セキュリティ評価＆ハーデニング

私たちのアプローチは、実際の攻撃者が行うのと同じ手法でAIシステムを攻撃して突破し、評価によって発見された攻撃経路（モデル抽出からサプライチェーン侵害まで）に対してシステムを堅牢化（ハーデニング）することです。従来のペネトレーションテストは、お客様のAPI、インフラストラクチャ、認証フローを対象としていますが、攻撃者がファインチューニング済みモデルを窃取できるか、依存関係チェーンにバックドアを仕込めるか、あるいはRAGパイプラインをハイジャックできるかをテストすることはありません。そうした評価手法は、AIシステムが破綻する特有のメカニズムに合わせて特別に構築されなければなりません。

貴社のセキュリティチームがこれまでテストしたことのないアタックサーフェス

従来のペネトレーションテストは、貴社のAPI、インフラストラクチャ、認証フローを対象としています。しかし、攻撃者が 50,000 件の周到に構造化されたクエリを通じてファインチューニング済みモデルを抽出できるかどうかはテストしません。また、ポイズニングされた LoRAアダプター が3か月前に貴社のHuggingFace依存関係チェーン内にバックドアを侵入させたかどうかを検出することもありません。取得されたドキュメントに埋め込まれた指示を貴社のRAGパイプラインが実行してしまうかどうかも評価しません。これらこそが、本番環境のAIシステムを実際に侵害する攻撃経路です。

これらはカンファレンスの講演で語られる理論上のリスクではありません。Protect AIは 51,700モデルにわたる352,000件の不審なファイル を2025年4月にHuggingFace上で発見しました。AIを悪用した攻撃は 前年比89%増加し、そのうち 97% の侵害被害を受けた組織において自社AIシステムへの基本的なアクセス制御が欠落していました。また、 Mercorサプライチェーン攻撃 （2026年初頭）では、単一のオープンソース依存関係を介して数千社が侵害を受けました。

私たちが実際にテストすること——そして大半の評価が見落としていること

当社は評価を MITRE ATLAS フレームワークに沿って構成しています。同フレームワークは現在、 16の戦術にわたる84のテクニック をAIシステムに特化してカタログ化しています。しかし、フレームワークは地図であってテストそのものではありません。私たちの方法論は、カタログ化された攻撃を単にチェックリストで確認するだけでなく、実際に実行するように構築されています。

LLMデプロイメントとプロンプトインジェクション

私たちは、RAGによる検索、ツールの出力、ユーザーがアップロードしたドキュメント、エージェントに入力されるメールコンテンツなど、あらゆる取り込み経路を通じて間接的プロンプトインジェクションをテストします。直接的なインジェクションが話題になりがちですが、 Anthropicは2026年2月に直接的インジェクション指標を完全に廃止しました 。検索コンテキストを介した間接的インジェクションこそが、本番システムを実際に機能不全に陥れる要因だからです。また、マルチターンでの誘導操作、システムプロンプトの抽出、およびお客様が導入しているあらゆるガードレールスタック固有の障害モードについてもテストします。

モデルレベルのセキュリティ

私たちは、お客様のAPIに対して構造化クエリキャンペーンを実行し、攻撃者がモデルの振る舞いをどの程度再現できるかを測定することで、抽出リスクを評価します。勾配ベースの手法（モデルへのアクセス権がある場合）と、転移ベースのブラックボックス攻撃（実際の攻撃者の手口）の双方を用いて敵対的堅牢性を評価します。直接的な学習データとそれを提供する上流の依存関係の双方をチェックし、学習パイプラインのデータポイズニング脆弱性を監査します（詳細は モデルポイズニングからエンタープライズを保護するための当社の研究を参照）。

サプライチェーンの整合性

私たちは、すべてのモデルアーティファクトをその出所（事前学習済み重み、ファインチューニング用データセット、アダプター層、サービングフレームワークのバージョン）まで遡って追跡します。MLインフラストラクチャにおける既知の脆弱性をチェックし—— PyTorch、vLLM、およびTriton Inference Serverにはすべて2025〜2026年にCVEが存在しました ——モデルのシリアライゼーションが安全なフォーマットを使用していることを検証します。 $12 billion に上る2025年の侵害されたMLモデルによる損失は、直接的なモデル悪用ではなく、圧倒的多数がサプライチェーン攻撃に起因していました（詳細は MLサプライチェーンライフサイクルの保護に関する当社の研究を参照）。

エージェント型システム

私たちは、 OWASP Agentic AI Top 10 が定義するアタックサーフェス（ゴールハイジャック、ツールの不正使用、IDの悪用、メモリポイズニング、マルチエージェントワークフローにおける連鎖的障害）をテストします。 2026年のOpenClawの危機 —— 21,000+件のインスタンス （GitHubスター135,000を獲得したAIエージェント）が重大な脆弱性に晒された事例——は、こうしたテストを行わずにエージェントをリリースした際の結果を示しました（詳細は 人間とAIのフロンティア保護に関する当社の研究を参照）。

