病院グループのS社は、患者の検査データで学習した疾患リスクの予測モデルを、外部の研究者がAPI経由で使えるように公開する予定である。ある人物のデータを入力し、返ってくる確信度の高さなどから、その人物が学習データに含まれていたか、つまりS社の病院を受診していたかを推測される攻撃が懸念されている。この攻撃と対策に関する説明として、最も適切なものを1つ選べ。
正解と解説を見る
解説
正解 B
この問題の論点：学習データを推測する攻撃
ポイント
学習データの情報を引き出す攻撃は、正常な出力の観察だけで成り立つため、過学習の抑制や出力の制限、プライバシー保護学習で備えます。
選択肢ごとの解説
- A
不適切
この攻撃が狙うのはモデルの機能ではなく、学習データに関する情報です。また、APIへの問い合わせと出力の観察だけで行えるため、保存したパラメータを暗号化しても防げません。
- B
適切 正解
メンバーシップ推論攻撃と呼ばれ、モデルが学習データに過度に適合しているほど成功しやすくなります。過学習の抑制や出力の制限のほか、差分プライバシーなどのプライバシー保護学習が対策になります。
- C
不適切
Adversarial Examplesは、モデルに誤った出力をさせることが目的です。この攻撃はモデルを誤動作させず、正常な出力から学習データの情報を読み取る点で異なります。
- D
不適切
データ汚染は学習の段階でデータを混入させ、モデルの判断をゆがめる攻撃です。この攻撃は学習データに手を加えず、公開後のモデルへの問い合わせを通じて情報を引き出します。
補足
AI事業者ガイドラインの別添では、このような攻撃を「訓練用データに関する情報漏洩攻撃」と呼び、対策としてプライバシー保護学習やプライバシー保護データ生成を挙げています。医療データのように学習データに含まれること自体が機微な情報になる場合は、特に注意が必要です。
試験での狙われ方
攻撃の目的（誤動作、機能の複製、学習データの漏えい）と仕掛ける段階の違いから、攻撃の名称と対策を対応づけさせる形が考えられます。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目11 安全性とセキュリティ）
- 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添」（2026年3月31日） （別添3 表7 機械学習利用システムの被害と脅威の例、別添4 機械学習特有の各種攻撃への対策（訓練用データに関する情報漏洩攻撃））
- Shokri et al., Membership Inference Attacks against Machine Learning Models (2016)