イントロダクション：なぜ今、モデル毒性とサプライチェーンに注意が必要か
機械学習（ML）／大規模言語モデル（LLM）を中心としたAI導入が加速する中、サードパーティ製の事前学習モデル（PTM）、重みファイル、学習データ、そしてモデルのシリアライズ形式（pickle 等）を介した侵害が現実の脅威となっています。研究や業界報告は、モデル自体に埋め込まれたバックドアや毒性（poisoning/backdoor）が下流のシステムに広がりうることを示しており、従来のソフトウェアSBOMだけでは検出・防御が不十分である点を警告しています。
本稿では（1）攻撃の代表的手口、（2）SBOMをAI向けに拡張した「AI‑BOM」やモデル検証の考え方、（3）実務で導入可能な検証ワークフローと運用チェックリストを提示します。対象読者はCISO、セキュリティエンジニア、MLエンジニア、ソフトウェア供給連鎖の担当者です。
攻撃の現状と主要パターン（技術解説）
代表的な攻撃クラスは大別して以下のとおりです。
- モデル毒性（Data / Model Poisoning）: 学習データやファインチューニング工程に悪意あるサンプルを混入し、特定の入力で不正動作や情報漏洩を引き起こす。学術的にも実証されており、PTMがバックドアを伝搬するリスクが報告されています。
- 埋め込み型バックドア（Embedding/Trojan）: 埋め込み空間に特定のトリガーを用意して条件付きで有害な出力を誘発する攻撃。
- シリアライズ悪用（Pickle等）: モデルファイルに任意コードを含めることで、読み込み時にエージェントやCI/CD経路上でコード実行・資格情報取得を行う手口。最近の研究はこの手法の巧妙化を指摘しています。
- 依存パッケージ／CI侵害経由の供給連鎖: モデルを配布するパッケージやレジストリ（PyPI/Model Hubs）の侵害、あるいはエージェント化されたCIワークフローを悪用した横展開。OWASPの供給連鎖リスクにも類型化されています。
業界観察では、モデルファイルはバイナリであるため静的解析が難しく、かつ検証プロセスが未整備な組織が多い点がリスクを増幅しています。運用面ではダウンストリームでの信頼チェーン欠如（署名検証・ provenance・再現性）が主要な欠陥です。
SBOMを超える『AI‑BOM』とモデル検証ワークフロー（実務ガイド）
従来のSBOMはコード・ライブラリの部品表を列挙しますが、AIに必要なのはモデル重み・学習データの来歴・ファインチューニング履歴・シリアライズ形式・署名/ハッシュ・モデルカード等を含む“AI‑BOM”です。AI‑BOMとモデル検証を組み合わせた代表的ワークフローを以下に示します。
- 収集とメタデータ確保: モデルを受け取る際は、発行者情報、バージョン、チェックサム、モデルカード、トレーニングデータの出所（可能ならハッシュ化したデータサンプル）を必須で要求する。
- 暗号的整合性チェック: 署名／ハッシュ検証を行い、不一致ならブロック。信頼できるキー管理（KMS/Root CA）で検証チェーンを保持する。
- サンドボックスでの動作検証（PST: Poison Stress Test）: 代表入力・境界ケース・トリガーパターンを用いたブラックボックス／ホワイトボックステストを実行し、副作用や意図しないデータ送信等を確認する。再現可能なテストベンチをCIに組み込むこと。
- 静的・動的解析と翻訳検査: モデルファイル内のメタ情報・依存関係、シリアライズ層に潜む怪しいコードをスキャン。モデルを中間表現（ONNX 等）に変換して差分検査を行う。
- ランタイム監視とテレメトリ: 推論エンドポイントでの出力分布監視、異常入力検出、外部通信の異常検知をXDR／SIEMと連携して継続監視する。NIST などのガイダンスにあるように、サプライチェーンリスクは設計段階から統合的に管理する必要があります。
- プロバイダ信頼モデルと最小権限: 外部モデルの利用は最小権限で隔離し、機密データを用いる際はフェデレーテッド学習や差分プライバシーで漏洩リスクを低減する。
- 変更管理とログ保持: モデルの更新履歴、テスト結果、承認プロセスのログをSBOM/AI‑BOMと結び付けて保存する。
上記をCI/CDのゲート（pull request／artifact registryのデプロイ前チェック）として自動化することで、ヒューマンエラーと運用コストを抑えつつ防御効果を確保できます。
導入チェックリストと実務的推奨事項（CISO／エンジニア向け）
短期〜中期で実行できる優先アクションは次の通りです。
| 優先度 | 施策 | 実装ポイント |
|---|---|---|
| 高 | 署名検証の必須化 | モデルアーティファクトに対する鍵管理・自動検証をCIゲートに組込む |
| 高 | サンドボックス化されたPST | 代表的攻撃シナリオ（トリガー・境界値・外部通信）をテストケース化 |
| 中 | AI‑BOMの導入 | モデルカード・学習データのメタをSBOMと同じレベルで記録 |
| 中 | ランタイム異常検知 | 出力分布モニタリング、疑わしいプロンプトや出力のアラート化 |
| 低 | 第三者評価と契約条項強化 | モデル供給者に対してセキュリティ評価義務・インシデント通知条項を契約で明示 |
運用上のヒント：初期は外部モデルの利用を限定し、サンドボックスとログを重視して実験的に運用範囲を広げる「段階的導入」を推奨します。また、攻撃手法は急速に進化しているため、業界の研究報告やOWASP等の脅威分類を定期的に参照し、検証ケースをアップデートしてください。
結論：生成AIの普及は利便性を高める一方で、モデル自体が攻撃対象となる新たな供給連鎖リスクを生んでいます。SBOMの概念をAI向けに拡張し、暗号的整合性、再現可能な毒性テスト（PST）、ランタイム監視をセットにしたワークフローを実装することが、現実的かつ効果的な防御になります。
さらなる技術資料と実装テンプレート（CI サンプル・PST テストケース・AI‑BOM フォーマット）は本サイトの実務ページで随時公開予定です。