GCRI · 人工知能と自律システム
AI のサイバーセキュリティ
AI and cybersecurity meet in three ways: AI システム can be attacked, AI can help attackers, and AI can help defenders. Models can be poisoned, stolen, manipulated or made to leak data; their supply chains of data, weights and libraries carry new risks. This page sets out how these threats work, how AI systems are secured, and what evidence serves the security teams and regulators responsible.
AI cyber security on the record.
AI cyber security: how the risk develops.
Adversarial methods and model exposure. The dossier below sets out how the risk develops, what is measured, where the data come from, how it is modelled and who decides.
Models are attack surfaces
Adversarial inputs, prompt injection, data extraction and model theft target the model itself. Classic application vulnerabilities still apply around it.
The AI supply chain is long
Training data, pretrained weights, libraries and plugins come from many sources. Poisoned data or tampered models can introduce hidden behaviour.
AI lowers the cost of some attacks
Generative AI can draft phishing, translate lures and help write code, lowering the skill barrier for some attacks. The size of this effect is studied and debated.
AI assists defence
Machine learning detects anomalies, triages alerts and finds vulnerabilities. Defenders must also secure the AI tools they adopt.
相互依存するネットワークを通る連鎖。
A ハザードの影響範囲 は各層で同じ場所にある資産を奪います。その後、断片化、層間の依存、生き残った資産の過負荷が障害を広げます。3D ビューは層を奥行きで分けて示します。例示的な値を明記した教材用モデルであり、予測ではありません。
管理策
- レイヤーごとの資産
- 18
- ハザードの影響範囲
- 面積の 8%
- 別のレイヤーに依存する資産
- 60%
- 予備容量（許容度）
- 30%
読み取り値
- ハザードを受けた資産
- 7%
- 稼働を続ける資産
- 50%
- 初期被害の増幅
- 6.8 times
- 決着までのステップ数
- 3
数値、手法、出典
| ステップ | 稼働中のデータセンター（%） | 稼働中のネットワーク（%） | 稼働中の電力（%） |
|---|---|---|---|
| 0 | 83 | 94 | 100 |
| 1 | 72 | 78 | 94 |
| 2 | 61 | 67 | 50 |
| 3 | 61 | 67 | 22 |
手法
- 相互依存ネットワーク Buldyrev ほか（2010）、Catastrophic cascade of failures in interdependent networks、Nature 464
- 過負荷カスケード Motter and Lai (2002), Physical Review E 66
- 媒介負荷 Brandes (2001), Journal of Mathematical Sociology 25
- 多層ネットワーク Kivela and others (2014), Journal of Complex Networks 2
- インフラの相互依存 Rinaldi, Peerenboom and Kelly (2001), IEEE Control Systems 21(6)
- 不確実性ファン（パラメータ・モンテカルロ） Spiegelhalter, Pearson and Short (2011)、Visualising uncertainty about the future、Science 333
- 一因子ずつの感度分析（トルネード図） Saltelli and others (2008), Global Sensitivity Analysis: The Primer, Wiley
データ
The model runs on the teaching values set by the controls. To calibrate it for a place, read it against these admitted layers and series, which this page’s map can draw:
- 主要道路 Natural Earth
- 鉄道 Natural Earth
- 港湾 Natural Earth
- 空港 Natural Earth
- 都市域 Natural Earth
- 今夜の夜間光と停電（VIIRS 昼夜バンド） NASA/NOAA VIIRS（Suomi NPP）· 登録 nasa.gibs.context-live-layers
- 自然現象（NASA EONET） NASA EONET · 登録 nasa.eonet.events
6 本の柱を通じて、Nexus Consortium が主導
AI changes cyber risk in every domain’s control systems.
Findings are designed for the Exponential Technology series. ISO/IEC 23894 (2023) sets AI risk management guidance; the page publishes no attack techniques.
- Defensive evaluations of AI tools.
- Incident case studies.
How AI cyber security is modelled, measured and tested.
モデル、その仮定、データ、不確実性を、科学者やエンジニアが確認する形で示します。構造は公表された手法に従っています。描かれた値は例示であり、知見ではありません。
システム・モデル
The couplings between the systems in AI cyber security: signs of influence, a reinforcing and a balancing loop, and cross-links where stress jumps.
