- GPUHammerは、GPUメモリの物理的な脆弱性を悪用することで、AIモデルの精度を役に立たないレベルまで低下させることが可能であることを実証した。
- AIセキュリティは、ハードウェア、データ、モデル、インフラストラクチャを網羅し、敵対的攻撃やAIを利用したソーシャルエンジニアリングに対する防御も含まれる。
- AIワークロードには、ECCの使用、GPUの分離、継続的な監視、モデルライフサイクルに対する制御など、特定の保護戦略が必要です。
- AIはサイバーセキュリティにおいて諸刃の剣である。防御力と攻撃力の両方を強化するため、優位性は戦略とガバナンスにかかっている。
人工知能のセキュリティは、もはや単なる学術的なテーマではなく、企業、研究者、そして行政機関にとって非常に現実的な問題となっています。マルウェアや従来のフィッシング攻撃だけではなく、AIモデルの精度を完全に低下させる攻撃、ハードウェアの物理的な脆弱性を悪用する攻撃、さらにはディープフェイクや自動化された偽情報キャンペーンを通じて人間の認識を操作する攻撃も存在します。
この新たな状況において、GPUHammerは際立った存在です。これは、 GPUメモリの脆弱性を悪用することで、人工知能の精度を極めて低いレベルまで低下させる攻撃です。しかし、脅威はこれだけではありません。データに対する攻撃、AIを利用したソーシャルエンジニアリング、社会に影響を与えるアルゴリズムの偏り、そして多くの場合、セキュリティを念頭に置いて設計されていないAIインフラストラクチャなど、他にも様々な脅威が存在します。ここでは、必要な技術的深みを持ちつつ、冷静に分析していきましょう。
GPUHammerとは何ですか？また、なぜAIモデルの精度を損なう可能性があるのですか？
GPUHammerは、メモリセルの物理的な欠陥を悪用するRowhammer攻撃の一種です。従来のRowhammer攻撃はCPUで使用されるDRAMに焦点を当てていましたが、GPUHammerはGPUメモリに焦点を移しています。GPUメモリは、現代の人工知能モデルのトレーニングと推論の中核を成すものです。
この攻撃は、GPUメモリの特定の行に繰り返し、かつ制御された方法でアクセスすることによって機能します。これらの集中的かつ綿密に同期された操作により、電荷の漏洩が発生し、近傍のビットの値が変化します。0が1に、あるいは1が0に変化しますが、データにサイレントエラーとして現れるため、システムはこれを明らかな障害として検出しません。
AIモデルにおいては、こうした変更されたビットは、モデルパラメータと、GPUによって処理される中間アクティベーションや入力データの両方に影響を与える可能性があります。重要な重みやテンソルが破損すると、数学演算の信頼性が低下し、予測精度が著しく低下します。最も懸念されるのは、システムは一見正常に動作しているように見えるものの、モデルの精度が大幅に低下してしまうことです。
GPUHammerを実証した研究者らは、この攻撃手法はCUDAなどのコンピューティング環境を利用して特定のメモリアクセスを注入し、攻撃パターンを制御できると説明している。最新のGPUの高い並列実行能力を活用することで、非常に短時間でアクセス数を最大化でき、攻撃者にとって有用なビット反転を得られる可能性が高まる。
これらの攻撃を考案する者にとって最大の課題は、 GDDRメモリにおけるセキュリティ実装の不透明性、内部アドレスマッピング、そしてCPU DRAMとは異なるレイテンシであった。しかし、これらのマッピングをリバースエンジニアリングし、メモリ更新ウィンドウと同期させ、並列処理を最適化することで、彼らはこれらの理論的な障壁を克服することに成功した。
GPUHammerの影響：精度が80%から0,1%に低下
研究者らが記録した最も衝撃的な事例は、プロフェッショナルなAIワークロードで一般的に使用されるハイエンドアクセラレータであるNVIDIA A6000のケースだ。通常、タスクで約80%の精度を達成していたモデルが、GPUHammer攻撃を適用した後、わずか0,1%にまで精度が低下した。
ここで問題にしているのは、数千ユーロもするGPUがAIタスクにおいては単なる高級文鎮と化してしまうほどの性能低下です。精度が0,1%のモデルは、実際にはどんな本格的なアプリケーションにも役に立ちません。医療診断、不正検出システム、財務予測、画像分類といったものは、意思決定支援ツールから単なるノイズ発生器へと成り下がってしまうのです。
