Adversarial Examplesを作る攻撃は、攻撃者がモデルの構造やパラメータを知っているホワイトボックス攻撃と、それらを知らずに入出力だけを観察できるブラックボックス攻撃に分けられる。これらに関する説明として、最も不適切なものを1つ選べ。
正解と解説を見る
解説
正解 C
この問題の論点：ブラックボックス型の敵対的攻撃
ポイント
モデルの中身を隠しても、出力を観察できれば敵対的サンプルは作れるため、問い合わせの制限や頑健性の向上と組み合わせて備えます。
選択肢ごとの解説
- A
適切
代表例のFGSMは、損失を入力で微分した勾配の符号の方向へ、各画素を同じ小さな幅だけ動かします。勾配がわかれば、誤分類を起こしやすい方向を効率よく求められます。
- B
適切
あるモデル向けに作った敵対的サンプルが、別のモデルも誤らせることがある性質（転移性）を利用する方法です。標的の内部を知らなくても、手元の代わりのモデルの勾配を使って攻撃できます。
- C
不適切 正解
内部を非公開にしても、出力を観察できれば、代わりのモデルと転移性を使って攻撃できることが示されています。非公開にすることは攻撃を難しくする一因にすぎず、それだけでは防げません。
- D
適切
ブラックボックス攻撃は、多数の問い合わせで入出力の組を集めることが前提です。AI事業者ガイドラインの別添も、回避攻撃への対策として、アクセス回数や頻度の制限を挙げています。
試験での狙われ方
攻撃者がモデルの内部を知っている場合と知らない場合で、攻撃が成り立つかどうかや、有効な対策の違いを問う形が考えられます。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目11 安全性とセキュリティ）
- 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添」（2026年3月31日） （別添4 P-5）ⅱ. 脆弱性への対応（機械学習特有の各種攻撃への対策：回避攻撃））
- Goodfellow, Shlens, Szegedy, Explaining and Harnessing Adversarial Examples (2014)
- Papernot et al., Practical Black-Box Attacks against Machine Learning (2016)