何を、どの程度うまく測定しているか。
各指標には、その単位、更新頻度、背後にある出典の種類、値が持つことになるエビデンスのラベルが付いています。値は表示しません：プログラムが自らの権限のもとで値を提供します。
| 指標 | 単位 | 周期 | 出典の種類 | ラベル |
|---|---|---|---|---|
| Vulnerabilities reported in AI frameworks and libraries | count of CVE entries | 月次 | Vulnerability databases | 報告値 |
| Adversarial robustness | accuracy under a stated attack | per evaluation | Robustness testing | 観測 |
| Models with signed provenance | percent of deployed models | per inventory | Model registries | 申告済み |
| AI-related security incidents | count by technique | 年次 | Incident reports | 報告値 |
| Time to detect AI system compromise | hours | per incident | Incident response records | 観測 |
| Organisations with AI security policies | percent of surveyed organisations | per survey | Industry surveys | 報告値 |
エビデンスの出所。
名前の明示された公開データセットと機関の記録。それぞれにライセンス区分があります。合意に基づく出典は、その条件のもとでのみ使用し、再公開することはありません。
| 出典 | 提供するもの | ライセンス区分 |
|---|---|---|
| MITRE ATLAS | Adversarial tactics and techniques against AI システム, with case studies | Public, licence to check |
| NIST adversarial machine learning taxonomy | Terminology and taxonomy of attacks and mitigations | Public domain, US government |
| National Vulnerability Database and CVE records | Vulnerabilities in AI software | Public domain, US government |
| ENISA reports on AI cybersecurity | Threat landscape and good practice for securing AI | Public, ENISA terms |
| Joint guidance from national cyber agencies on secure AI system development | Secure design, development, deployment and operation | Public, terms per agency |
誰が決め、エビデンスが何に役立つか。
人工知能と自律 システム prepares evidence. The decisions below are taken by the authorities named, under their own rules, and never by the platform.
| 誰が決定するか | 質問 | このページが提供するエビデンス |
|---|---|---|
| Chief information security officers | How to secure AI systems the organisation builds or buys | Threat models; supply chain checklists |
| National cybersecurity agencies | What guidance to issue on AI security | Incident and vulnerability evidence |
| 開発者 | Which defences to build into models and applications | Robustness testing; attack taxonomies |
このトピックが生み出す成果物
- Threat models for AI deployments
- AI supply chain security checklists
- Robustness testing protocols
- Evidence notes on AI-enabled attack trends
What security researchers ask.
- How can inputs be crafted to make a model misbehave, and how robust are defences?
- Can an attacker poison training data or tamper with model weights in the supply chain?
- Can private training data or a model itself be extracted through its outputs?
- How does AI change attackers’ and defenders’ capabilities?
The AI attack surface.
Adversarial examples are inputs altered in ways imperceptible to people that cause models to err. Data poisoning inserts malicious examples into training data to plant backdoors. Membership inference and extraction attacks recover information about training data or replicate a model through repeated queries. For language models, jailbreaks and prompt injection bypass intended restrictions.
On the other side, AI can help attackers find vulnerabilities, write malware variants and craft convincing phishing at scale, and help defenders triage alerts, analyse code and detect anomalies. The balance between the two is an open research question.
Security engineering for AI.
- 01
Red-teaming
Structured attempts to break a system, combining サイバーセキュリティと暗号 and artificial intelligence and machine learning expertise. Red-teaming finds problems but cannot prove their absence.
- 02
脅威モデリング
Mapping assets, adversaries and attack paths across data, training, deployment and supply chain.
- 03
Robustness testing
Measuring performance under adversarial perturbation. Robustness to known attacks does not imply robustness to new ones.
- 04
Supply-chain integrity
Provenance of datasets, models and dependencies, with signing and verification. Provenance tooling is still maturing.
どのように研究され、手法が言えないことは何か。
Where this page’s references lead.
このページの読解の基準となる機関と文書。状態と版は変わります。各リンクは発行機関へ移動します。
質問と回答。
What is data poisoning?
What is MITRE ATLAS?
Does AI make cyberattacks easier?
Does the platform publish attack techniques?
How do I report a vulnerability?
Is open release of model weights a security risk?
Can AI defend against AI-enabled attacks?
このページからエビデンスを提供する。
報告書 is the Consortium’s quarterly publication. What you know about this subject can become evidence, a case or a correction in the next edition, credited to you and published under CC BY 4.0 where it is your own work.
- メールゲートウェイ GW-GCRIこのページから送信するエビデンス、訂正、事例、手法、レビュー、翻訳、プロファイルへの入力。このページのタグが付いて届くため、担当の編集者が受け取ります。
- Zenodoオープンな寄託寄託してコミュニティに提出するORCID iD を使って Zenodo に自分の記録を公開し、そこから Reports コミュニティに提出してください。キュレーターが審査し、DOI は引き続きあなたのものです。
- 報告書GCRI貢献のすべての方法を見る貢献の種類、それぞれの審査方法、受け取るクレジット、ライセンス、決して受け付けないもの。
個人データ、重要インフラの機微な詳細、共有する権利のないものは決して送らないでください。寄稿は利用前にレビューされます。送付によって著作者としての権利や編集上の権利が生じることはなく、スポンサーシップで調査結果を買うことは決してできません。
手法、データセット、または問いを持ち込んでください。
情報提供と問い合わせは本日から受け付けています。問い合わせには参照番号が付き、次の手順が示されます。申請、支払い、計算資源の割り当て、登録は、担当チーム、規約、審査体制が整ってから開始します。
法的文書。
このサイトの地図、データ、図表は、背景と一般的な情報として示すものです。助言、予報、警報ではありません。情報の限界は免責事項とデータに関する注意事項に記載しています。