対象試験と出題頻度
敵対的サンプル（Adversarial Examples）は、情報セキュリティマネジメント試験・ITパスポート・基本情報技術者試験・応用情報技術者試験で出題される可能性がある用語です。
頻出度はランクC（余裕があれば覚える）ですが、AIセキュリティの出題が近年増えているため、しっかり押さえておきたいところです。
詳細をクリックして確認
情報セキュリティマネジメント
ITパスポート
基本情報技術者
応用情報技術者
★★☆☆☆
ランクC（余裕があれば覚える）
用語の定義
敵対的サンプル（Adversarial Examples）とは、一言で言うと「AIの画像認識などに対して、人間には見えない微細なノイズを加えることで、意図的に誤判定を引き起こさせる攻撃手法、またはその加工データ」のことです。
情報処理試験を勉強していると、「AIへの攻撃って、一体どうやるの？」と疑問に思う方も多いのではないでしょうか。敵対的サンプルは、その代表的な手口の一つです。
イメージとしては、「パンダの写真に、人間には見えないほど微細なノイズを加えるだけで、AIが『テナガエビだ』と誤認識してしまう」ようなものです。
人間の目には完全にパンダにしか見えないのに、AIだけが騙される。これが敵対的サンプルの恐ろしさです。
📊 敵対的サンプルによる誤認識の仕組み
| 項目 | 内容 |
|---|---|
| 元の画像 | パンダの写真（AIは正しく「パンダ」と認識） |
| 追加するもの | 人間には見えない微細なノイズ（摂動） |
| 結果（人間） | 「パンダにしか見えない」（違いに気づかない） |
| 結果（AI） | 「テナガエビだ！」と誤認識（99%以上の確信度で） |
解説
敵対的サンプル（Adversarial Examples）は、機械学習、特にディープラーニング（深層学習）を用いたAIシステムの弱点を突く攻撃手法です。2014年頃から研究が盛んになり、2015年にGoogleの研究者が発表した「パンダをテナガザルと誤認識させる」実験で広く知られるようになりました。
この攻撃が成立する理由は、AIと人間の「見方」の違いにあります。人間は画像を「パンダっぽい特徴があるからパンダ」と大まかに判断しますが、AIはピクセル単位の数値を計算して分類します。そのため、人間には無意味に見える微小な数値変化でも、AIにとっては「まったく別の分類」に見えてしまうのです。
敵対的サンプルの種類
敵対的サンプルを使った攻撃は、目的と前提条件によっていくつかの種類に分けられます。試験では「こういう分類がある」程度に押さえておけば十分です。
- 標的型攻撃（Targeted Attack）：「パンダをテナガザルと認識させる」など、特定のクラス（分類先）に誤認識させる攻撃。攻撃者が意図した結果を狙い撃ちにします。
- 非標的型攻撃（Untargeted Attack）：「パンダをパンダ以外の何かに認識させる」攻撃。誤認識先は何でもよく、とにかく正しい認識を妨害することが目的です。
- ホワイトボックス攻撃：攻撃者がAIモデルの内部構造を知っている状態で行う攻撃。モデルの勾配情報を使って効率的にノイズを生成できます。
- ブラックボックス攻撃：AIモデルの内部構造を知らなくても、入出力の結果だけを観察して敵対的サンプルを生成する攻撃。実際の攻撃シナリオではこちらが多いです。
💡 敵対的サンプルがなぜ危険なのか？
敵対的サンプルの脅威は、「人間には正常に見えるのに、AIだけが騙される」点にあります。
例えば、自動運転車のカメラに「一時停止」の標識を「速度制限60km/h」と誤認識させたらどうなるでしょうか。顔認証システムを騙して他人になりすますことも研究で実証されています。
人間によるチェックをすり抜けてAIだけを攻撃できるため、AIが社会インフラに浸透するほど、この攻撃の影響範囲は広がっていきます。
敵対的サンプルは当初、画像認識AIに対する攻撃として研究されてきましたが、現在では音声認識や自然言語処理（テキスト）に対する敵対的サンプルも確認されています。
例えば、音声に人間には聞こえないノイズを加えることで、スマートスピーカーに意図しない命令を実行させる攻撃が報告されています。また、テキストの一部の文字を視覚的に似た別の文字に置き換えることで、スパムフィルターをすり抜けるといった応用例もあります。
主な対策
敵対的サンプルへの対策は、研究段階のものが多いですが、代表的なものを紹介します。
- 敵対的学習（Adversarial Training）：あえて敵対的サンプルを学習データに含めてAIを訓練する方法。AIに「こういう攻撃がある」と事前に教え込むことで、耐性をつけます。現時点で最も効果的な対策とされています。
