このブログのポイント：
- ロボットのAIモデル汚染攻撃では、攻撃者が特定の物理的なトリガーのもとでのみ起動する隠れた動作をモデルの重みに埋め込むことができます。
- GoBAの研究では、VLAモデルのバックドアが最大97%の攻撃成功率を達成しながらロボットの通常性能を維持することが確認されており、標準的なテストによる検知はほぼ不可能です。
- AIを搭載したロボットを導入している組織の多くは、ネットワークやエンドポイントのセキュリティは検証しているものの、ロボットが実行するAIモデルの重みの完全性は確認していないのが現状です。
2026年3月、脅威グループTeamPCPはソフトウェア開発向けのTrivy、Checkmarx KICS、LiteLLM、Telnyx Python SDKといったライブラリやツールを短期間で次々と侵害し、各段階で認証情報を収集しました。攻撃が発覚したのは偶然で、マルウェアの不具合による予期せぬクラッシュがきっかけでした。その不具合がなければ、侵害されたライブラリはPyPI（Pythonのパッケージ管理プラットフォーム）が削除措置を取るまでの約3時間よりもはるかに長く、気づかれないまま残っていた可能性があります。
こうした攻撃はソフトウェアリスクとして捉えられることが多いですが、同じ発想はITシステムの外にも広がりえます。標的がロボットになれば、認証情報を盗むマルウェアではなく、信頼されたファームウェア更新を経路として配布されるバックドア入りのAIモデルが攻撃の実体となります。被害はデータ流出にとどまらず、機械の物理的な動作にも及びます。
サプライチェーンを経路とするAIモデル汚染の仕組み
ロボットのAIモデル汚染攻撃とは、攻撃者が学習済みモデルの重み（ウェイト）を操作し、特定の物理的なトリガーのもとでのみ起動する隠れた動作を埋め込む攻撃です。通常のマルウェアとは異なり、不審なコードが生成されることも、不審なネットワーク通信が発生することも、セキュリティツールによる検知アラートが上がることもありません。汚染されたAIモデルは評価段階では正常に動作し、現実環境でトリガーが発生するまで問題は表面化しません。
VicOne LAB R7は、こうした汚染モデルをサプライチェーン経由で配布することを可能にするファームウェア更新の弱点を確認しています。ソフトウェアのサプライチェーン攻撃で繰り返し観察されてきた3段階のパターンは、ロボットにもそのまま当てはまります。
- パイプライン内の信頼拠点の侵害 対象には、学習環境、ファームウェアのビルドシステム、モデルの配布・パッケージング工程、署名インフラなどが含まれます。
- 継承された信頼の悪用 攻撃者が特権アクセスを獲得すると、下流のシステムが信頼するよう設計された実行ファイルや更新ファイルに改ざんを加えることができます。
- 正規チャネルを通じた攻撃の実体の配布 ロボットの世界では、汚染済みのAIモデルがファームウェア、ミドルウェア、または承認済みの更新パッケージに紛れ込む形で配布されます。
汚染されたAIモデルが検知をすり抜ける仕組み
ソフトウェアのサプライチェーン攻撃は通常、データや認証情報の窃取を目的としますが、同じ手口がロボットに転用されると攻撃の性質が変わります。たとえば自律移動ロボット（AMR）に汚染済みAIモデルが仕込まれた場合、データが流出するのではなく、機械の移動経路、回避する障害物、無視する対象に影響が現れます。
- GoBA（2025年10月）は、コーヒーマグ、カラーマーカー、倉庫で日常的に使われる備品といったごく一般的な物体が、VLAモデルのバックドアのトリガーとして機能しうることを実証しました。ロボットの通常の性能を維持したまま、最大97%の攻撃成功率を達成しています。
- BadVLA（2025年5月）は、モデルの重みに埋め込まれたこうしたバックドアがファインチューニング後も残存することを確認しました。バックドアはコードではなくモデルの重みに存在するため、再学習によって取り除くことは困難です。
CVE-2026-1442は、こうした汚染モデルの配布経路を完結させる脆弱性です。ロボットのファームウェアパッケージ保護に使われる暗号化鍵が外部からアクセス可能な状態にあるため、攻撃者はバックドア入りのAIモデルを含むファームウェアイメージを細工して整合性チェックを通過させ、メーカーのOTA（無線通信によるソフトウェア更新）チャネルを通じて気づかれることなく配布することができます。
実際の攻撃シナリオ
実際の攻撃がどう展開するか、3交代制でAMR50台の車両群を管理する物流事業者を例に、具体的なシナリオで見てみましょう。その物流業者のロボットは経路計画と障害物回避にVLAモデルを使用しており、ファームウェアはメーカーのOTAチャネルを通じて毎月更新されています。
攻撃者はTeamPCPによるTrivy悪用と同じ手口でファームウェアの署名インフラを侵害し、倉庫環境でよく使われる黄色の床マーカーをトリガーとするGoBAスタイルのバックドアをAIモデルに埋め込みます。
通常の運用環境では、ロボットは問題なく動作し、テストも正常に通過します。