ビジネス環境においては、これはモデルが重大な誤りを犯しても、その理由がすぐには明らかにならない可能性があることを意味します。信用スコアリングシステムは、資格のない申請者を承認したり、信用に値する顧客を拒否したりする可能性があります。AIベースのサイバーセキュリティシステムは、実際の脅威を見逃し、あらゆる場所で誤検知を起こす可能性があります。その影響は、金銭的損失、評判の低下、さらにはインフラ保護における過失が証明された場合の法的責任につながる可能性もあります。
興味深いことに、この攻撃はすべてのカードで同じように動作するわけではありません。実験では、 GDDR6を搭載したNVIDIA A6000のようなGPUでは成功しましたが、RTX 3080のようなモデルでは成功しませんでした。異なるメーカーのメモリを使用し、異なる緩和メカニズムとマッピングを用いることで、攻撃の有効性が異なるという仮説が立てられています。これは、特定のメモリ設計が本質的に高い耐性を持っている可能性を示唆しています。
研究者たちは、この攻撃を検証し記録するために、プロジェクトの公式ウェブサイトに技術的な詳細を公開した。そこでは、攻撃の手順、現在の制限事項、そして将来的な拡張の可能性について説明し、この種のGPU攻撃は人工知能向けハードウェアのセキュリティにおける新たなフロンティアであることを強調している。
Rowhammer攻撃の進化：ZenHammerからGPUHammerへ
GPUHammerは突如現れたものではなく、長年にわたりセキュリティコミュニティを悩ませてきたRowhammer攻撃の進化系統の一部です。2024年には、AMD RyzenおよびEPYC CPUの脆弱性を悪用するように設計されたZenHammer攻撃が明らかになり、DRAMの内部構造によって隣接する行を叩くことでビット反転が引き起こされることが実証されました。
その後の研究により、従来のDRAMメモリや、一部メーカーのDDR5などの最新世代メモリにも同様の問題が存在することが明らかになった。年を追うごとに、新たな手法や同じ原理のバリエーションが発見されている。それは、特定のアクセスパターンにおいて、メモリを物理的に誤動作させるというものだ。
重要な違いは、これまでの研究のほとんどがCPUのメインメモリに主に焦点を当てていたのに対し、GPUHammerでは、ディープラーニングに必要な大規模並列処理の重要な要素であるグラフィックスカードのメモリに大きく焦点が移った点です。つまり、データセンターのサーバーからワークステーション、ハイエンドのコンシューマー向けグラフィックスカードに至るまで、AI向けのGPUベースのインフラストラクチャ全体が、これらの脅威の標的となるということです。
この進展は、ハードウェアメーカーとセキュリティ研究者の間の競争が今後も続くことを明確に示している。メモリの新世代（GDDR6、GDDR7、HBM3など）が登場するたびに、性能は向上するが、同時に新たな潜在的な攻撃対象領域も増えるため、事後的にパッチを適用するだけでなく、設計段階から評価する必要がある。
現在の対策：ECC、新しいメモリとそのコスト
GPUHammer型攻撃に対する第一の防御策は、可能な限りエラー訂正メモリ（ECC）を有効にすることです。ECCはデータに余分なビットを追加することで、1ビットまたは複数ビットのエラーをリアルタイムで検出し、多くの場合、修正します。これにより、攻撃によって引き起こされる多数の反転の影響を無効化できます。
問題は、ECCを有効にすると代償が伴うことだ。調査によると、一部のGPUではこの機能を有効にするとパフォーマンスが約10%低下する。1テラフロップスあたりのパフォーマンスを最大限に引き出すことにこだわる組織にとって、この損失は不便かもしれないが、データ整合性を大幅に向上させるための代償と言えるだろう。
GDDR7やHBM3といった最新のメモリ世代では、多くのメーカーが既にECC機構をメモリチップに直接組み込んでおり、Rowhammer攻撃とその亜種に対する脆弱性を低減しています。これらの技術は、AIワークロードには速度だけでなく、物理的な故障や悪意のある攻撃など、原因を問わずサイレントエラーに対する耐性も求められるという認識に基づいて設計されています。
