羽田空港をはじめとする開かれた環境でヒューマノイドロボットの導入が始まっています。フィジカルAIの安全性を確保するうえで、シミュレーション段階で攻撃を想定した検証を行うことの重要性を解説します。
駐機場やエプロンなどのように、判断を一つ誤れば人や機体に実害が及びかねない開放的な空港現場の環境へヒューマノイドロボットは活動の場を広げ始めています。従来のIT・OTセキュリティの考え方は、通信やソフトウェアの守りには有効でも、AIモデルの判断そのものに潜むリスクまでは対象にしていません。フィジカルAIでは、学習した行動が実機に移される前、つまりシミュレーションの段階でこそセキュリティを固めておく必要があります。
2026年4月28日、日本航空は羽田空港で公開実証を行いました。稼働中の駐機場で、実際の航空機のすぐそばに立ったヒューマノイドロボットが人間のスタッフと連携しながらコンベアに貨物を積み込む様子を披露したもので、フィジカルAIの実用化が新たな段階に入ったことを示しています。2026年5月からは、年間6,000万人以上が利用するアジア屈指のこの拠点で複数年にわたる試験運用の一環として、ロボットが手荷物・貨物の取り扱いを担う予定です。
ロボットの知覚・判断能力は、Nvidia Isaac Sim内でのシミュレーションを通じて鍛えられ、その成果がUnitreeのSim2Realパイプラインを介して実機へ引き継がれる方式によって、開発の反復を速く回しながら大規模な学習を進められます。
モデルレベルのリスクは、開発工程のどこで評価されているのでしょうか。そして、その評価はリスクが実装に持ち込まれる前に食い止められるだけ十分に早い段階で行われているのでしょうか。
開放的な環境で動くフィジカルAIは、従来のITやOTのシステムとはリスクの性質そのものが異なり、対策に着手すべき段階も多くの既存セキュリティフレームワークが想定するより早い時点にあります。フィジカルAIの導入によって自社がどのような新たなリスクを抱えることになるかを見極めようとしているOEMやTier-1サプライヤーのセキュリティ責任者にとって、羽田空港の事例は自社の備えを考えるうえでの参考となるでしょう。
開放的な環境が変えるフィジカルAIのリスクの前提
固定式の安全柵や決まったレイアウトを備えた工場のように、管理された産業環境で稼働するフィジカルAIは想定すべき入力の範囲も比較的限られています。ところが開放的な環境では、この前提が大きく崩れます。
空港の作業現場では、人と機械が同じ場所で入り交じって動いています。航空機は絶えず動き、地上支援の車両も決まった運行パターンで動くとは限りません。係員もロボットとの間を柵や区画で仕切られないまま、すぐそばで作業しています。安全に関わる最終判断は人間が担うとしても、ロボット自身はどこへ動くか、周囲の物体をどう捉えるか、近くの作業員にどう反応するかをその場その場で絶えず判断し続けています。
こうした判断を支えているのが、シミュレーションを繰り返して学習させた視覚言語モデル（VLM）です。セキュリティを見極めるには、想定どおりの条件でどう動くかを確かめるだけでは足りません。通常の機能テストでは表に出てこない想定の範囲を超えた状況や不具合のパターンまで含めて、学習時の前提から外れた入力にVLMがどう反応するかを確かめる必要があります。
開放的な環境では、ロボットが何かを見誤ったとき、それは認識の中だけで収まる話ではありません。ロボットは自分が捉えたとおりに動くので、認識のズレはそのまま実際の動きに現れます。しかも人や高価値な設備のすぐそばで作業している以上、そのズレが招く被害も大きくなります。通信やソフトウェア設定を点検する従来のIT・OTセキュリティはロボットの認識・判断の中身までは見ておらず、開放的な環境に特有のこうしたリスクを元々捉えられる作りになっていません。
セキュリティ監査が見落とす3つのリスク層
フィジカルAIのセキュリティは、ファームウェアのバージョンやネットワーク設定を確認するだけでは全体を捉えきれません。評価の切り口が異なる3つの層があり、そのいずれも通常のITセキュリティ監査ではカバーされないためです。
知覚層：視覚言語モデルへの敵対的入力