ところがある夜勤中、1台のAMRが通路内の黄色いマーカーに差し掛かります。その瞬間バックドアが起動して経路計画が静かに書き換えられ、モデルは3メートル範囲内の障害物検知境界を無視した経路を出力します。同じ通路を横断していたフォークリフトのオペレーターへの警告は発信されず、モデルが経路を安全と判断しているためAMRの衝突回避機能も動きません。
アラートは発生せず、データの流出もありません。変化したのはモデル内部の重みの値だけであり、それは通常のOTモニタリングの検査範囲の外にあります。
OTモニタリングの死角に潜むAIモデル汚染
汚染されたAIモデルはロボットの通常の処理経路に沿って動作するため、発生するネットワークトラフィック、APIコール、ログはすべて正常に見えます。侵害はモデルの意思決定を担う重みに潜んでおり、通常のOTモニタリングツールはその部分を検査しません。
このギャップがどこに生じるかを理解するには、ロボットの攻撃対象領域（アタックサーフェス）全体を把握する必要があります。「LAB R7」は、サプライチェーン侵害が侵入しうる3つの層を分析しています。
- 学習パイプライン BadVLAおよびGoBAが実証したように、モデルの学習中にバックドアが埋め込まれます。このバックドアは評価やファインチューニングを経ても残存します。
- システムインフラ CVE-2026-1442やUniPwnで確認されているように、ファームウェア更新チャネル、ミドルウェア、無線プロトコルを悪用して汚染モデルを配布します。
- 実行時の認識処理 敵対的なトリガーが埋め込まれたバックドアを起動し、意思決定の瞬間に攻撃者が意図した動作を引き起こします。
これら3つの層はいずれも侵害の入口になりえますが、実際のセキュリティ評価が対象としているのは主にシステムインフラ層です。ネットワーク分離、エンドポイント保護、アクセス制御といった管理策はカバーされている一方で、学習パイプラインとAIモデル層はほとんど手つかずのまま残されています。規制の面でも同様で、EUサイバーレジリエンス法（EU CRA）はデジタル要素を含む製品にサイバーセキュリティ要件を義務付けており、EU AI法は多くのロボットを高リスクAIシステムに分類していますが、現時点ではいずれもAIモデルの重みの検証を明示的なコンプライアンス要件として定めていません。
侵害の経路がネットワークの脆弱性であれ汚染されたモデルであれ、事業への影響と法的責任は変わりません。モデルの完全性もネットワークの完全性と同等のセキュリティ要件として扱われるべきであり、それが実現しない限り、ロボットAIのサプライチェーンにおける攻撃対象領域は開いたままです。
AIモデル汚染への対策
AIモデル汚染の侵入から起動まで、ロボットの攻撃対象領域における各リスクポイントへの対策を紹介します。
- モデルの出所確認 学習から展開までの工程を暗号技術に基づく管理の連鎖として記録・追跡し、OTA更新の適用前にはモデルの重みを正常と確認済みのハッシュ値と照合して検証します。CVE-2026-1442が示すとおり署名インフラ自体が侵害される可能性があるため、ファームウェアの署名のみに頼らず、モデル単位での検証体制を整えます。対象：ロボットメーカー、OTセキュリティチーム
- AIの意思決定出力の監視 監視の対象をネットワークトラフィックに限定せず、ロボットのAI出力に動作のベースラインを設定して逸脱を継続的に監視します。ネットワークログが正常であっても、障害物回避の境界が突然0.5メートル変化したモデルはアラートの対象として扱います。対象：ロボットオペレーター、ロボティクスエンジニア
- ファームウェア更新サプライチェーンの監査 ビルドサーバー、署名インフラ、OTA配布チャネル、モデル検証手順を含むすべてのコンポーネントをマッピングし、攻撃者の視点でテストします。あわせて、利用可能な鍵素材を使って改ざんされたファームウェアイメージが整合性チェックを通過できるかも確認します。対象：ロボットメーカー、OTセキュリティチーム
- EU CRA・AI ActへのAIモデル完全性の組み込み EU CRAおよびAI Actのコンプライアンス評価を行う際は、AIモデルの完全性検証を評価項目に加えます。現行の規制ではモデルの重みの検証は義務付けられていませんが、汚染されたモデルが人的被害につながった場合、この検査が実施されていなかったことは法的責任を問われるリスクを高めます。対象：CISO、ロボットメーカー
- 展開前の敵対的検証 GoBAスタイルのバックドアは標準的な性能テストでは検知できず、目標を絞った敵対的な調査でのみ発見されます。そのため運用中の車両群に更新が適用される前に、一般的な物体、色のパターン、視覚的なマーカーをシミュレーション環境で用いてAIモデルを評価します。対象：ロボティクスエンジニア、OTセキュリティチーム
まとめ
ロボットがAIによる意思決定への依存を深めるにつれ、攻撃対象領域はソフトウェアやネットワークを超え、モデルそのものへと広がっています。
サプライチェーン攻撃がロボットシステムに到達するかどうかは、もはや問題ではありません。攻撃が発生したとき、組織が速やかに検知・対応できる体制を今から整えておくことが求められています。
自律型ロボットのサイバーセキュリティリスクと防御戦略を体系的にまとめた「LAB R7」のホワイトペーパー「AIロボットのサイバーセキュリティリスクとその対策」は、こちらからダウンロードいただけます。
