結論から書きます。ディープフェイク検出AIは、攻撃を受けていない状態では96.62〜98.73%の精度で本物と偽物を見分けます。しかし攻撃者が検出器の中身を一切知らないまま画像を細工した場合でも、最大0.443（約44%）がすり抜けました。中小企業がとるべき対応は「検出AIの判定を本人確認や送金承認の最終根拠にしない」ことです。
この記事は、2026年7月16日に公開された論文「ARMOR++: Agentic Orchestration of a Multi-Domain Primitive Set for Transferable Attacks on Deepfake Detectors」（出典：arXiv:2607.15246、2026年7月16日（arXiv:2607.15246v1）、https://arxiv.org/abs/2607.15246v1）を、中小企業の実務目線で読み解いたものです。著者はChristos Korgialas、Gabriel Lee Jun Rong、Dion Jia Xu Ho、Pai Chet Ng、Xiaoxiao Miao、Konstantinos N. Plataniotisの各氏です。
何が測られたのか：ブラックボックス条件で0.443
この研究が扱っているのは「敵対的攻撃（adversarial attack）」と呼ばれるものです。ディープフェイク画像に、人間の目にはほとんど分からない程度の細工を加え、検出AIに「これは本物だ」と誤判定させる手法を指します。
重要なのは条件です。ARMOR++と名付けられたこの攻撃手法は、標的となる検出モデルへの照会を一切行わない「ブラックボックス条件」で評価されています。つまり攻撃者は、相手がどんな検出器を使っているか、その反応がどうかを知らないまま攻撃を仕掛けています。実務で言えば、あなたの会社がどのディープフェイク検出ツールを導入しているかを知らない相手からの攻撃、ということです。
評価データはAADD-2025というデータセットの低画質側713枚のフェイク画像、1枚あたり3シード。加える改変量の上限はε=8/255、入力解像度は224×224です。この摂動予算は、人間の目には気づきにくいとされる標準的な設定です。
| 手法 | ViT-B/16へのASR | Swin-BへのASR |
|---|---|---|
| ARMOR++ | 0.443（95%信頼区間 0.407-0.480） | 0.408（0.373-0.444） |
| AutoAttack-PGD | 0.196 | 0.183 |
| TI-FGSM | 0.151 | 0.138 |
※ASR＝攻撃成功率。条件はいずれもAADD-2025低画質713枚、1枚あたり3シード、標的モデルへの照会なしのブラックボックス条件。
従来手法であるAutoAttack-PGDの0.196に対し、ARMOR++は0.443。約2.2倍です。既存手法との差はMcNemar検定にHolm-Bonferroni補正を加えた上でp<10のマイナス10乗（ARMORとの比較のみp≒1.9×10^-3）という水準で、統計的なばらつきでは説明がつきません。
通常時の精度と、攻撃下の精度は別物である
同じ論文の中で、攻撃を受けていない通常状態での検出精度も測られています。ResNet-50、DenseNet-121、EfficientNet-B4、ViT-B/16、Swin-Bの5モデルを、AADD-2025の低画質・高画質の両方で評価した結果は96.62〜98.73%。
ここが実務にとって一番重要な点です。ベンダーが「精度98%」と説明するとき、それはほぼ確実にこの「攻撃を受けていないクリーンなデータでの数字」です。悪意を持った相手が細工した素材に対する耐性を示す数字ではありません。同じモデルが、条件が変わるだけで4割すり抜けられる。この落差を理解しないままツールを最終判断に据えるのが、一番危険な使い方です。
- 通常時の精度：96.62〜98.73%（5モデル、AADD-2025低画質・高画質）
- ブラックボックス攻撃下ですり抜けられる割合：最大0.443（ViT-B/16、AADD-2025低画質713枚）
- 高画質データでは：0.321（ViT-B/16）／0.287（Swin-B）（AADD-2025高画質693枚）
評価指標の見方についてはAI導入の評価基準を自社で決めるでも触れていますが、「どの条件で測った数字か」を確認せずに精度を比較すると、判断を誤ります。
高画質のほうが攻撃されにくい、という実務的な発見
上の数字で見落としてはいけないのが、低画質と高画質の差です。低画質のAADD-2025（713枚）で0.443だった攻撃成功率は、高画質のAADD-2025（693枚）では0.321に下がります。Swin-Bでも0.408から0.287へ低下します。
これは実務にそのまま翻訳できます。SNSやメッセージアプリで何度も転送されて圧縮された低画質の画像・映像ほど、検出AIを騙しやすい。逆に、高画質の原本があるならそちらで確認したほうが検出は効きやすい、ということです。
- 本人確認や証跡確認は、転送・圧縮を経た素材ではなく、可能な限り原本の高品質データで行う
- 「送られてきた画像しかない」状況は、それ自体がリスク要因として扱う
- 画質が低い素材しかない場合、検出AIの判定はさらに信用度を割り引く
ただし高画質でも0.321、つまり3割はすり抜けています。高画質なら安全という話ではありません。
研究自身が認めている限界
誠実に書きます。この論文は自らの限界を複数明示しており、それを踏まえないと過大に受け取ることになります。