フィジカルAIは、視覚・空間・言語の情報をVLMで処理し、それをもとに動作を決めています。このVLMに対する敵対的入力は、すでに知られたリスクの一つです。巧妙に設計された視覚パターンをロボットの視界に入れると、物体の分類のしかたや空間的な位置関係の捉え方を狂わせることができます。
現場ではこうした入力によって、障害物や機材、近くにいる作業員へのロボットの反応が変わってしまう恐れがあります。しかもその際、通常の検知ツールが異常として捉えるようなネットワークの乱れやシステム上の警告は一切出ません。
シミュレーションパイプライン：Real2Sim・Sim2Sim・Sim2Realの各段階
フィジカルAIの開発では、まずモーションキャプチャやセンサーデータ、記録した環境情報を使って現実の環境をデジタルツインとして再現します（Real2Sim）。この環境ができあがると、学習した動作や知覚モデルをさまざまな条件のシミュレーション上で検証し（Sim2Sim）、そのうえで実機へと移していきます（Sim2Real）。
この流れによって大規模な学習を効率よく進められますが、その一方で、シミュレーションの段階で検証されないまま残った前提や不具合のパターンはそのまま実機に引き継がれてしまいます。Sim2Realが移すのは、あくまで学習した動作です。その動作が想定どおりのものか、想定外のものかをこの仕組みが自動で見分けてくれるわけではありません。
センサー入力チェーン
フィジカルAIはLiDARやカメラ、深度センサーからの情報をもとに、周囲の空間を把握しています。研究ではこのセンサーデータを操作して、システムが距離や障害物、動きをどう捉えるかを狂わせられることが実際に示されています。たとえばLiDARスプーフィングの研究では、信号や反射面を巧妙に送り込むことで空間把握に使う点群データを書き換え、環境を誤って解釈させられることが確かめられています。
動きの多い開放的な環境では、センサーの解釈にわずかなずれが生じただけでも周囲の作業員がすぐには気づけない形でロボットの動作に影響が及ぶことがあります。
人による監視でカバーできること・できないこと
人による監視は、ロボットを安全に運用するうえで欠かせない要素です。運用のルールを定め、その場の状況を把握し、目に見える問題が起きたときに介入する役割を担います。
ただし人による監視が働くのは、あくまで目に見える動作のレベルです。ロボットが普段どおりの動作の範囲内で受けている敵対的入力までは人の目では捉えられません。知覚モデルが物体を取り違えたり空間の状況を読み違えたりしても、外から見ている分にはロボットは普段どおりに動いているように見えることがあります。ロボットの内側では環境の捉え方が狂っていても、その狂いは外には表れないのです。
たとえば、ごく日常的な地上作業を考えてみます。ロボットが作業員と並んで同じ場所で貨物を動かしている。そこに、普通のラベルと見分けがつかないほど目立たない視覚パターンが近くの物体に一つ貼られたとします。人が見てもおかしなところは何もありません。ところがロボットのVLMは、学習のしかた次第でそのパターンを別の意味に受け取り、近くの物体の分類や空間の位置関係の捉え方を変えてしまうことがあります。
ロボットは設計どおりに動き続けますが、捉え方の狂いは周りの作業員には見えません。動きと距離の近さがものを言う開放的な現場では、外から見える動作とロボットの内側の捉え方との間に生じるこの隙間にこそリスクが潜んでいます。
だからこそ運用側は監視体制が整っているかを確認するだけでなく、そのロボットが実機に載せられる前にどこまで検証されていたかを見極める必要があります。
シミュレーションという好機：セキュリティ検証はどこで行うべきか
フィジカルAIの開発の流れには、セキュリティ検証に向いた明確な機会があります。現実の環境をデジタルツインとして再現し終えてからシミュレーションによる検証を進め、学習した動作を実機へ移すまでの間です。この段階のシミュレーション環境なら運用に支障をきたす心配なく、幅広い入力を試すことができます。
敵対的入力のテストはまさにこの段階で行うべきです。デジタルツイン（Real2Sim）ができあがった時点で着手し、さまざまな条件でのシミュレーション検証（Sim2Sim）を通して続け、実機への移行（Sim2Real）の前に通過すべき関門として組み込みます。実機に載せてから対策に頼るのではなく、まだ修正が利くうちに知覚システムが敵対的入力や想定外の状況、センサーデータのばらつきにどう反応するかを見極められます。