GPUHammerを発表した研究者たちは、こうした保護機能さえも回避するための新たな技術の開発を続けており、誤り訂正が不十分な場合や、ECCメカニズムを突破するような極端な状況を意図的に作り出すことが可能な場合など、代替手段を探していると述べている。
一方、NVIDIAなどのメーカーは、この脆弱性について事前に通知を受けており（この場合は1月頃）、機密性の高い環境ではECCを有効にすること、またクライアント間やアプリケーション間でGPUリソースを共有する際には適切なワークロード分離対策を講じることを明確に推奨している。
AIセキュリティ：ハードウェアとGPUハマーを超えて
GPUHammerは多くの注目を集めていますが、AIセキュリティは物理メモリ攻撃よりもはるかに広範な領域を網羅しています。AIワークロードは、従来のサイバーセキュリティ戦略では十分にカバーできなかった攻撃対象領域、すなわちトレーニングデータ、モデル、推論パイプライン、サービスAPI、そしてGPUやアクセラレータのインフラストラクチャ自体をもたらします。
AIセキュリティは、これらのワークロードを悪意のある使用や操作から保護し、モデルが意図どおりに外部からの干渉を受けずに実行されることを保証することに重点を置いています。これには、トレーニングデータの整合性の保護、モデルの出所（誰が、どのように、何を使ってトレーニングしたか）の検証、およびGPUやその他のアクセラレータがホストされているプラットフォーム上での分離メカニズムの確立が含まれます。
ほとんどの企業のセキュリティ戦略は、Webサーバー、データベース、ワークステーションといった従来のアプリケーションを保護するために設計されています。それに対し、AIソリューションは「別の惑星にあるアパート」のようなものです。複数のモデル、異種データソース、外部API、MLOpsパイプライン、クラウド上の共有GPUなどがあり、攻撃ベクトルとして想定されていなかった多数の侵入ポイントが存在します。
企業レベルでAIの信頼性を確保するには、ネットワークセグメンテーション、ID管理、規制遵守、継続的な監視、インシデント対応といった既存の制御機能と統合された、具体的なセキュリティ戦略が必要です。単にファイアウォールを追加するだけでは不十分であり、データがどのように発生源から推論に至るまで流れ、どこでデータが操作される可能性があるかを理解することが不可欠です。
AIインフラストラクチャ：新たな脆弱性と保護要件
AIインフラストラクチャについて考えるとき、私たちは単に高性能サーバーについて話しているわけではありません。GPU 、高性能ストレージ、低遅延ネットワーク、コンテナオーケストレーションプラットフォーム、クラウドサービス、MLOpsツールなどを含む、完全なエコシステムについて話しているのです。各レイヤーは機能を追加する一方で、攻撃者にとって新たな機会も生み出します。
重要な問題の一つは、多くのGPUにおける強力な分離機能の欠如です。従来、グラフィックカードはCPUと同等のレベルの区画化やセキュリティメカニズムを備えて設計されていなかったため、攻撃の標的になりやすいのです。GPUHammerのような攻撃は、まさにこの現実、つまり不十分なログ、メモリアクセスに関する可視性の低さ、そして容易に見過ごされがちな特権的なアクセス領域を悪用します。
さらに、多くの組織では、GPUリソースは異なるチーム、プロジェクト、あるいは（マルチテナント環境の場合）クライアント間で共有されています。明確なセグメンテーションと厳格なアクセス制御がなければ、悪意のあるワークロードが同じ物理マシン上で実行されている高価値モデルに影響を与える可能性があります。
綿密に計画されたAIセキュリティ戦略は、機密データの漏洩を防ぐだけでなく、モデルへの攻撃に対する予防措置を適用し、規制遵守（例えば、EU AI法）を強化し、AIワークロードの実行における異常を検出するための監視機能を統合します。
最終的に、AIのトレーニング方法、展開方法、拡張方法といった基盤となるテクノロジーをより深く理解すればするほど、従来のITインフラには存在しない、そうした「抜け穴」を特定し、塞ぐことが容易になる。
敵対的攻撃：AIを混乱させるためにデータを操作すること
