NIST、敵対的機械学習の分類草案を公表　MCPツールの供給網リスクに警鐘

米国立標準技術研究所（NIST）は2026年11月9日、特別刊行物NIST SP 2400-102e2026の初版公開草案を公表した。題名は「Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations」である。NISTによると、この文書は2026年12月18日までパブリックコメントを受け付けている。草案は特に、AIエージェントがModel Context Protocol（MCP）を通じて呼び出すツールのサプライチェーンに警鐘を鳴らしている。

敵対的機械学習とは何か。NIST草案は何を扱うのか

敵対的機械学習（Adversarial Machine Learning、AML）とは、機械学習システムを意図的に操作する攻撃と、それに対する防御を研究する分野である。NISTによると、この報告書は概念の分類体系を整理し、分野の用語を定義する。分類は概念的な階層になっており、主な機械学習手法の種類、攻撃のライフサイクルの段階、そして攻撃者の目標、狙い、能力、知識を含む。NISTは、広範な文献調査、AML専門家との対話、NIST自身の専門家による研究に基づくとしている。

NISTの刊行物ページによると、この草案は従来のNIST AI 100-2シリーズを引き継ぐもので、関連刊行物としてAI 100-2 E2025を挙げている。著者として記載されているのは、NISTのApostol VassilevとMaia Hamin、ノースイースタン大学のAlina Oprea、ElevenLabsのAlie Fordyce、英国AI安全研究所のXander Daviesである。今回の版の焦点はエージェント型システムへの攻撃とその緩和策で、報告書の第4節で扱われ、エージェント型攻撃の新しい索引も加わった。

用語について一点断っておく。NIST自身のページは、対象となるシステムを「SI」（「Super Intelligence」の略）と呼んでいる。一方、CDO MagazineとiThomeは、この草案をエージェント型AIシステムを扱うものと説明している。本稿は「AI」と表記し、この2媒体の説明に従う。

この分類にはどんな攻撃が載っているのか

11月12日に草案を報じたCDO Magazineによると、この文書はデータポイズニング、モデルポイズニング、プライバシー攻撃、回避技術を検討している。生成AIについては、サプライチェーン攻撃、直接・間接のプロンプトインジェクション、情報抽出、モデルの改ざんを扱う。プロンプトインジェクションとは、モデルが読み込む文章に指示を紛れ込ませ、モデルに従わせる手口である。

台湾のメディアiThomeは11月13日、草案が予測型機械学習、生成AI、エージェント型AIシステムを対象とし、対応する防御策も示していると報じた。CDO Magazineによれば、エージェント型の部分は、エージェントが外部データ、ツール、スキル、他のエージェントとやり取りすることで生じる脅威を扱い、信頼できないデータ、悪意あるツールやスキル、マルチエージェントのワークフロー、長時間にわたるタスクが含まれる。

MCPツールはどのように汚染されるのか

Model Context Protocol（MCP）は、AIエージェントが第三者のサーバーが提供する外部ツールに接続するための標準である。iThomeによる草案の要約では、エージェントはツール提供者が示すテキストの説明に基づいて、どのツールを使うかを決める。NISTは、攻撃者が悪意あるツールの説明に指示を埋め込み、エージェントに攻撃者のツールを選ばせたり、本来の実行計画を変えさせたりする可能性を示している。NISTはこの手口をツールポイズニング（Tool Poisoning）と呼ぶ。

iThomeによると、もう一つの手口が「ラグプル（rug pull）」である。攻撃者はまず、一見正常なMCPサーバーを公開のツールレジストリに登録する。利用者がインストールした後で、サーバーが提供するツールの説明をひそかに書き換え、利用者の再度の同意なしに、エージェントに悪意ある操作を実行させる。

iThomeはさらに、NISTが引用した研究で、実際に稼働しているMCPサーバーにもこの種のリスクが見つかったと伝えている。同じ要約は、現在のAIモデルの安全性アラインメントの仕組みでは、正規のツールインターフェースを通じて届く悪意ある挙動を止めるには不十分だとしている。

NISTはどんな防御策を示しているのか

2つの媒体は、草案にある異なる、補い合う緩和策の一覧を伝えている。

• 暗号署名と変更できないバージョン識別子でツール定義を検証し、ツールの実行環境をサンドボックスで隔離する（iThome）。
• 信頼できる指示と信頼できない内容を分離し、情報の流れを制限し、アクセス制御と最小権限を適用し、サンドボックスと監査ログを使う（CDO Magazine）。

記憶の汚染や指示のドリフトは、なぜ再起動では消えないのか

ツール以外にも、iThomeはNISTが長時間タスクを実行するAIエージェントのリスクを論じていると報じている。攻撃者がエージェントの長期記憶に悪意ある内容を埋め込むと、その内容が後のタスクでの挙動に影響し得る。これが記憶ポイズニングである。CDO Magazineは、エージェントがウェブサイト、ファイル、ナレッジベース、永続メモリから情報を取得し、これらの素材に埋め込まれた悪意ある指示がエージェントのコンテキストに入り込み得ると説明している。

2つ目のリスクは指示のドリフトである。iThomeによると、作業データが蓄積するにつれ、エージェントは初期の指示や制約への従い方が徐々に弱まる可能性があり、攻撃者は複数のやり取りを通じて挙動を変えられる。汚染されたのが基盤モデルまたはその適応層である場合、単なる再起動や巻き戻しでは悪意ある挙動を消せず、モデルの入れ替えや再学習が必要になることもある、とこれもiThomeは述べている。

企業にとって何が変わるのか

CDO Magazineは、この草案は任意のもので、法的・規制上の要件を定めるものではないとしている。また草案であり、NISTは攻撃と防御の進展に応じて文書を更新するとしたうえで、3つの問いに意見を求めている。すなわち、現行のシステム、とりわけエージェント型システムを脅かす最新の攻撃、最新の有効な緩和策、標準化が必要な新しい用語である。NISTは、この分類が今後の標準や実践ガイドの参考になることを意図しているとしている。

米国の取引先や顧客を持つ日本企業にとって、この草案は、委託先に質問したりセキュリティ要件を書いたりする際の共通の語彙になる。以下は当編集部の見方であり、NISTの発言ではない。最初の一歩として、自社のエージェントが呼び出せるすべてのMCPサーバーとツールを洗い出し、使用バージョンを固定し、更新のたびにツールの説明を再確認し、エージェントには必要な権限だけを与え、その操作の記録を残すことが考えられる。これらの管理は、より広いAIエージェントのガバナンスの枠組みの一部である。