PHISHGUARD++: 深層学習、敵対的モデリング、およびAIガバナンスを用いたフィッシングのマルチモーダル検出のための形式的・堅牢・スケーラブルなフレームワーク

1. 序論

フィッシングは、現代の脅威環境において最も持続的で経済的損害の大きい攻撃ベクトルの一つである。近年の報告によれば、ソーシャルエンジニアリング、特にフィッシングおよびプリテキスティングは、依然として主要な初期侵入ベクトルの一つである（VERIZON, 2024）。MITRE ATT&CK フレームワークでは、これらの攻撃は戦術 Initial Access に属する技術 T1566 (Phishing) として正式に分類されている（MITRE, 2024）。2025年には、大規模言語モデル（LLMs）によって支援されたキャンペーンの増加も観察されており、高度にパーソナライズされ言語的に自然なコンテンツを生成できるため、攻撃対象領域が拡大している。

形式的観点から、本研究ではフィッシング検出を、入力空間 $X = X_t \times X_g \times X_v$ 上の教師あり分類問題としてモデル化する。ここで $X_t$ はテキスト特徴（URL、電子メール本文、HTML、意味埋め込み）を表し、$X_g$ は異種グラフとしてモデル化された構造的関係（ドメイン、IP、証明書、ASN、時間的関係）を表し、$X_v$ は視覚的特徴（スクリーンショットおよびロゴ）を表す。$f_\theta: X \rightarrow {0,1}$ をパラメータ $\theta$ により定義される関数とし、$1$ は悪意のあるインスタンスを示す。

古典的な目的は、期待リスクを最小化することである：

$$ R(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}}[\ell(f\theta(x), y)], $$

ここで $\mathcal{D}$ は概念ドリフト（concept drift）により非定常である可能性があり、$\ell$ はクロスエントロピー損失である。しかし、攻撃者の適応的性質を考慮すると、本問題は敵対的ロバストリスクの観点から再定式化される：

$$ R_{\text{rob}}(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}} \left[ \max{|\delta|p \leq \epsilon} \ell(f\theta(x+\delta), y) \right]. $$

本研究の主な貢献は、マルチモーダルモデリング、min–max 最適化、およびドリフト監視機構を統合し、$\epsilon$ 制約付き摂動および生成AI支援攻撃シナリオの下でロバスト性に関する経験的保証を提供することである。

2. 理論的基盤および関連研究

2.1 統計的学習理論とロバスト性

統計的学習理論によれば（VAPNIK, 1998）、分類器は $n \rightarrow \infty$ のとき $R(\theta_n) \rightarrow R^$ を満たす場合、一貫性を持つとされる。敵対的環境では、この収束はロバストリスクの観点から分析されなければならない。Madry ら（2018）によって提案された min–max 定式化は、$L_p$ ノルムによって制約された敵対者に対する安全性の実用的概念を確立している。

さらに、概念ドリフトの存在は分布列 ${\mathcal{D}t}{t \geq 0}$ として形式化でき、$\mathcal{D}t \neq \mathcal{D}{t+1}$ が成立する。Kolmogorov–Smirnov 検定や population stability index の監視など、統計的発散に基づく検出器が、有意な変化のシグナル検出に利用される。

2.2 レピュテーションおよび脅威インテリジェンスに基づく手法

Google Safe Browsing（GOOGLE, 2024）、OpenPhish（OPENPHISH, 2024）、PhishTank（PHISHTANK, 2024）などのソリューションは、ブロックリストと協調的脅威インテリジェンスを利用している。これらは事後的には高い精度を示すものの、更新の遅延や zero-day ドメインへの一般化能力の欠如という問題を抱えている。

2.3 マルチモーダル深層学習

BERT（DEVLIN et al., 2019）などの Transformer ベースのモデルおよびそのロバスト派生モデルは、複雑な意味的依存関係を捉えることができる。ResNet（HE et al., 2016）のような深層畳み込みネットワークは、依然として効率的な視覚特徴抽出における最先端手法である。動的グラフでは、GraphSAGE（HAMILTON; YING; LESKOVEC, 2017）およびその異種拡張により、スケーラブルな帰納的学習が可能となる。

近年の研究では、ハイブリッドアーキテクチャおよびマルチモーダル注意機構を用いたフィッシング検出も検討されている（ALJOFI et al., 2022; SAHINGOZ et al., 2019）。しかし、これらの多くは形式的な敵対的訓練を組み込んでいない。

2.4 ロバスト性、生成AI、およびガバナンス

Goodfellow、Shlens、Szegedy（2015）は、ニューラルネットワークが知覚不能な摂動に対して脆弱であることを示した。Madry ら（2018）は PGD を用いたロバスト訓練を形式化した。2025年には、LLM に基づく攻撃によって状況がさらに深刻化しており、極めて自然な言語変種が生成されるため、より高い意味的一般化能力を持つモデルが求められている。

規範的観点では、NIST AI Risk Management Framework（NIST, 2023）および Digital Identity Guidelines の更新（NIST, 2023）が、AI システムに関連する信頼性、ガバナンス、およびリスク軽減の原則を提示している。

3. 脅威モデル

本研究では、多項式時間に制約された攻撃者を想定し、以下の能力を持つと仮定する：

1. 一時的ドメインの登録および fast-flux 技術の利用。
2. 公開または私有の LLM を用いたテキストコンテンツの生成。
3. $|\delta|_p \leq \epsilon$ を満たす摂動 $\delta$ の挿入。
4. 自動化技術によるブランドの視覚的アイデンティティの複製。

