OpenAIがAIモデルの推論抽出攻撃を報告｜情報漏洩との違いを解説

OpenAIは2026年9月30日、同社モデルの保護された推論情報を取り出そうとする組織的な活動を検知し、阻止したと発表しました。7月初旬から確認された活動で、他のモデルの訓練や改良に出力を無断利用する『敵対的蒸留』に一致すると説明しています。

今回の手口は、モデルとのやり取りを操作して本来は表示されない推論情報を出力させようとするものでした。OpenAIは、暗号化の破壊、データベース侵入、保存された利用者の会話への直接アクセスは確認されていないと明記しています。

【何が起きたのか】OpenAIは、モデルとの対話を通じて保護された推論情報を引き出そうとする組織的な活動を報告しました。通常の質問への回答を得ることではなく、公開を想定していない情報を出力させようとした点が特徴です。報告では、他のモデルの訓練や改良に利用する敵対的な蒸留と一致する活動と説明されています。

【モデル蒸留の基本】蒸留は、あるAIモデルの出力を参考に別のモデルを学習させる手法です。適切な許諾や契約の下で実施される研究・開発もあります。一方、サービスの保護を回避して出力を大量収集したり、非公開の情報を取り出そうとしたりする行為は、正当な利用とは区別して考える必要があります。

【推論情報が狙われる理由】利用者に表示される最終回答と、モデルが内部で扱う推論情報は同じではありません。保護された推論情報を得られれば、問題解決の進め方を推測する手掛かりになる可能性があります。ただし、そのような情報を抽出しようとすることと、モデルの重みや学習データを取得することは別の行為です。

【一般的な情報漏洩との違い】企業のデータベースへ侵入し、顧客の氏名や会話履歴を盗み出す攻撃では、保存されたデータが直接の対象になります。今回の報告は、モデルへの入力を工夫して応答を操作する試みに関するものです。両者は攻撃対象も必要な防御策も異なるため、同じ『情報漏洩』という言葉で一括りにすると誤解が生じます。

【確認されていないアクセス】OpenAIは、今回の活動に関して暗号化の破壊、データベースへの侵入、保存された利用者の会話への直接アクセスは確認されていないと説明しています。この説明は重要ですが、あらゆるセキュリティ上の危険が存在しないことまで保証するものではありません。報告された事実の範囲を守って理解する必要があります。

【プロンプトが攻撃経路になる】従来のサイバー攻撃では、認証情報の窃取やソフトウェアの脆弱性悪用がよく問題になります。AIサービスでは、正規の入力欄から送る指示そのものが攻撃の手段になる場合があります。モデルが入力の意図を誤って解釈し、出力してはいけない情報を返さないようにする対策が必要です。

【組織的な活動の検出】一度の不自然な質問と、長期間にわたり多数の要求を送る活動では検出方法が異なります。個々のリクエストが普通に見えても、複数のやり取りを合わせると共通の目的が見える場合があります。サービス提供者には、利用パターンの監視と、正当な研究・業務利用を妨げないための慎重な判断が求められます。

【防御は一つの仕組みで完結しない】モデルが保護情報を出さないようにする設計に加え、異常な要求の検知、必要に応じた利用制限、調査と改善が考えられます。ただし、検出方法の詳細を過度に公開すると回避される可能性もあります。安全性の説明責任と、防御の実効性を両立することが課題です。

【企業が読むべきセキュリティ報告】AIを業務利用する企業は、攻撃の対象がモデル自体なのか、顧客データなのか、サービスの可用性なのかを確認する必要があります。対象によって社内の対応は変わります。顧客への通知や認証情報の変更が必要かどうかも、報告された影響に基づいて判断すべきです。

【説明可能性との関係】利用者がAIの回答を検証できることは重要ですが、内部のあらゆる推論情報を公開することと同義ではありません。回答の根拠を示す仕組みと、保護すべき内部情報を守る仕組みを両立させる必要があります。透明性の確保と悪用防止は、別々に設計するべき課題です。

【業界間の情報共有】OpenAIは業界団体を通じて情報共有を進めると説明しています。同様の試みが複数のAIサービスで発生する可能性があるため、攻撃の特徴や防御上の知見を共有する意味があります。一方で、具体的な手順を広く公開すると模倣を助ける場合があり、共有する範囲には注意が必要です。

【今後の注目点】AIモデルが高度化するほど、その出力を利用して別のモデルを改良しようとする動機が強まる可能性があります。今後は、通常の利用を妨げずに組織的な抽出活動を検知できるかが重要です。今回の報告は、AIのセキュリティがサーバーやデータベースの保護だけでは完結しないことを示しています。

AIのセキュリティ問題を考える際は、モデルの内部情報の抽出と、利用者データの漏洩を区別する必要があります。OpenAIは業界団体を通じて情報を共有し、防御の強化を進めるとしています。