arXiv:2607.09532：深層ニューラルネットワークにおける統計的に検出不能なバックドア（ICML 2026）

3人の研究者——Bogdanov、Rosen、Vafa——によるICML 2026に採択された論文は、AI安全性における最も懸念すべき形式的な結果の一つをもたらします：深層ニューラルネットワークにおけるバックドアは、検査員がモデルのすべてのパラメータに完全にアクセスできる場合でも、統計的に検出不能である可能性があることの数学的証明です。

バックドアとホワイトボックスとは何か、なぜこの研究は重要か？

バックドアは機械学習モデルに意図的に埋め込まれた隠れた脆弱性です——攻撃者はモデルをすべての標準入力に対して正常に動作するよう訓練しながら、特定の隠れたトリガーに対して予測可能で攻撃者に有利な方法で反応するようにします。ホワイトボックスシナリオは、検査員・規制当局・ユーザーがモデルのすべての重みとアーキテクチャに完全にアクセスできる状況を指します——入力と出力しか見えないブラックボックスアクセスとは対照的です。

これまでは、ホワイトボックス検査が強固な保護を提供すると考えられていました：すべてが見えるなら、疑わしいパターンを見つけられるはずだと。Bogdanov、Rosen、Vafaはこれが正しくないことを証明します。

攻撃メカニズムと暗号学的基盤

著者たちが構築するバックドアは、攻撃者が「不変性に基づく敵対的サンプル」を生成できる能力を与えます——これらは秘密鍵を持つ攻撃者以外のすべての観察者にとって正当な入力と区別できません。入力を可視性の境界まで変化させる古典的な敵対的攻撃とは異なり、これらのサンプルは統計的に通常のデータのように見えます。

重要な暗号学的証明は次の通りです：バックドアを知らずに、標準的な暗号学的仮定（例えば素因数分解や離散対数問題の困難性）の下で、このような敵対的サンプルを多項式時間で生成することは不可能です。これによりバックドアは非対称な武器となります——秘密鍵を持つ攻撃者は、正当なユーザーには複製も統計的検出も不可能な能力を持ちます。

訓練者とユーザー間の根本的な権力の非対称性

この研究の最も広い意味での結論は技術的なものではなく、構造的なものです：モデルを訓練する者は、ユーザーが検査にどれほどのリソースを費やしても到達できない能力を持つということです。この非対称性は事後処理による検出ツールでは解消できません。なぜなら、与えられた仮定の下でそのようなツールは存在できないことが数学的に証明されているからです。

実践的には、第三者が訓練したモデルを使用する組織——これはほぼすべての商業AI利用者を含みます——は、技術的検査の深さに関係なく、使用しているモデルがクリーンであることを確認できないことを意味します。著者たちは具体的な解決策を提案せず、AIモデルのサプライチェーンの安全性に関する前提を再考するよう研究コミュニティに呼びかけています。