LLM スタックは「マーケティングの優れた 2008 年データベース」— NVIDIA Lovina Dmello氏

LLM スタックのセキュリティは「2008 年のデータベース」に戻れ：NVIDIA が指摘する、AI 特有の攻撃ではない真のリスク

現在の LLM（大規模言語モデル）スタックにおけるセキュリティ侵害の多くは、複雑な AI 固有の攻撃ではなく、2008 年頃のデータベース運用で見られたような基本的なインフラ設定ミスに起因している。NVIDIA のシニアソフトウェア開発者である Lovina Dmello氏は、最先端のアルゴリズムへの依存を戒め、コンテナやネットワークといった基盤層の堅牢化こそが、コストとパフォーマンスを損なわずにセキュリティを確保する唯一の道であると説く。

高度な攻撃ではない「設定ミス」が最大の脅威

NVIDIA の Lovina Dmello氏が警告するのは、生産環境で起きている問題の本質だ。多くの企業が恐れているのは、敵対的入力（Adversarial Inputs）やモデル抽出といった高度な AI 特有の攻撃だが、実際にはそうではない。

「2023 年にセキュリティ研究者が Ray クラスターを調査した際、インターネット上に公開された数千のクラスターが見つかった。これは認証がデフォルトでオフになっており、誰かが本番環境に導入する際にこれをオンにするのを忘れたからだ。」

この事例のように、深刻なインシデントの多くはゼロデイ攻撃や巧妙なニューラルネットワークへの攻撃ではない。「誰かがスイッチを切り忘れた」という単純なミスが原因だ。API キーの公開、過剰な権限付与、機密モデルの重み（Weights）がパブリックストレージに置かれたままになっているといった事象こそが、ニュースになるような大規模侵害の正体である。

なぜセキュリティ対策は機能しないのか：3 つの前提条件の変化

なぜ私たちは、これまで安全だったはずのインフラ管理で失敗し続けるのだろうか。Dmello氏は、従来のアプリケーションと機械学習（ML）を比較することでその理由を解き明かす。

2008 年頃の古典的なアプリケーションは「決定論的」であり、コードが何をするかを明確に予測できた。しかし、ML を本番環境に導入したことで、セキュリティの前提条件である以下の 3 つが崩壊してしまった。

1. 確率的な振る舞い: コードの挙動が「Yes/No」という分岐ではなく、分布（Distribution）として扱う必要があるようになった。
2. コピー可能な重み: モデルの重みが複製可能であり、漏洩すると API を通じて直接流出するリスクがある。
3. 共有マルチテナント環境: コスト削減のために GPU を共有し、他のユーザーとの分離が不十分になることで新たなセキュリティリスクが発生した。

「私たちはスタック全体を機械学習に移行させたのに、セキュリティの前提条件を変えるのを忘れてしまった。2026 年のシステムで、2028 年のプレイブック（戦略）を使っているようなものだ。」

インフラ層こそがセキュリティの「基礎」である

多くのセキュリティ対策はモデルそのものを守ることに焦点を当てがちだが、Dmello氏は「ML セキュリティとはインフラ問題だ」と断言する。防御の土台となるのは、コンテナ、ネットワーク分離、GPU 仮想化、暗号化といったインフラ層である。

この土台が崩れていれば、その上に構築されたアクセス制御やランタイムセキュリティも無意味になる。「完璧なアクセス制御ポリシーを持っていても、基盤となるクラスター自体が開きっぱなしであれば、それは単なる飾りに過ぎない」のだ。

Dmello氏が提唱する防御の 4 つの柱は以下の通りだ。

• インフラセキュリティ: コンテナ、ネットワーク、GPU 仮想化、暗号化（土台）
• アクセス制御: 誰が何をしてよいかの管理
• ランタイムセキュリティ: システム稼働中のトラフィック監視
• 運用と文化: チームワーク、コンプライアンス、インシデント対応

研究と現場の乖離：コストがかかる防御は本当に必要か？

学術界では「敵対的入力」への対策が注目されているが、現場ではパスワード漏洩や権限管理の不備といった単純なミスが頻発している。さらに、論文で提案される防御策の多くは、本番環境での実装においてコスト（レイテンシとスループット）の面で現実的ではない。

セキュリティ対策には必ずコストがかかる。Dmello氏はこれを 3 つのグレードに分類し、使い分けを推奨する。

• グリーン層（基本）: ログイン、入力チェックなど。コストは約 8% 以下。常に実施すべきだ。
• オレンジ層（隔離）: ワークロード間の強力な分離。コストは 10〜20%。機密性や信頼性の高いワークロードに選択的に適用する。
• パープル層（リアルタイム検知）: 悪意ある入力をリアルタイムで捕捉。コストは 15〜30% と高額。研究では好まれるが、すべてのリクエストを遅らせることはできないため、リスクの高いシステムに限定すべきだ。

「エンジニアチームが必要としているのは『これをするべきか』ではなく、『どうすれば速度を落とさずに実装できるか』という問いかけだ。」

現場で即効性のある 3 つの対策と maturity モデル

研究と現場のギャップ、セキュリティチームと ML チームのサイロ化といった課題に対し、Dmello氏は「インフラとして守る」という視点の転換を提案する。そのための具体的な指針として、NIST AI リスク管理フレームワークに準拠した成熟度モデル（Maturity Model）を提示している。

• レベル 1: ベーシックな機能のみ。テスト環境向け。本番では不十分。
• レベル 2: 5〜10% のオーバーヘッドで、ログイン、暗号化、ネットワーク分離など。本番環境の最低ライン。
• レベル 3: 医療や金融など規制産業向けの高度な制御。多くのチームがここにいると錯覚しているが、実際はレベル 1 や 2 に留まっているケースが多い。

特に注意すべきは、以下の 3 つの設定ミスだ。

1. デフォルト設定の過剰権限: すべてのアカウントに管理者権限が付与されている。
2. 期限切れのない認証情報: クレデンシャルが永遠に有効になっている。
3. 機密情報の無防備な保存: パスワードや学習済みモデルが誰でもアクセス可能なストレージに置かれている。

まとめ：AI のセキュリティは「昔の知見」への回帰である

NVIDIA の Lovina Dmello氏は、AI エンジニアリングにおけるセキュリティ対策の本質を、「最先端のアルゴリズム」ではなく「堅牢なインフラ管理」へと引き戻すよう呼びかけた。複雑な攻撃に怯える前に、まずは認証オフや権限管理の不備といった基本的なミスを排除することこそが、最も効果的でコストパフォーマンスの高い対策である。

企業は AI の導入に伴うリスクを解決するために、従来のデータベース運用の知見に立ち返り、DevSecOps における優先順位を見直す必要があるだろう。