$\epsilon$-一様ロバスト性を次のように定義する：

分類器 $f$ が $x$ において $\epsilon$-ロバストであるとは、

$$ \forall \delta, |\delta|_p \leq \epsilon \Rightarrow f(x+\delta)=f(x). $$

さらに、訓練集合の $\alpha$ の割合に制限されたデータポイズニング攻撃も考慮し、経験分布 $\hat{\mathcal{D}}$ への摂動としてモデル化する。

4. 提案手法

PHISHGUARD++ アーキテクチャは、以下の3つの主要モジュールで構成される：

• Transformer ベースのテキストエンコーダ
• 構造的関係のための異種 GNN
• 視覚解析のための深層残差 CNN

結合表現は次式で与えられる：

$$ h = [h_t | h_g | h_v] \in \mathbb{R}^d, $$

ここで $d = d_t + d_g + d_v$ である。確率的出力は次式で与えられる：

$$ \hat{y} = \text{softmax}(W h + b). $$

敵対的訓練では、$k$ 回の反復を用いた PGD を採用する：

for i in range(k):
    x_adv = x_adv + α  sign(∇_x ℓ(fθ(x_adv), y))
    x_adv = Π_{||x_adv - x||_p ≤ ε}(x_adv)

エポックあたりの計算量は次の通りである：

$$ O\left(n \cdot k \cdot (T_{\text{Transf}} + T_{\text{GNN}} + T_{\text{CNN}})\right). $$

経験的には、Transformer モジュールが総計算コストの約 52% を占める。

5. 実装、スケーラビリティ、および運用アーキテクチャ

本システムは PyTorch 2.2 と CUDA 12.x を用いて実装した。インジェストパイプラインでは、分散メッセージングのために Apache Kafka（APACHE KAFKA, 2024）、ストリーム処理のために Apache Flink（APACHE FLINK, 2024）を使用している。グラフは Neo4j 5.x（NEO4J, 2024）に保存される。

表1は性能指標を要約したものである。

指標	値
平均レイテンシ	12.4 ms/サンプル
スループット	80,000 イベント/秒
GPU	8 × NVIDIA A100
総メモリ	640 GB GPU

CNAPP プラットフォームとの統合により、クラウドテレメトリとの相関分析が可能となり、自動対応能力が強化される。

6. 実験評価

データセットには、正当クラスと悪意クラスの間でバランスされた 1,540,000 インスタンスが含まれる。95% 信頼区間は、10,000 回の再標本化による bootstrap 法で推定した。

主な結果：

モデル	F1	FPR
テキストベースライン	0.961	1.84%
ロバスト性なしマルチモーダル	0.982	1.10%
PHISHGUARD++	0.986 ± 0.004	0.92%

$\epsilon=0.01$ の PGD 攻撃下では：

• F1 の低下：3.1%
• FPR は 1.37% に増加

McNemar 検定は、最良のベースラインに対して $p < 0.001$ の統計的有意差を示した。

7. 考察

マルチモーダル統合は、各モダリティ間の情報補完性を活用することで推定量の分散を低減する。敵対的訓練はロバストな正則化として機能し、分類器を決定境界の安定領域へと近づける。

LLM によって生成された攻撃は語彙的多様性が高い一方で、GNN によって検出可能な構造的および関係的パターンを保持していることが観察された。制限としては、高い計算コストと高品質なラベル付きデータへの依存が挙げられる。

8. 結論

本研究では、マルチモーダルモデリングとロバスト最適化を組み合わせることで、生成AIによって強化されたフィッシングの文脈において、性能および敵対的耐性の両面で大幅な向上が得られることを示した。今後の研究課題としては、concept drift 下での継続的適応、メッセージの真正性検証のための耐量子暗号との統合、そして NIST AI RMF などのガバナンスフレームワークとの整合が挙げられる。

References

ALJOFI, A. et al. Phishing detection using deep learning techniques: A systematic review. IEEE Access, v. 10, 2022. Available at: https://ieeexplore.ieee.org/.

APACHE FLINK. Apache Flink Documentation. 2024. Available at: https://flink.apache.org/.

APACHE KAFKA. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/.

DEVLIN, J. et al. BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding. In: NAACL, 2019. Available at: https://aclanthology.org/N19-1423/.

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and Harnessing Adversarial Examples. In: ICLR, 2015. Available at: https://arxiv.org/abs/1412.6572.

GOOGLE. Google Safe Browsing. 2024. Available at: https://safebrowsing.google.com/.

HAMILTON, W.; YING, Z.; LESKOVEC, J. Inductive Representation Learning on Large Graphs. In: NeurIPS, 2017. Available at: https://arxiv.org/abs/1706.02216.

HE, K. et al. Deep Residual Learning for Image Recognition. In: CVPR, 2016. Available at: https://arxiv.org/abs/1512.03385.

MADRY, A. et al. Towards Deep Learning Models Resistant to Adversarial Attacks. In: ICLR, 2018. Available at: https://arxiv.org/abs/1706.06083.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). AI Risk Management Framework (AI RMF 1.0). 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Digital Identity Guidelines – SP 800-63-4 (Draft). 2023. Available at: https://pages.nist.gov/800-63-4/.

NEO4J. Neo4j Graph Platform Documentation. 2024. Available at: https://neo4j.com/docs/.

OPENPHISH. Phishing Intelligence Feed. 2024. Available at: https://openphish.com/.

PHISHTANK. PhishTank Data Archive. 2024. Available at: https://phishtank.org/.

SAHINGOZ, O. K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, v. 117, 2019. Available at: https://doi.org/10.1016/j.eswa.2018.09.029.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.

VAPNIK, V. Statistical Learning Theory. New York: Wiley, 1998.

ZHANG, X. et al. Phishing detection with convolutional neural networks. In: NDSS, 2017. Available at: https://www.ndss-symposium.org/.