概要：オンデバイスAIが新たな攻撃面になる理由
スマートフォンやスマート家電、エッジデバイスに搭載されるオンデバイスAI（軽量化されたNN／LLMの推論など）は、遅延低減やプライバシー利点から急速に普及しています。一方で、モデル自体や推論プロセスがデバイス内部で完結するため、アプリ内モデルの複製（モデル窃取）や、電力・EM・タイミングといったサイドチャネルを利用した情報漏えい（秘密鍵やモデルパラメータの推定）が実証研究で確認され、実運用環境の新たな攻撃面になっています。これらのリスクはモバイル・IoT固有の資源制約と組み合わさるため、従来のクラウド中心の対策だけでは不十分です。
攻撃シナリオと技術的メカニズム
代表的な攻撃手口を技術的観点で整理します。
- アプリ内モデルの直接窃取：アプリやファームウェアに埋め込まれたモデル／パラメータをバイナリ解析やメモリダンプで直接抜き取る。知的財産（IP）や有料モデルの横流しを目的とする。
- モデル抽出（Model Extraction）：ブラックボックスなAPIや推論結果を大量に取得し、類似モデルを再構築する手法。オンデバイス環境でも、ローカルAPI呼び出しや改変されたアプリを通じて同様の盗用が可能です。
- サイドチャネル（電力／EM／タイミング）を用いた情報漏えい：推論中の電力波形やクロック差分、NPU/アクセラレータのタイミング変動を観測して、モデル内部の機構や機密パラメータ、ユーザーデータを推測する攻撃。実験では少数のトレースで高い成功率を示す報告があります。
- エージェント化したAIマルウェア（Agentic AI Malware）：ユーザー操作やアプリ権限を悪用して、デバイス上のAIアシスタントやオンデバイスモデルを自律的に悪用し、データ収集や横展開・セッション乗っ取りを行う脅威。モバイル向け検出機能の報告も出ています。
これらは単独で使われる場合もあれば、モデル抽出→データ盗用→不正アカウント操作といった連鎖で被害を拡大します。
検出と防御：実務で取れる多層的対策
リスクを現実的に低減するには、ハードウェア・OS・アプリ・運用の各層での組合せ対策が効果的です。以下は実務で導入しやすい主要対策と導入上のポイントです。
技術的対策（開発者・製品設計）
- モデル保護（TEE／暗号化／スライス実行）：Trusted Execution Environment（TrustZone/SGX等）やモデルの部分的なTEE実行で重要な重みや変換を保護する手法が有効です。研究とプロトタイプが進んでおり、TEEを活用したオンデバイス保護の実装例が報告されています。
- アクセラレータ向け機密計算：NPUやGPUを含むハイパフォーマンス推論環境での機密保持（暗号化・委任実行）設計が提案されており、AIアクセラレータに起因する新たな側信号への対処が求められます。
- バイナリ難読化とキー管理：モデルファイルの暗号化・署名と厳格な鍵管理、実行時にのみ復号する設計を組合せて、単純なバイナリ逆解析を防ぎます。
- 副次検出（Telemetry／アンチタムパリング）：推論回数の急増、異常な入力パターン、未承認のローカルAPI呼び出しなどを監視し、モデル抽出や自動化された問い合わせの兆候を検出します。機械学習を用いた振舞検出の活用も有効です。
運用と組織・プロセス
- 最小権限と分離：AI推論や機微データへのアクセスは最小権限で運用し、ユースケースごとにアクセス分離を徹底します。
- ソフトウェアサプライチェーン管理：モデルやライブラリの署名、SBOM管理、CI/CDでの秘密管理を組合せ、改ざん・第三者挿入を防ぎます。
- インシデント対応体制：モデル窃取の疑いがあるケースに備えた検出→封じ込め→モデル再発行（キー／重みのローテーション）手順を定めます。
製品ごとの制約（計算性能／バッテリ／コスト）に応じて、上記を部分的に組合せるのが現実的です。EDR/MDM/アプリ保護を連携させた検出パイプラインが有効です。
短期〜中期の実務チェックリスト（現場で今すぐ確認すべき項目）
導入・運用担当者が直ちに確認できる現場向けチェックリストです。
- アプリに同梱するモデルが暗号化・署名されているかを確認する（復号は実行時のみ）。
- 重要なモデル機能はTEE内で実行可能か検討し、可能なら段階的に移行する。
- 推論API／ローカルインターフェースの呼び出し率やパターンをログ化し、閾値超過でアラートを上げる。
- デバイス側での不正な電力・EM観測を検出する物理的対策（シールド、ランダム化）やソフトウェアのマスク処理を評価する。
- サプライチェーン（モデル提供元）と締結する契約にIP保護・鍵管理・署名要件を明記する。
上の項目はリスク優先度に応じて段階的に実施してください。特に商用モデルをアプリへ組み込む場合、モデルIP保護と運用の自動化（再発行・鍵更新）が大きな効果を持ちます。