ハードウェア以外にも、AIは敵対的攻撃に対して特に脆弱である。敵対的攻撃とは、非常に小さいながらも綿密に設計された摂動によってモデルの入力（画像、音声、テキスト、表形式データ）を操作し、分類エラーや誤った判断を引き起こすことを目的とした攻撃である。
実際には、攻撃者は人間の目には感知できないような変更をパンダの画像に加えることで、モデルに全く別の動物として認識させることができる。同様のことが、自動運転車の信号機、コンピュータ支援診断における医療画像、不正検出システムで使用される文書などでも起こり得る。
これらの攻撃は、深層学習モデルが人間のように文脈を「理解する」のではなく、高次元の統計的パターンに基づいて動作するという事実を悪用します。高速勾配符号法（FGSM）、投影勾配降下法（PGD）、またはカルリーニ＆ワグナー攻撃などの手法は、ピクセルや入力ベクトルに最小限の変更を加えるだけで、モデルが誤りを犯す確率を最大化する摂動を計算します。
リスクは明らかです。医療現場では、MRIスキャンの悪意のある操作によって誤診につながる可能性があります。サイバーセキュリティにおいては、特別に設計されたサンプルによって、マルウェアがAIベースの検出器に検出されずに済む可能性があります。顔認識においては、画像にわずかな変更を加えるだけで、なりすましや制御の回避が可能になります。
実際、すでに実証例は存在する。大手テクノロジープロバイダーの画像分類器に対する攻撃、デジタルアシスタント向けに一見無害な音声に隠された音声コマンド、機械学習に基づくスパムフィルターを回避するためにわずかに改変されたメールなどだ。
敵対者による攻撃に対する防御：堅牢性と検出
AIを敵対的攻撃から保護するには、多層的なアプローチが必要です。最も研究されている手法の一つが敵対的学習です。これは、モデルの学習中に悪意のある事例を組み込むことで、モデルがこうした種類の妨害を認識し、抵抗することを学習させるものです。この手法は堅牢性を大幅に向上させますが、計算コストも増加し、考えられるすべての攻撃ベクトルを網羅できるとは限りません。
もう一つの防御策は、入力データの事前処理と検証です。フィルタリング、画像平滑化、ノイズ除去などの処理は、データの乱れを軽減できますが、正当なケースにおいてモデルの精度を低下させないよう、慎重に適用する必要があります。さらに、異常検出技術や統計分析を用いて、疑わしい入力パターンを特定します。
また、防御的蒸留やアンサンブルアプローチ（複数のモデルを組み合わせてその出力を比較する）など、本質的に堅牢なアーキテクチャに関する研究も進められている。これらの手法では、小さな摂動に対してシステムがどのように反応するかを正確に予測することは困難である。その目的は、こうした微細な変化に対するモデルの感度を低減することにある。
とはいえ、敵対者の攻撃に対する防御は、いたちごっこのようなものです。防御が進展するたびに、それを回避しようとする新たな攻撃手法が必ずと言っていいほど現れます。そのため、モデルの改善に加えて、コンテキスト制御を確立することが重要です。つまり、誰が、どのチャネルで、どのような認証の下で、どのような種類のデータを送信できるのか、そして異常な結果をどのように監視するのか、といった点です。
将来を見据えると、説明可能なAI（XAI）の重要性が高まっており、モデルが特定の決定を下す理由を理解したり、まだ知られていない攻撃者による攻撃に関連している可能性のある異常な行動パターンを検出したりするのに役立ちます。
脅威はビットや数理モデルだけにとどまりません。AIを活用したソーシャルエンジニアリングも大きな脅威の一つです。攻撃者は言語モデル、データ分析システム、コンテンツ生成ツールなどを利用して、よりパーソナライズされ、信憑性が高く、検出が困難な詐欺を仕掛けています。
かつては時間と心理的なスキル、そして優れた文章力が必要だった、被害者の調査、背景の理解、そして説得力のあるメッセージの作成といった作業が、今では自動化できるようになった。AIを使えば、ソーシャルメディア、企業のウェブサイト、情報漏洩などから公開情報を収集し、ターゲットのプロファイルを作成し、国、業界、文化に合わせてトーンを調整したメール、メッセージ、通話スクリプトを数秒で生成することが可能になる。