- 実験に使われた全モデルが公開のImageNet事前学習重みから初期化されており、攻撃側の代理モデルと標的モデルの間に暗黙の情報経路が存在しうる。つまり実環境より攻撃側が有利になっている可能性を、著者自身が認めています
- 評価された標的はViT-B/16とSwin-Bという2つのTransformerのみで、全ての視覚モデルへの一般化は主張していません
- ハイパーパラメータの調整をAADD-LQ（低画質）で行っており、他データへの汎化に影響しうる
- VLM・LLMの推論コストがフォワードパス数の集計に十分反映されておらず、実際の攻撃コストは報告より高い
- 代理モデルのアンサンブルがCNN3種のみで、根本的に異なるアーキテクチャには当てはまらない可能性がある
- 攻撃成功率は最大でも約44%であり、過半数は依然として検出されている。検出器が無力化されたわけではない
- 攻撃後画像の元画像との見た目の類似度はSSIM 0.691±0.169（AADD低画質）。TI-FGSMの0.904より低く、ARMOR++は画質劣化という代償を払っている
最後の点は特に実務的です。SSIMが0.691まで下がるということは、攻撃された画像は既存手法よりも見た目が荒れている。人間が注意深く見れば違和感に気づける可能性が残っている、とも読めます。つまり「AIが見抜けなくても人間が見れば分かる」ケースが一定数ある、ということです。
中小企業にとって、何をどう変えるのか
この研究が中小企業に突きつけている論点は一つです。ディープフェイク検出ツールを最終判断に使ってはいけない。
社長や取引先の顔・声を騙る送金指示、オンラインでの本人確認。こうした場面で「AIが本物と判定したからOK」という運用を敷いている、あるいはこれから敷こうとしているなら、設計を見直す必要があります。3〜4割すり抜ける可能性のある判定を、単独の承認根拠にはできません。
具体的な対応は3つです。
| 対応 | 内容 | この研究のどの数字が根拠か |
|---|---|---|
| 別経路の人手確認を必ず併用 | 送金承認・本人確認は、既知の電話番号へのコールバック等、AI判定とは独立した経路を通す | ブラックボックス条件で最大0.443がすり抜け |
| ベンダーの精度説明を読み替える | 提示される精度はクリーンデータの数字。攻撃耐性を示すものではないと理解した上で比較する | 通常時96.62〜98.73%との落差 |
| 確認は高品質な原本で | 圧縮された低画質映像でなく、可能な限り原本で確認する | 高画質0.321 vs 低画質0.443 |
社内ルールの整備という観点では、中小企業のAI最初の一歩で書いた「人が最終判断する箇所を先に決める」という原則がそのまま当てはまります。技術で防ぎきれない部分は、手順で守るしかありません。
TOEの読み筋
まず明記します。TOEではディープフェイク検出ツールの導入も、この種の攻撃耐性の検証も未実施です。以下は論文を読んだ上での読みであり、TOEの実測ではありません。
読み筋は3つあります。
第一に、この論文の本当の価値は「44%すり抜けた」ではなく「クリーンデータの精度と攻撃下の精度は別の指標である」という点を数字で示したことにあると読んでいます。96.62〜98.73%と0.443という2つの数字が同じ論文の中に並んでいる。これを見せられると、ベンダーの精度説明をそのまま受け取れなくなります。この読み替えの習慣自体が、ディープフェイクに限らずAIツール選定全般に効きます。
第二に、この研究は静止画の検出器を対象にしたものであり、ビデオ通話や音声といった実務で本当に問題になるシナリオそのものを検証したわけではありません。ここは正直に書いておく必要があります。ビデオ通話での本人確認が同じように破られるかどうかは、この論文からは分かりません。ただ「静止画ですら4割すり抜ける」という事実は、より条件の悪い実務シナリオへの警戒理由としては十分だと考えています。
第三に、防御側の投資対効果です。攻撃成功率0.443は逆に言えば0.557は検出できているということで、検出ツールが無意味という話ではありません。ただし「補助的なフラグ」としての価値と、「最終判断」としての価値はまったく別です。中小企業が限られた予算を使うなら、検出ツールへの投資より先に、コールバック手順や二重承認といった運用ルールの整備のほうが確実にリターンが出る、というのが現時点の読みです。
まとめ
- ディープフェイク検出AIは通常時96.62〜98.73%（5モデル、AADD-2025低画質・高画質）の精度だが、標的モデルへの照会なしのブラックボックス攻撃では最大0.443（95%信頼区間0.407-0.480、AADD-2025低画質713枚）がすり抜けた
- 従来手法AutoAttack-PGDの0.196に対して約2.2倍であり、差はMcNemar検定＋Holm-Bonferroni補正でp<10のマイナス10乗の水準
- 高画質データでは0.321（ViT-B/16、AADD-2025高画質693枚）に下がる。確認は圧縮された低画質素材でなく高品質な原本で行うべき
- 論文は限界も明示している。全モデルがImageNet事前学習重みから初期化され攻撃側が有利な可能性、標的がTransformer2種のみ、攻撃後のSSIMが0.691±0.169と既存手法0.904より低く画質劣化の代償を払っている点など
- 中小企業の結論は一つ。検出AIの判定を送金承認・本人確認の最終根拠にせず、別経路のコールバック等を必ず併用する。TOEでは検出ツールの導入・検証とも未実施であり、上記は論文に基づく読みである