タイトル: PHISHGUARD++: 深層学習、敵対的モデリング、およびAIガバナンスを用いたフィッシングのマルチモーダル検出のための形式的で堅牢かつスケーラブルなフレームワーク

1. はじめに

フィッシングは、現代の脅威環境において最も持続的かつ経済的損失の大きい攻撃ベクトルの一つである。最近の報告によれば、ソーシャルエンジニアリング、特にフィッシングおよびプレテキスティングは、依然として主要な初期侵入ベクトルの上位に位置している（VERIZON, 2024）。MITRE ATT&CK フレームワークでは、これらの攻撃は Initial Access の戦術内にある技術 T1566（Phishing）として正式に分類されている（MITRE, 2024）。2025年には、大規模言語モデル（LLMs）によって支援されたキャンペーンの激化も観測されており、これらは高度に個別化され、言語的整合性の高いコンテンツを生成可能であり、攻撃対象領域を拡大している。

形式的観点から、フィッシング検出を多モーダル入力空間 $X = X_t \times X_g \times X_v$ に対する教師あり分類問題としてモデル化する。ここで、$X_t$ はテキスト特徴（URL、メール本文、HTML、意味埋め込み）を表し、$X_g$ は構造的関係を異種グラフとしてモデル化したもの（ドメイン、IP、証明書、ASN、時系列関係）を表し、$X_v$ は視覚的特徴（スクリーンショットおよびロゴ）を表す。$\theta$ によりパラメータ化された関数 $f_\theta: X \rightarrow {0,1}$ を考え、ここで $1$ は悪意あるインスタンスを示す。

古典的な目的は、期待リスクを最小化することである：

$$ R(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}}[\ell(f\theta(x), y)], $$

ここで $\mathcal{D}$ は concept drift により非定常でありうる。また、$\ell$ は交差エントロピー損失である。しかし、攻撃者の適応的性質を踏まえ、本研究では問題を adversarial robust risk の観点から再定式化する：

$$ R_{\text{rob}}(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}} \left[ \max{|\delta|p \leq \epsilon} \ell(f\theta(x+\delta), y) \right]. $$

本研究の中心的貢献は、多モーダルモデリング、min-max 最適化、およびドリフト監視機構を統合し、$\epsilon$ 制約付き摂動および生成 AI によって支援された攻撃シナリオ下でのロバスト性について実証的保証を提供する点にある。

2. 理論的基礎と関連研究

2.1 統計学習理論とロバスト性

統計学習理論（VAPNIK, 1998）によれば、分類器は $R(\theta_n) \rightarrow R^*$ が $n \rightarrow \infty$ のとき成り立つならば整合的である。敵対的環境では、この収束はロバストリスクの下で分析されなければならない。Madry ら（2018）が提案した min-max 定式化は、$L_p$ ノルムで制約された敵対者に対する安全性の運用上の概念を確立する。

さらに、concept drift の存在は、分布列 ${\mathcal{D}t}{t \geq 0}$ として形式化でき、$\mathcal{D}t \neq \mathcal{D}{t+1}$ である。Kolmogorov–Smirnov 検定や population stability index の監視のような統計的乖離に基づく検出器は、重大な変化を通知するために用いられる。

2.2 評判ベース手法と脅威インテリジェンス

Google Safe Browsing（GOOGLE, 2024）、OpenPhish（OPENPHISH, 2024）、PhishTank（PHISHTANK, 2024）などのソリューションは、ブロックリストと協調的インテリジェンスを利用する。これらは事後的には高い精度を示す一方で、更新遅延およびゼロデイ・ドメインへの一般化不能という問題を抱える。

2.3 多モーダル深層学習

BERT（DEVLIN et al., 2019）およびそのロバスト変種のような Transformer ベースのモデルは、複雑な意味的依存関係を捉える。ResNet（HE et al., 2016）のような深層畳み込みネットワークは、効率的な視覚特徴抽出において依然として最先端である。動的グラフにおいては、GraphSAGE（HAMILTON; YING; LESKOVEC, 2017）および異種グラフ変種がスケーラブルな帰納学習を可能にする。

近年の研究では、ハイブリッドアーキテクチャと多モーダル注意機構を用いたフィッシング検出も探究されているが（ALJOFI et al., 2022; SAHINGOZ et al., 2019）、形式的な adversarial training を組み込んでいない場合が多い。

2.4 ロバスト性、生成 AI、およびガバナンス

Goodfellow, Shlens and Szegedy（2015）は、知覚不能な摂動に対するニューラルネットワークの脆弱性を示した。Madry ら（2018）は PGD によるロバスト学習を定式化した。2025年には、LLM ベースの攻撃により状況はさらに悪化しており、極めて自然な言語変種が生成されるため、より高い意味的一般化能力を備えたモデルが求められる。

規範的観点では、NIST AI Risk Management Framework（NIST, 2023）および Digital Identity Guidelines の更新版（NIST, 2023）が、信頼性、ガバナンス、および AI システムに関連するリスク緩和のための原則を定めている。

3. 脅威モデル

我々は、以下の能力を有する多項式時間で制約された敵対者を仮定する。

1. 短命ドメインを登録し、fast-flux 技術を用いる。
2. 公開または私的な LLM を援用してテキストコンテンツを生成する。
3. $|\delta|_p \leq \epsilon$ を満たす摂動 $\delta$ を挿入する。
4. 自動化技術を用いてブランドの視覚的アイデンティティを複製する。

