推論エンドポイント攻撃の検出・対策ガイド

導入 — なぜ推論エンドポイントが狙われるのか

機械学習モデルの推論エンドポイントは企業の意思決定やサービスを直接支えるため、機密データ・知的財産・ビジネス継続性の重要な攻撃面（attack surface）となっています。攻撃者はモデル盗用、モデル抽出、応答改竄、悪意ある入力（投毒／プロンプト注入）やリソース枯渇など複合的な手法でエンドポイントを悪用します。本稿では、MLOpsパイプラインと推論運用に焦点を当て、技術的な脆弱性、実務で観測可能な検出指標（telemetry）、そして現場で実行できるハードニング手順をまとめます。

対象読者：MLOpsエンジニア、クラウド運用者、SRE、SOCアナリスト、CISO/リスク管理担当

攻撃パターンとMLOpsでの脆弱性

代表的な攻撃シナリオ

モデル抽出（Model extraction） — 公開された推論APIを繰り返し問い合わせ、入力⇄出力ペアから近似モデルを再構築する。知的財産の窃盗や回避検出の前段となる。
プロンプト注入／入力操作 — 特に大規模言語モデル（LLM）やプロンプトベースのシステムで、入力に悪意ある命令を混入して不適切な応答や権限超越を引き起こす。
データ中毒（Data poisoning）／応答汚染 — フィードバックループや継続学習、オンライン学習を使う場合にトレーニングデータや評価データを汚染する。
応答改竄とサプライチェーン攻撃 — 推論前後のパイプライン（データバケット、メッセージキュー、モデルアーティファクトの配信経路）を改竄することで誤った応答を生成させる。
リソース枯渇／DoS — 高コストな推論リクエスト（長いシーケンス、複雑なベクトル検索）を大量に送ることで帯域やGPU等を枯渇させサービス停止を誘発。

MLOpsで特に注意すべき脆弱性

過度に公開された推論エンドポイント（認可・認証欠如）
テレメトリの欠落：モデル入力・出力・メタデータのログ化不足
継続学習の未検証な自動パイプライン
偏弱なレート制限・コスト保護（billing/quotas）
アーティファクト署名やイメージ整合性の未実施

検出指標（Telemetry）とSIEM/XDRでの相関ルール

推論エンドポイントを監視する際は、既存のアプリ／インフラログだけでなくモデル固有のシグナルを取り込み、SIEMやXDRの相関ルールに落とし込む必要があります。以下は実務で使える主要指標です。

推奨テレメトリ

リクエストメタ情報：クライアントIP、APIキー／トークンID、User-Agent、地域、リクエスト頻度。
ペイロード特性：入力サイズ、埋め込みベクトルの次元／分布、文字種／エンコード、ペイロードの多様性（類似度計測）。
応答特性：レスポンスタイム、出力長、確信度／スコア、生成トークン分布、ヒューリスティック（同一応答の繰り返し、明らかに安全でないフレーズの出現）。
リソース／課金シグナル：GPU使用率、推論コストの急増、異常なバースト、同一APIキーによる高額請求。
モデル行動の変化：検証用カナリア入力に対する応答逸脱、既知の回避サンプルへの脆弱性。

SIEMでの相関ルール例（運用メモ）

単一APIキーからの短時間内の高頻度リクエスト＋高コスト応答 → 「潜在的モデル抽出／DoS」のアラート。
カナリア入力に対する応答逸脱（定期検査）＋モデルバージョンの非整合 → 「モデル改竄/配信経路侵害」のアラート。
外部IPトラフィック増加（新しい国・プロキシ）＋異常な文字種混入 → 「プロンプト注入／攻撃的入力」のアラート。

実装ポイント：モデル固有シグナルはアプリログ（APIゲートウェイ）、推論サーバログ、ベクターストア／検索ログ、クラウド課金ログを統合して解析する。ログはインデックスとフィールド命名を統一し、毎週のハンティングルール棚卸しを行うことを推奨します。

実務ハードニング手順（チェックリスト＋プレイブック）

以下は導入可能な短期〜中期の対策と、インシデント発生時の簡易プレイブックです。

短期（即時実装：1日〜2週間）

認証・認可の徹底：全ての推論エンドポイントに対して強制的な認証（OAuth2、mTLS、APIキー管理、短期トークン）を導入。
レート制限とコストガード：APIごと、キーごと、IPごとのレート制限と、費用上限アラートを設定。
最小権限の原則：モデルアーティファクト／データバケットのアクセス権を見直し、実行ロールを絞る。
カナリア入力／差分チェック：既知の検査用入力セットを定期的に実行して応答差分を検知。

中期（3〜8週間）

アーティファクト署名とインテグリティ：モデルファイルとコンテナイメージに対する署名検証を導入（署名チェーンとSBOM連携）。
テレメトリ拡充：推論ごとの入力・出力サンプル（サンプリング）を保存し、ベースライン学習と異常検知パイプラインを構築。
異常検知モデルの導入：入力分布変化や出力分布の逸脱を検出するための統計・MLベースの検知を導入。
継続学習のガバナンス：自動学習パイプラインを停止し、承認フロー、A/B検証、データバリデーションを必須化。

長期（組織成熟：3ヶ月〜）

Zero Trustと分離アーキテクチャ：推論層とモデル管理層、データ格納層の権限・ネットワーク分離。
フォレンジック向けログ保持設計：推論イベントの長期保存、署名付きタイムスタンプ、証跡の改竄防止。
定期的なモデルレッドチーム演習：モデル抽出シミュレーション、プロンプト注入テスト、供給連鎖攻撃の模擬。

インシデント対応プレイブック（簡易）

ステップ	アクション
初動検出	疑わしいAPIキーを無効化／該当IPを一時ブロック。影響範囲（モデル、データ、料金）を即時評価。
封じ込め	該当エンドポイントのトラフィックを内部ネットワークへ限定、継続学習パイプラインを停止。
調査	サンプルログ、入出力ペア、アーティファクト署名履歴、クラウド課金ログを収集。モデル差分検査を実行。
復旧	確認済みクリーンなバックアップモデルへロールバック。問題のあるキーやIPを恒久ブロック。
報告・再発防止	ポストモーテムを実施し、レート制限・署名・監査ログなど欠落点を改善。利害関係者へ報告。

運用ヒント：インシデント対応はMLOpsチームとSOCの共同作業とし、事前にリハーサル（tabletop）を実施する。法的観点や顧客通知はCSIRT／法務と連携する。