タイトル: 適応型攻撃下における機械学習モデルのセキュリティのための形式的に検証可能なアーキテクチャ: 堅牢性、監視、および暗号学的保証を統合したフレームワーク

1. はじめに

機械学習モデルを、金融プラットフォーム、侵入検知システム（IDS）、医療支援診断、産業インフラを含む重要システムへ組み込むことは、サイバーセキュリティにおける脅威の状況を根本的に変化させた。挙動が決定論的な規則によって明示的に定義される従来のソフトウェアとは異なり、ML モデルは、$\theta$ によってパラメータ化された複雑な関数 $f_\theta: \mathcal{X} \rightarrow \mathcal{Y}$ を学習する。その決定境界は、システムへ部分的または完全なアクセスを有する攻撃者によって探索されうる。

近年の事案は、この構造的脆弱性を明確に示している。学習パイプラインに対する汚染攻撃は公開リポジトリで観測されており、MITRE ATT&CK の技法 T1565（Data Manipulation）に類似したベクトルが悪用されている。CVE-2021-44228（Log4Shell）のような脆弱性は、ソフトウェア供給網がどのように侵害され得るかを示し、分散学習環境にさえ影響を及ぼした。ニューラルネットワークベースの生体認証システムでは、物理的な敵対的攻撃が、制御されたシナリオにおいて 70% を超える回避率を達成した。さらに、公開 API を悪用する model extraction 技法により、所有モデルを誤差 5% 未満で近似的に再構成することが可能になっている。

これらの事実は、AI におけるセキュリティ問題の厳密な再定式化を促している。中心的な問いは、モデルを敵対的摂動に対して堅牢にする方法だけではなく、形式的保証、運用監視、暗号学的メカニズムを一体化したアーキテクチャにいかに統合するかである。

以下の研究課題を定義する。

RQ1: 学習、推論、展開という ML ライフサイクルの複数段階を悪用可能な適応的攻撃者を、どのように形式的にモデル化できるか？

RQ2: 運用性能を損なうことなく、認証済み敵対的ロバストネスとリアルタイム検知機構を組み合わせることは可能か？

RQ3: 協調攻撃下にあるモデルに対して、完全性、機密性、可用性についてどのような定量的保証を確立できるか？

本研究の主要な貢献は以下のとおりである。

C1: 確率論的枠組みの下で、汚染、回避、抽出を統合した ML の脅威に関する統一形式モデルを提案する。

C2: ロバスト学習、逐次統計監視、暗号学的アテステーションを組み合わせたモジュラーアーキテクチャを開発する。

C3: 複数ドメインにおいて、単独手法と比較して 56% 超の敵対的成功率低減を実証する。

本論文の残りの構成は次のとおりである。第 2 節では理論的基礎と関連研究を論じる。第 3 節では脅威モデルを形式化する。第 4 節では提案手法を詳述する。第 5 節では実装を説明する。第 6 節では実験評価を示す。第 7 節では含意を議論し、第 8 節で本研究を結論づける。

2. 背景と関連研究

訓練集合 $D = {(x_i, y_i)}_{i=1}^n$ を持つ教師ありモデルを考える。ここで $x_i \in \mathbb{R}^d$、$y_i \in \mathcal{Y}$ とする。学習は経験リスクの最小化を目的とする。

$$ \min_\theta \frac{1}{n} \sum_{i=1}^{n} \mathcal{L}(f_\theta(x_i), y_i) $$

敵対的攻撃の下では、局所的ロバストネスが求められる。

$$ \min_\theta \frac{1}{n} \sum_{i=1}^{n} \max_{|\delta|p \le \epsilon} \mathcal{L}(f\theta(x_i + \delta), y_i) $$

Madry らはこのアプローチを min-max 最適化として定式化した。Goodfellow らは FGSM を導入し、Tramèr らは攻撃の転移性を検討した。

防御は 3 つのカテゴリに分類できる。

1. 内在的ロバストネス: 敵対的学習、Lipschitz 正則化、randomized smoothing。
2. 攻撃検知: 潜在分布の監視、再構成型オートエンコーダ。
3. モデル保護: watermarking、SGX エンクレーブ、differential privacy。

依然として限界は存在する。敵対的学習は計算コストを最大 4 倍に増加させる。単独の検知器は高い偽陽性率（>10%）を示す。さらに、暗号学的保証は統計的ロバストネスを扱わない。

確率的認証に関する最近の研究は、ガウス雑音の下で形式的保証を提供するが、攻撃の独立性と体系的な汚染の不存在を仮定している。統一的な敵対モデルの下で多層防御を統合する研究は少ない。

3. 脅威モデルと問題の形式化

我々は、以下の能力を持つ攻撃者 $\mathcal{A}$ を仮定する。

• 学習データに悪意あるデータを $\alpha$ の割合で挿入する。
• 推論 API へのクエリアクセスを持つ。
• $|\delta|_p \le \epsilon$ を満たす摂動 $\delta$ を生成できる。
• 出力の観測を通じてパラメータ抽出を試みる。

