AIモデルのサプライチェーン攻撃入門 — Hugging Faceから来る脅威

AIモデルの配布経路そのものが攻撃対象になる、という話である。Hugging Faceからモデルを取ってくる一行は、他人のコードを自分のマシンで走らせる行為と変わらない。今回の記事は、RAGポイズニングが「参照データ」を汚す攻撃だったのに対し、「モデル本体」を汚す攻撃を扱っている。

引っかかるのは、この問題の根が新しくないことだ。原因として挙げられているpickleは、Pythonのシリアライズ形式で、読み込み時に任意コードが動く仕様である。つまりAIの世界は、npmやPyPIが十数年かけて味わってきた依存関係の罠に、そのまま新品の顔で足を踏み入れている。記事が「ようこそ」と書いているのは皮肉だが、実態はその通りだろう。見るべきは、安全な形式であるsafetensorsが用意されても、既存モデルの資産とPyTorchの主流性が移行を遅らせている点である。道具が安全になっても、使う人の習慣が変わらなければ危険は残る。ここを「便利さが安全に勝つ」と読むのが、業界の本音に近い。

中小企業の実務に落とすなら、社内でAIモデルを試すときに「誰が作ったか分からないモデルを、そのまま読み込まない」の一点に尽きる。モデルを選ぶときは、ファイル形式がsafetensorsかどうか、配布元が信頼できるかを確認する習慣をつけてほしい。ライブラリも定期的に更新し、既知の脆弱性を放置しないことが同じくらい大事である。