- 入力データの前処理：入力画像を圧縮したり、ぼかしたりして、微細なノイズを除去する方法。ただし、正常なデータの認識精度も下がる可能性があります。
- 防御的蒸留（Defensive Distillation）：AIモデルの出力を「なだらか」にして、敵対的サンプルの効果を弱める手法。ただし、完全な対策にはなりません。
- 入力検証：入力データが敵対的サンプルかどうかを検出する仕組みを追加する方法。ただし、検出を回避する新たな攻撃手法も開発されており、いたちごっこの状態です。
⚠️ 試験ではここまででOK
「敵対的サンプルって、対策が難しそう…」と感じた方も多いと思います。
実際、この分野は研究が進行中で、完璧な防御策はまだ確立されていません。試験対策としては、「敵対的サンプル＝人間には見えないノイズでAIを騙す攻撃」という基本定義と、「標的型／非標的型」「ホワイトボックス／ブラックボックス」という分類を押さえておけば十分です。
細かい対策手法の名称までは出題されにくいので、余裕があれば「敵対的学習」という対策名を覚えておく程度で問題ありません。
試験ではこう出る！
敵対的サンプルは、情報処理安全確保支援士試験で実際に出題されたことがある用語です（令和3年秋期、令和6年秋期）。ITパスポートや基本情報でも、AIセキュリティの出題傾向が強まっているため、今後出題される可能性があります。
【重要キーワード】
- 人間には知覚できないノイズ（摂動）を加える
- AIの画像認識を誤らせる攻撃
- 標的型攻撃 / 非標的型攻撃
- ホワイトボックス攻撃 / ブラックボックス攻撃
- 敵対的学習（対策手法）
試験問題で「人間には知覚できないノイズを加えてAIの判定結果を誤らせる攻撃」や
「画像に微小な変化を含めることでAIアルゴリズムの特性を悪用し、誤認識を引き起こす」といった記述があれば、それは「敵対的サンプル（Adversarial Examples）」に関する記述です。
📊 AIセキュリティ関連の攻撃手法（試験で混同しやすい用語）
| 攻撃手法 | 概要 |
|---|---|
| 敵対的サンプル （Adversarial Examples） |
入力データにノイズを加えてAIの判定を誤らせる |
| モデル反転攻撃 （Model Inversion Attack） |
AIモデルから学習に使われたデータを復元する攻撃 |
| データポイズニング （Data Poisoning） |
AIの学習データに不正データを混入させ、モデル自体を汚染する |
| メンバーシップ推論攻撃 | 特定データがAIの学習に使われたかを推測する攻撃 |
📝 IPA試験での出題ポイント
「敵対的サンプル」は用語の定義を問う選択肢問題で出題されます。「モデル反転攻撃」や「データポイズニング」など、他のAIセキュリティ用語との違いを明確に区別できるようにしておきましょう。
敵対的サンプルは「入力時にノイズを加えて誤判定させる」、モデル反転攻撃は「学習データを復元する」、データポイズニングは「学習データ自体を汚染する」という点が区別のポイントです。
【確認テスト】理解度チェック
ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。
Q. 敵対的サンプル（Adversarial Examples）攻撃に関する説明として、最も適切なものはどれでしょうか？
- A. AIによる画像認識において、人間には知覚できない微細なノイズを画像に加えることで、AIの判定結果を意図的に誤らせる攻撃
- B. AIモデルの入出力を分析して、学習に使用された訓練データの内容を復元・推測する攻撃
- C. AIの学習段階で訓練データに不正なデータを混入させ、モデルの判断基準そのものを歪める攻撃
正解と解説を見る
正解：A
解説：
敵対的サンプル（Adversarial Examples）攻撃は、AIの画像認識などに対して、人間の目には見えないほど微細なノイズ（摂動）を入力データに加えることで、AIに誤った判定をさせる攻撃手法です。例えば、パンダの画像に微小なノイズを加えるだけで、人間にはパンダにしか見えないのに、AIはテナガザルと誤認識してしまいます。
選択肢Bは「モデル反転攻撃（Model Inversion Attack）」の説明です。これは学習済みのAIモデルから、学習に使われたデータを逆算して復元しようとする攻撃です。選択肢Cは「データポイズニング（Data Poisoning）」の説明で、AIの学習データそのものを汚染する攻撃です。敵対的サンプルは「AIの利用時（推論時）」に、データポイズニングは「AIの学習時」に行われる攻撃という違いがあります。