形式的には、攻撃者は次を最大化しようとする。

$$ \mathbb{P}(f_\theta(x+\delta)=y^) $$

または完全性を最小化する。

$$ \Delta_{risk} = R_{adv}(f_\theta) - R_{clean}(f_\theta) $$

望ましい性質は以下のとおりである。

• $\epsilon$-局所ロバストネス: 限定された摂動下での安定性。
• 学習の完全性: $\alpha < \alpha_{crit}$ ならば限定的な劣化にとどまること。
• パラメトリック機密性: 再構成確率 $\le \beta$。

4. 提案手法

我々のアーキテクチャは 3 つのモジュールを統合する。

1. 認証付きロバスト学習（TRC）
2. 統計的偏差モニタ（MDE）
3. アテステーション付き暗号層（CCA）

Algorithm 1: 統合ロバスト学習

Input: D, ε, σ
Initialize θ
for epoch = 1..E:
    for batch B ⊂ D:
        Generate δ via PGD
        Sample noise η ~ N(0, σ²I)
        Compute loss L = L(fθ(x+δ+η), y)
        Update θ via SGD
return θ

計算量: $O(E \cdot n \cdot k)$、ここで $k$ は PGD のステップ数である。

Algorithm 2: 逐次監視

Input: Stream S
Initialize μ0, Σ0
for each x in S:
    z ← embedding(x)
    compute D_Mahalanobis(z)
    if D > τ:
        raise alert

我々は逐次尤度比検定（SPRT）を用いる。しきい値 $\tau$ は目標 FPR 5% に調整する。

5. 実装

システムは PyTorch 2.1 と CUDA 12.2 で実装した。暗号モジュールは Intel SGX と Open Enclave SDK を利用する。ログは ECDSA P-256 で署名する。

パイプラインは、8 ノード（NVIDIA A100 40GB）の Kubernetes クラスタ上で学習を分散する。監視はサイドカーコンテナで実行され、リクエストあたり平均 3.4 ms の遅延である。

トレードオフとして、PGD のオーバーヘッドによりバッチサイズを 256 から 192 に削減した。水平スケーラビリティでは、6 レプリカで 4,200 req/s のスループットを示した。

6. 実験評価

環境: 8× NVIDIA A100、512GB RAM。

データセット:

• CIFAR-10（60k images）
• UNSW-NB15（2.5M flows）
• MIMIC-III（40k records）

ベースライン:

• Standard Training
• PGD-Adversarial Training
• Feature Squeezing

CIFAR-10 の結果

Method	Acc Clean	Acc Adv (ε=8/255)
Standard	94,8%	21,6%
PGD	87,3%	48,9%
Proposed	89,1%	78,3%

敵対的成功率の低減: 78,4% → 21,7%。

汚染（α=10%）

Detection: 93,2% ±1,4
FPR: 3,8% ±0,9

総平均オーバーヘッド: 11,6%。

7. 考察

結果は、多層統合が単独手法を上回ることを確認した。認証付きロバストネスは形式的な下界を与え、監視は全体的な偏差を捕捉する。

限界として、smoothing におけるガウス仮定への依存と追加の計算コストがある。妥当性への脅威として、大規模 transformer モデルへの一般化が挙げられる。

実務上の含意としては、SOC への導入と NIST AI RMF との整合がある。

8. 結論と今後の課題

我々は、形式的保証と堅牢な実証的検証を備えた AI セキュリティの統合アーキテクチャを提示した。適度なオーバーヘッドの下で、ロバストネスと検知における有意な改善を実証した。

今後の課題には、LLM への拡張、適応的 differential privacy との統合、SMT ベースの形式検証が含まれる。

References

[1] I. Goodfellow et al., “Explaining and Harnessing Adversarial Examples,” ICLR, 2015.
[2] A. Madry et al., “Towards Deep Learning Models Resistant to Adversarial Attacks,” ICLR, 2018.
[3] N. Carlini and D. Wagner, “Towards Evaluating the Robustness of Neural Networks,” IEEE S&P, 2017.
[4] B. Biggio et al., “Poisoning Attacks against SVMs,” ICML, 2012.
[5] M. Tramèr et al., “Stealing ML Models via Prediction APIs,” USENIX Security, 2016.
[6] NIST, “AI Risk Management Framework,” 2023.
[7] MITRE, “ATT&CK Framework,” 2024.
[8] OWASP, “Machine Learning Security Top 10,” 2023.
[9] K. Grosse et al., “Adversarial Examples for Malware Detection,” ESORICS, 2017.
[10] P. Papernot et al., “Practical Black-Box Attacks,” ASIACCS, 2017.
[11] M. Abadi et al., “Deep Learning with Differential Privacy,” CCS, 2016.
[12] S. Shokri et al., “Membership Inference Attacks,” IEEE S&P, 2017.
[13] R. Shokri, “Privacy Risks of ML,” CCS, 2017.
[14] Intel, “SGX Developer Guide,” 2022.
[15] J. Cohen et al., “Certified Adversarial Robustness,” ICML, 2019.
[16] A. Krizhevsky, “CIFAR-10 Dataset,” 2009.
[17] Moustafa, “UNSW-NB15 Dataset,” 2015.
[18] Johnson et al., “MIMIC-III,” Sci Data, 2016.
[19] Open Enclave SDK Documentation, 2023.
[20] Kubernetes Documentation, 2024.