$\epsilon$-一様ロバスト性を次のように定義する。

分類器 $f$ が $x$ において $\epsilon$-ロバストであるとは、

$$ \forall \delta, |\delta|_p \leq \epsilon \Rightarrow f(x+\delta)=f(x). $$

また、学習集合の一部 $\alpha$ に制限されたデータ汚染攻撃も考慮する。これは経験分布 $\hat{\mathcal{D}}$ への摂動としてモデル化される。

4. 提案手法

PHISHGUARD++ アーキテクチャは、3つの主要モジュールから構成される。

• Transformer ベースのテキストエンコーダ。
• 構造的関係のための異種 GNN。
• 視覚解析のための深層残差 CNN。

結合表現は次式で与えられる：

$$ h = [h_t | h_g | h_v] \in \mathbb{R}^d, $$

ここで $d = d_t + d_g + d_v$ である。確率的出力は次式で表される：

$$ \hat{y} = \text{softmax}(W h + b). $$

adversarial training は $k$ 回の反復を伴う PGD を用いる。

for i in range(k):
    x_adv = x_adv + α  sign(∇_x ℓ(fθ(x_adv), y))
    x_adv = Π_{||x_adv - x||_p ≤ ε}(x_adv)

1エポックあたりの計算量は次のとおりである：

$$ O\left(n \cdot k \cdot (T_{\text{Transf}} + T_{\text{GNN}} + T_{\text{CNN}})\right). $$

経験的には、Transformer モジュールが総計算コストの約 52% を占める。

5. 実装、スケーラビリティ、および運用アーキテクチャ

我々は本システムを PyTorch 2.2 および CUDA 12.x 上で実装した。取り込みパイプラインは、分散メッセージングのために Apache Kafka（APACHE KAFKA, 2024）を、ストリーム処理のために Apache Flink（APACHE FLINK, 2024）を使用する。グラフは Neo4j 5.x（NEO4J, 2024）に保存される。

表1は性能指標を要約している。

指標	値
平均レイテンシ	12,4 ms/サンプル
スループット	80.000 イベント/s
GPU	8 × NVIDIA A100
総メモリ	640 GB GPU

CNAPP プラットフォームとの統合により、クラウド・テレメトリとの相関分析が可能となり、自動応答能力が拡張される。

6. 実験評価

データセットは、正当クラスと悪性クラスの間でバランスされた 1.540.000 件のインスタンスを含む。95% 信頼区間は、10.000 回のブートストラップ再標本化により推定した。

主な結果：

モデル	F1	FPR
テキストベースライン	0,961	1,84%
ロバスト性なしの多モーダル	0,982	1,10%
PHISHGUARD++	0,986 ± 0,004	0,92%

$\epsilon=0,01$ の PGD 攻撃下では：

• F1 の低下: 3,1%。
• FPR は 1,37% まで増加した。

McNemar 検定は、最良ベースラインに対して $p < 0,001$ で統計的有意性を示した。

7. 考察

多モーダル統合は、モダリティ間の情報的補完性を活用することで推定量の分散を低減する。adversarial training はロバストな正則化器として機能し、分類器を決定境界の安定領域へと近づける。

LLM により生成された攻撃は、より高い語彙的多様性を生み出す一方で、GNN により検出可能な構造的・関係的パターンを保持することが観察された。制約としては、高い計算コストおよび高品質なラベル付きデータへの依存が挙げられる。

8. 結論

我々は、多モーダルモデリングとロバスト最適化を組み合わせることで、生成 AI によって強化されたフィッシングの文脈において、性能および敵対的レジリエンスの大幅な向上をもたらすことを示した。今後の課題としては、concept drift 下での継続的適応、メッセージ真正性検証のための耐量子暗号との統合、および NIST AI RMF のようなガバナンス枠組みとの整合が挙げられる。

References

ALJOFI, A. et al. Phishing detection using deep learning techniques: A systematic review. IEEE Access, v. 10, 2022. Available at: https://ieeexplore.ieee.org/.

APACHE FLINK. Apache Flink Documentation. 2024. Available at: https://flink.apache.org/.

APACHE KAFKA. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/.

DEVLIN, J. et al. BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding. In: NAACL, 2019. Available at: https://aclanthology.org/N19-1423/.

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and Harnessing Adversarial Examples. In: ICLR, 2015. Available at: https://arxiv.org/abs/1412.6572.

GOOGLE. Google Safe Browsing. 2024. Available at: https://safebrowsing.google.com/.

HAMILTON, W.; YING, Z.; LESKOVEC, J. Inductive Representation Learning on Large Graphs. In: NeurIPS, 2017. Available at: https://arxiv.org/abs/1706.02216.

HE, K. et al. Deep Residual Learning for Image Recognition. In: CVPR, 2016. Available at: https://arxiv.org/abs/1512.03385.

MADRY, A. et al. Towards Deep Learning Models Resistant to Adversarial Attacks. In: ICLR, 2018. Available at: https://arxiv.org/abs/1706.06083.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). AI Risk Management Framework (AI RMF 1.0). 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Digital Identity Guidelines – SP 800-63-4 (Draft). 2023. Available at: https://pages.nist.gov/800-63-4/.

NEO4J. Neo4j Graph Platform Documentation. 2024. Available at: https://neo4j.com/docs/.

OPENPHISH. Phishing Intelligence Feed. 2024. Available at: https://openphish.com/.

PHISHTANK. PhishTank Data Archive. 2024. Available at: https://phishtank.org/.

SAHINGOZ, O. K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, v. 117, 2019. Available at: https://doi.org/10.1016/j.eswa.2018.09.029.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.

VAPNIK, V. Statistical Learning Theory. New York: Wiley, 1998.

ZHANG, X. et al. Phishing detection with convolutional neural networks. In: NDSS, 2017. Available at: https://www.ndss-symposium.org/.