サイバーセキュリティの専門家は、攻撃者にとって言語や文化の壁は事実上消滅したと指摘する。犯罪者は、AI搭載のチャットアシスタントに依頼して、スペインの企業の従業員宛てに、正確な業界用語や信憑性のある企業風の文面を盛り込んだ、もっともらしいメールを作成させることができる。しかも、その言語に堪能である必要はないのだ。
脅威研究者らは、この機能が既に大規模なフィッシングキャンペーン、詐欺、マルウェア配布に悪用されていると指摘している。最も顕著な改善点は、文章の質の高さと、典型的な危険信号（スペルミス、不自然な表現など）の欠如にある。フィッシングページは、より洗練されたデザインによって、詐欺の視覚的な手がかりが少なくなっているという利点もある。
このような状況下では、攻撃は無作為な攻撃ではなくなり、高度に洗練されたキャンペーンへと変化し、受信者がメッセージを自身のデジタルルーチンの自然な一部として認識するほどのパーソナライズが施されるようになる。
このエコシステムの中で、人工知能によって増幅されたいくつかのタイプの攻撃が際立っている。
一方、言語モデルを用いたパーソナライズされたフィッシング攻撃もあります。これは、AIが公開データを分析し、被害者の役割や状況に合わせた、筋の通った、質の高いメッセージを生成するものです。基本的な誤りはなくなり、メールはセキュリティレビュー、人事プロセス、技術的な問題などに関する正当な社内連絡のように見えます。
さらに標的を絞った攻撃として、自動化されたスピアフィッシングがあります。これは、組織内の特定の個人またはグループ（財務管理者、システム管理者、中間管理職など）を狙います。AIは、ソーシャルプロフィール、企業階層、信頼関係を相互参照し、実際のプロジェクトや既知の社内力学に合致したメッセージを作成します。
音声技術の分野では、音声クローンを用いたフィッシング詐欺が飛躍的に進歩している。AIモデルは、わずか数秒の音声データで、実在の人物の声質や抑揚を再現できる。CEO、主要サプライヤー、あるいはセキュリティ担当者を装った電話は、被害者に他の手段で確認することなく、送金や認証情報の変更を強要する可能性がある。
もう一つの攻撃手法は、スマートスミッシング（SMSやインスタントメッセージを利用したフィッシング）です。AIがモバイル端末の使用状況を分析し、最適なタイミング、トーン、メッセージ内容を選択することで、被害者を騙してリンクをクリックさせたり、悪意のあるアプリをダウンロードさせたり、認証情報を渡させたりします。メッセージは、荷物の配達通知、銀行からの通知、または通常のサービスからの連絡を装っています。
最後に、ディープフェイクを用いた経営幹部のなりすましは、ビデオ通話が頻繁に行われる環境においてリスクを増大させる。経営幹部が緊急対応を要求する、一見本物そっくりのビデオは、視覚的にも聴覚的にも信憑性を感じさせ、明確な手順が定められていない場合、多くの検証障壁を乗り越えてしまう可能性がある。
悪意のあるチャットボット、個人情報の盗難、偽情報
対話型AIは、攻撃者にとっても武器となっている。自然言語処理機能を備えた悪意のあるチャットボットは、サポートサービス、社内アシスタント、あるいは企業の公式チャネルになりすますことができる。これらのチャットボットは、スムーズな会話を維持し、迅速に応答し、被害者が悪意のあるファイルをダウンロードしたり、偽のウェブサイトに認証情報を入力したりするまで誘導する。
より巧妙なレベルとしては、コミュニケーションパターンに基づいたなりすましがあります。ここでは、AIが過去のメールやメッセージから、実際の人物がどのように文章を書くか（語彙、構成、キーワード、トーンなど）を学習します。その結果、その人物と全く同じ文章が生成されるため、特に社内で権限のある立場にある人物の場合、受信者の疑念は大幅に軽減されます。
集団レベルでは、自動化された偽情報キャンペーンは、テキスト生成モデルと感情分析モデルを活用して、大規模な虚偽コンテンツを作成・拡散します。連携したボットはメッセージを増幅させ、分極化を煽り、政治、健康、経済問題に関する世論を操作し、単に具体的なデータを盗むのではなく、社会的な意思決定に影響を与えることを目指しています。
また、意味解析を利用したデジタルグルーミングの事例も報告されている。AIは脆弱なプロフィール（例えば、ソーシャルネットワーク上の未成年者）を特定し、攻撃者の言説を調整して、徐々に信頼関係を築き、操作していく。これはゆっくりと静かに進行するため、特にリスクが高い。
