投稿者 global-ai-media 
Googleの脅威インテリジェンス部門が、同社のGeminiを含む高度なAIモデルに対し、その機能や学習データを複製しようとする攻撃が増加していると警鐘を鳴らしています。自社独自のノウハウを学習させた「特化型AI」の構築が進む日本企業において、モデルそのものが盗用されるリスクは経営課題となりつつあります。本稿では「モデル抽出攻撃」の実態と、実務的な対策のあり方について解説します。
モデル抽出攻撃（Model Extraction Attack）とは何か
Googleの脅威分析チーフアナリストであるJohn Hultquist氏が指摘するように、ハッカーたちの狙いは単なるサービスの悪用だけではなく、AIモデルそのものの「知能」や「構造」を盗み出すことにシフトしつつあります。これを専門用語で「モデル抽出攻撃（Model Extraction Attack）」または「モデルスティーリング」と呼びます。
従来のサイバー攻撃がデータベースへの侵入や情報の持ち出しを主としていたのに対し、この攻撃は正規のユーザーとしてAPIなどを通じて大量のプロンプト（指示）を送信し、返ってくる回答のパターンを分析することで、ターゲットとなったモデルのパラメータや挙動を近似した「クローンモデル」を作成しようとするものです。つまり、サーバー内部に侵入せずとも、外から何度も「味見」をすることで、秘伝のソースのレシピを再現されてしまうようなリスクと言えます。
日本企業が保有する「暗黙知」が流出するリスク
Hultquist氏は、「仮にあなたのLLMが、100年分の独自の取引手法（秘密の思考）に基づいて訓練されていたとしたらどうでしょう」と問いかけています。これは、日本企業にとって極めて重要な示唆を含んでいます。
現在、多くの日本企業が、製造業における熟練工の技術、金融機関の審査ノウハウ、あるいは商社独自の商流データなどをLLMに追加学習（ファインチューニング）させたり、RAG（検索拡張生成）として組み込んだりしています。これらは日本企業の競争力の源泉である「現場の暗黙知」をデジタル化した資産そのものです。
もし、対外向けサービスとして公開したチャットボットに対し、競合他社や悪意ある攻撃者が巧妙なモデル抽出攻撃を仕掛けた場合、バックエンドにある「自社固有のノウハウ」が外部の安価なモデルへと蒸留され、模倣されてしまう可能性があります。これは情報漏洩インシデントであると同時に、知的財産の深刻な盗難にあたります。
技術的防衛と限界：完璧な防御は存在しない
実務的な観点から言えば、APIを公開している以上、モデル抽出攻撃を100%防ぐことは技術的に困難です。しかし、攻撃のコストを高め、実質的に不可能にするための「多層防御」は可能です。
エンジニアリングチームは以下の対策を検討すべきです。
第一に、APIのレートリミット（利用制限）を厳格化することです。通常の利用パターンを逸脱した大量かつ高速なリクエストは、攻撃の予兆である可能性が高いため、これを検知・遮断する仕組みが不可欠です。
第二に、出力情報のフィルタリングです。モデルが回答に対する「確信度（Confidence Score）」などの詳細なメタデータを出力している場合、攻撃者にとってクローンモデル作成の大きなヒントとなります。外部向けサービスでは、必要最小限の情報のみを返す設計が求められます。
日本企業のAI活用への示唆
今回のGoogleの事例から、日本企業の経営層およびAI推進担当者は以下の点を考慮する必要があります。
1. AIモデルを「守るべき資産」として再定義する
学習済みモデルやプロンプトエンジニアリングの成果物は、ソースコードや顧客データと同様、あるいはそれ以上に流出が許されない「知的財産」です。セキュリティポリシーにおいて、AIモデル自体を保護対象として明記し、リスクアセスメントを行う必要があります。
2. 「公開範囲」と「リスク」のバランスを見直す
自社のコアコンピタンス（核心的な競争力）が詰まったAIモデルを、安易にパブリックなチャットボットとして公開していないか再確認が必要です。極めて機密性の高いノウハウを含む場合は、社内限定利用に留めるか、外部公開する機能をあえて制限する（「能ある鷹は爪を隠す」）設計判断も重要になります。
3. 利用規約と法的保護の強化
技術的な防御を突破された場合に備え、サービスの利用規約（ToS）において、出力データの機械学習への利用やモデルの解析行為（リバースエンジニアリング）を明確に禁止する条項を盛り込むべきです。日本の法制度下においても、契約による縛りは一定の抑止力となります。
AI技術の進化は、攻撃手法の進化でもあります。利便性を追求する一方で、自社の「知」を守るためのガードレールが十分に機能しているか、定期的な見直しが求められます。