」「ログ保持ゼロ化適用率」「AI経由のエグレス検知MTTD/MTTR」など、改善に直結する運用指標で前進度を測ります。

10. 人と文化

• 開発者へ“AIに入れない10種の情報”と“モデルごとの取り扱い差”を明文化し、コードレビュー・MRテンプレートに組み込みます。セキュリティは習慣に落ちたときに最も強くなります。

参考情報

• The New Stack: OpenRouter launches US-region routing（US内完結ルーティングの一次報道）
  https://thenewstack.io/openrouter-us-region-routing/
• MITRE ATT&CK: Exfiltration over Web Service（T1567）
  https://attack.mitre.org/techniques/T1567/
• MITRE ATT&CK: Application Layer Protocol – Web Protocols（T1071.001）
  https://attack.mitre.org/techniques/T1071/001/
• MITRE ATT&CK: Supply Chain Compromise（T1195）
  https://attack.mitre.org/techniques/T1195/
• OWASP Top 10 for LLM Applications（LLM01: Prompt Injectionほか）
  https://owasp.org/www-project-top-10-for-large-language-model-applications/
• 中国・国家情報法（英訳、条文）
  https://npcobserver.com/translation/national-intelligence-law-of-the-p-r-c/
• 個人情報保護委員会（PPC）・英語版 法令・ガイドライン
  https://www.ppc.go.jp/en/legal/

最後に一言です。今回の動きは“地理で閉じる”という素直で強いカードですが、AIのリスクは地理だけでは閉じません。経路（ネットワーク）・契約（法務）・内容（データ最小化）・運用（監査と検知）の四拍子をそろえてはじめて、現場に優しく、監査に強いAI運用が立ち上がります。性能と統制の二兎を追い、きちんと捕まえていきたいですね。