最後に、スマートベイトとは、被害者の興味に合わせてAIが生成したコンテンツ（文書、偽のレポート、限定リソースなど）を利用して、被害者を騙し、仕事上または個人的な機会を利用できると信じ込ませ、ファイルをダウンロードさせたり、悪意のあるサイトにアクセスさせたりする手口です。
意図的な攻撃以外にも、AIはデータやモデルにおける偏りや不均衡によって害を及ぼす可能性がある。特定の集団が訓練データにおいて過小評価されていたり、誤って分類されていたりすると、結果として得られるシステムはそれらの集団に対してより悪い結果を生み出す傾向があり、目には見えにくいものの、非常に現実的な差別を生み出すことになる。
例えば医療分野では、コンピュータによる診断システムは、データのバランスが取れていないため、白人患者に比べてアフリカ系アメリカ人患者に対する診断精度が低いことが指摘されている。これは、特定のグループにおいて診断の遅延や誤診につながる可能性がある。
職場において、採用プロセスで使用されるAIツールは、固定観念を助長する可能性がある。例えば、求人広告に「忍者」という言葉を使うといった、一見無害に見える行為でも、主に男性を引きつけ、特定の誰かを差別する意図がなくても、応募者の構成を変えてしまう可能性がある。
画像生成モデルに関する研究によると、多くのツールは明らかに偏った世界を作り出している。管理職はほぼ常に白人男性であり、女性が医師や裁判官として描かれることは稀で、肌の色の濃い男性は犯罪と結びつけられ、肌の色の濃い女性は不安定な仕事と結びつけられる。専門家のニュートラルな画像が求められた場合でも、結果はデータから受け継がれた性別や人種の役割を再現してしまう。
刑事司法制度において、AIを用いた予測型警察活動ツールは、過去の逮捕データやパトロールデータに依存することが多い。もしそのデータに人種的または地理的な偏りが含まれている場合、モデルは同じ地域やコミュニティを繰り返し標的にする傾向があり、不均衡な警察活動のパターンを強化し、不平等を永続させることになる。
サイバーセキュリティにおけるAI：諸刃の剣
純粋に防御的な観点から見ても、AIは現代のサイバーセキュリティの重要な要素となっています。2025年から2026年初頭にかけて、AIは大量のイベントを分析し、人間の目では捉えにくい異常な挙動を検出し、アラートの優先順位付けを行い、インシデント対応時間を短縮するための基本的なツールとしての地位を確立しました。
AIベースのシステムを使用すると、複数のソースからのログを関連付け、ユーザーとデバイスの通常の動作をモデル化し、逸脱が検出された際にほぼリアルタイムでアラートをトリガーできます。これは、数千のエンドポイントが存在するクラウド環境やハイブリッド環境で特に役立ちます。
しかし、防御型AIは人間の判断力や成熟したプロセスの必要性を代替するものではありません。明確な戦略、継続的な監視、そして訓練されたチームがなければ、自動化は誤った安心感を生み出したり、逆に優先順位の低いアラートでアナリストを圧倒したりする可能性があります。
近年、攻撃者もAIを攻撃手段に取り入れ始めている。高度なフィッシング攻撃、巧妙ななりすまし、自動的な標的認識、多形性マルウェアの生成、そして防御側の対応に応じて攻撃を動的に調整するなど、その手法は多岐にわたる。結果として、攻撃者と防御者が同じ技術ツールを使い分ける環境が生まれ、違いは戦略と適応力にあると言えるだろう。
今後、競争優位性は単にAIを利用することだけではなく、継続的なテスト、最新のモデル、継続的な監視、そして適切なリスク管理を備えた360度セキュリティアーキテクチャにAIを統合することにあるだろう。
GPUをAIにとって使い物にならなくしてしまうGPUHammerのような物理的な攻撃から、巧妙なデータ操作、高度にパーソナライズされたソーシャルエンジニアリングキャンペーン、そして社会に影響を与える構造的な偏見に至るまで、こうした全体像は、AIセキュリティがもはや選択肢ではなく、私たちのデジタルライフ、そしてますます現実世界におけるほぼすべての重要な意思決定に何らかの形で影響を与え始めているシステムを信頼し続けるための基本的な要件であることを明確に示している。
