ホワイトボックス攻撃とは、AIモデルの内部構造、重みパラメータ、学習データ、活性化関数などの情報を完全に把握している攻撃者が、その知識を利用してモデルの誤認識を誘発する敵対的サンプルを生成する攻撃手法です。防御策の限界やセキュリティの脆弱性を評価するテストで重要な役割を果たします。
ホワイトボックス攻撃とは
ホワイトボックス攻撃（White-box attack）とは、対象となるAIモデルの内部パラメーターやアルゴリズムの構造、学習データ、グラディエント（勾配）などの内部情報をすべて熟知した上で、意図的にAIを誤動作させるための「敵対的サンプル」を作成して実行するセキュリティ上の攻撃手法です。
詳しく解説
敵対的機械学習（Adversarial Machine Learning）の分野において、ホワイトボックス攻撃は最も強力な攻撃モデルとして定義されています。攻撃者はAIのニューラルネットワークの勾配情報を直接計算できるため、どの入力値をどのように微修正すれば効率的に誤認識を引き起こせるかを数学的に導き出すことができます。代表的な生成アルゴリズムには、勾配を利用して高速にノイズを生成するFGSMや、より強力な反復型アルゴリズムであるPGDなどがあります。この手法は、自社開発したAIシステムのセキュリティ脆弱性を評価するペネトレーションテスト（侵入テスト）などで、最悪のシナリオを想定した防御力検証として非常に重要な役割を果たしています。
具体例・使われ方
例えば、自動運転車に搭載された画像認識AIに対する攻撃が挙げられます。ホワイトボックス攻撃により、道路標識の認識モデルの内部構造（重みやバイアス）を解析した攻撃者は、人間にはほとんど見分けがつかない程度の特殊なノイズを「一時停止」の標識に貼り付けます。この結果、AIは標識を「制限速度60km」と誤認識し、車が減速せずに交差点に進入するような重大な事故を誘発する敵対的サンプルが作られます。
似た用語との違い
対比される概念として「ブラックボックス攻撃」があります。ブラックボックス攻撃は、AIモデルの内部構造やパラメータを一切知らず、入力に対する出力のみを手がかりに攻撃を試みる手法です。一方で、ホワイトボックス攻撃は内部パラメータから学習データまでを完全に把握している前提で攻撃を行うため、攻撃の成功率や効率が極めて高いという違いがあります。また、中間の情報を部分的に知る「グレーボックス攻撃」も存在します。
注意点
実世界において、攻撃者が完全にAIモデルの内部構造を入手できるケースは限られているため、ホワイトボックス攻撃は現実的ではないと誤解されがちです。しかし、オープンソースのAIを利用している場合や、デバイスの解析によってモデルが流出した場合には現実の脅威となります。また、ホワイトボックス攻撃で作成した敵対的サンプルが、内部構造を知らない別のモデルに対しても誤認識を引き起こす「転移性」という性質があるため、間接的なブラックボックス攻撃の足がかりにされる点にも注意が必要です。