G検定（ジェネラリスト検定） AI倫理・AIガバナンス 練習問題 第13問: 機械学習モデルに対する攻撃の説明として、最も不適切なものはどれか。

正解: 3. メンバーシップ推論攻撃は、モデルの重みを書き換えて、特定の入力に攻撃者の望む出力を返させる攻撃である。

肢3が不適切です。メンバーシップ推論攻撃は、あるデータ（レコード）がモデルの学習に使われたかどうかを、モデルの出力から推定する攻撃です（Shokriら, 2016年）。学習データに関する情報が漏れる、データ窃取の一種といえます。重みを書き換えて特定の入力に攻撃者の望む出力を返させるのは、モデル汚染（モデルポイズニング）やバックドアの説明です。肢1はBiggioら（2012年）がSVMで示したデータ汚染攻撃の説明で正しい記述です。肢2はTramèrら（2016年）が予測APIで示したモデル抽出攻撃の説明で正しい記述です。肢4はNISTの報告書（NIST AI 100-2 E2025）が運用段階の攻撃として整理する回避攻撃の説明で正しい記述です。学習段階の攻撃か運用段階の攻撃か、何を盗む・壊すのかで整理しましょう。

関連キーワード: データ汚染・モデル窃取・データ窃取・モデル汚染