実機へ移してしまうと、修正のたびに学習からやり直すことになります。シミュレーションの段階は対策を打つうえで最も効率がよいだけではありません。モデルレベルの不具合については、手を入れられる唯一の機会であることも少なくないのです。
VicOneのイノベーション研究ラボ「LAB R7」のフィジカルAIセキュリティ研究は、この開発段階に焦点を当てています。シミュレーション環境の中で敵対的テストを行い、知覚モデルがさまざまな条件下でどう反応するかを洗い出すことで動作が実機に届く前に起こりうる不具合のパターンを把握できるようにするものです。
フィジカルAIでは、シミュレーションで試していないことは実機でも制御できません。
フィジカルAIが開放的で安全性の問われる現場へ広がっていくなかで、シミュレーション段階の検証はあってもなくてもよい保証の一つではなく、欠かせない土台になります。
フィジカルAIの導入を検討する運用側への主な確認事項
フィジカルAIのセキュリティが従来のOT・IoTセキュリティと異なるアプローチを必要とする背景
従来のOT・IoTセキュリティは、通信プロトコルやネットワークの接点、ソフトウェアの設定を守ることに主眼を置いています。フィジカルAIではこれに加えて、ロボットの知覚と判断のしくみそのものに新たなリスクの層が生まれます。
VLMへの敵対的入力はネットワークの脆弱性を突くものではなく、モデルが学習した振る舞いを逆手に取るものです。だからこそ講じるべき対策も、ネットワークの境界を守ることから開発工程のより早い段階、すなわちシミュレーションと学習のパイプラインを対象にすることへと変わります。従来の監視ツールではこうしたモデルレベルの不具合はほとんど見えません。
Sim2Real前の段階がセキュリティ対策の要となるしくみ
Sim2Realは、シミュレーションで学習した動作を実機へ移す工程です。移す前に解消しきれなかった前提や不具合のパターンは、動作と一緒に実機へ持ち込まれてしまいます。デジタルツイン（Real2Sim）ができあがった後からSim2Simの検証を通して敵対的入力を評価しておけば、実機に触れることなく導入前に問題を見つけて手を打つことができ、動作を実際に動かし始める前に再学習といった修正も済ませられます。
従来のセキュリティ監視によるVLMへの敵対的な視覚攻撃の検知可否
多くの場合、検知できません。敵対的入力は、ロボットの通常のセンサー経路を通って正常なデータとして送り込まれます。従来の検知ツールが手がかりにするネットワークの異常やシステム上の兆候は一切生じません。攻撃はモデルの推論の内側だけで完結し、通常のセキュリティ警告を発生させないまま誤った出力を導きます。こうした入力に対処するには、実機に載せる前のシミュレーション段階でモデルレベルのセキュリティテストを行う必要があります。
併設運用の承認前に運用側が求めるべきセキュリティ関連資料
ネットワークやソフトウェアに関する従来の認証では、以下の領域は直接カバーされません。運用側は、ロボットの開発元に対し、次の3種類の検証資料を求めることが望まれます。
- 敵対的入力のテスト報告書：VLMの知覚層を対象に、実際に導入するモデルのバージョンに対して視覚・空間・音声の各入力を使った攻撃を検証したもの。
- シミュレーション検証と移行の健全性に関する評価書：Real2SimとSim2Simの検証でどの動作をテストし、どの不具合を洗い出し、Sim2Realへ移す前に何が残っていたかを記録したもの。
- センサースプーフィングの評価書：実際に導入する機体のセンサー構成を対象に、導入先に近い条件下で検証したもの。
フィジカルAIセキュリティについてさらに詳しく
VicOne CEOのMax Chengは、CYBERSEC 2026にて実演した、視覚・言語・行動モデル（VLA）やVLMを搭載したロボットへの攻撃デモを通じて、導入前にシミュレーション環境で検証を行うことで実機に影響が及ぶ前に想定外の挙動や不具合を洗い出せることを示しました。
自律型ロボットを取り巻くサイバーセキュリティリスクと、その防御策について詳しく知りたい方は、Lab R7のホワイトペーパー『AIロボットのサイバーセキュリティリスクとその対策』をご覧ください。