システムの運用方法を変革するハーデニング

修復を伴わない評価は、ただの高価なPDFにすぎません。私たちのアプローチは、ハーデニングの管理策をお客様のシステムに直接組み込みます。

• 推論レイヤーの防御: モデル抽出パターンのトラフィック（体系的な入力網羅、境界探索、プログラムによる言い換えスイープ）を特定し、正当な利用と区別するクエリアノマリ検知。入力バリデーションパイプラインは、セマンティック攻撃を見逃し正当なクエリをブロックしてしまう一般的な正規表現フィルターではなく、お客様固有の脅威モデルに合わせて調整されます。
• サプライチェーンのハーデニング: モデルアーティファクトがデプロイメントパイプラインに入る前に、アーティファクトの出所（来歴）を確認し、シリアライゼーション形式を検証し、既知の悪意あるパターンをスキャンし、署名要件を強制するモデル検証パイプライン——さらに、侵害された上流パッケージが本番環境に到達する前に捕捉する依存関係モニタリング。
• エージェント型システムのハーデニング: ツールアクセスに対する権限境界、エージェントのステップ間における出力バリデーション、およびエージェントの実行パターンが期待されるワークフローから逸脱したことを検出する振る舞いモニタリング。

貴社のSIEMは人間の行動アノマリを検知するために構築されています。連続して 10,000件のクエリ を実行するエージェントは、攻撃者の制御下で動作している場合であっても、それらのシステムには正常に見えてしまいます。

この評価が不要なケース

ファインチューニング、RAG、ツールの使用がなく、プロンプト内に機密データも含まれないマネージドAPI（OpenAI、Anthropic、Google）を呼び出しているだけの場合、セキュリティリスクはAPIキーの管理とデータの取り扱いに限られます。これは標準的なアプリケーションセキュリティレビューでカバーでき、AI特化の評価は必要ありません。

貴社のモデルが外部公開APIを持たず再学習パイプラインもない内部稼働の単純な分類器である場合、アタックサーフェスは限定的であり、簡潔な脅威モデルレビューで十分釣り合います。ファイアウォールの背後にある社内の感情分類器に対して完全な敵対的堅牢性テストを実施することは、 $30,000を費やして$500のリスクを防ぐようなものです。

私たちがこれを率直に述べるのは、売上よりも信頼性を重視しているからです。この評価を真に必要としている組織は自覚しています。ファインチューニング済みモデルを運用している組織、外部コンテンツを処理するRAGパイプラインを持つ組織、ツールアクセス権を持つエージェント型システム、規制業界のモデル、あるいは財務や安全性に関わる決定を下すAIシステムを抱えるすべての組織です。

現実味を帯びる規制圧力と明確な期限

EU AI法は2026年8月に施行が開始されます。 高リスクAIシステムには、文書化されたリスク管理、技術的堅牢性テスト、およびデータガバナンス管理策が義務付けられています。不適合の場合には最大で 全世界年間売上高の7%またはEUR 35 millionの制裁金が科されます。 NISTは2025年12月にAI向けサイバーセキュリティフレームワークプロファイルを公開し、AI固有のリスクをCSF 2.0の管理策にマッピングしました。これらのフレームワークは現在、調達要件や取締役会レベルのリスクレビューにも登場するようになっています。

課題は、単一のフレームワークですべてを網羅できるものは存在しない点です。私たちは、規制当局、監査人、顧客が要求するあらゆるフレームワークにお客様の評価結果をマッピングし、形式的なチェックリストではなく実際のテストから得られた、コンプライアンス要件を満たす証拠を生成します。

プラットフォームツール vs. カスタム評価

自動AIセキュリティプラットフォーム（HiddenLayer、Mindgard、Giskard）は、既知の攻撃パターンを大規模に実行します。これらは初期評価後の継続的なリグレッションテストには有用ですが、初期評価そのものの代わりにはなりません。スキャナーは貴社のビジネスロジックを理解せず、どのモデル出力が安全性に関わる重大な結果をもたらすかを認識できず、脅威モデルが実際のデプロイメントアーキテクチャと一致しているかを評価することもできません。

私たちは、価値をもたらす領域でこれらのツールを活用します。何をテストすべきかが確立された後は、継続的な自動レッドチーミングをCI/CDパイプラインに組み込むべきです。しかし、貴社の固有システムにおいて最も重要となる攻撃経路を発見するには、AIの障害モードと貴社の運用コンテキストの双方を理解している専門家が不可欠です。

複数のAIベンダー（OpenAI、Anthropic、Google、オープンソースモデル）を運用している組織に対しては、各プロバイダーのセキュリティ境界を個別に評価し、それらの間でデータが流れる統合ポイントをテストします。マルチベンダー構成のアタックサーフェスは各ベンダーのリスクの単純な総和ではありません。あるプロバイダーのセキュリティ保証に関する前提が別のプロバイダーへのハンドオフ時に破綻する、相互作用レイヤーこそがアタックサーフェスとなります。