AIの安全性はモデルだけではない：CertiKがGoogle EdgeTPUの脆弱性を発見、AIインフラの新たなリスクを浮き彫りに

最近、CertiKの研究者がEdgeTPUにおいて2つのセキュリティ脆弱性（CVE-2026-0150、CVE-2026-0153）を発見しました。これらの脆弱性はGoogleから謝意を受け、2026年6月のSecurity Bulletinに掲載され、リスクレベルはそれぞれHighおよびCriticalです。

これはEdgeTPUの脆弱性に関する研究ですが、AI業界で進行しているより深い変化を反映しています。AIがコンテンツ生成からタスク実行へと移行するにつれ、企業が保護すべき対象はもはやモデル自体だけではなく、AIシステム全体へと拡大しています。

EdgeTPUの脆弱性がAIセキュリティに与える新たな考察

今回開示された2つの脆弱性は、技術的な原因は異なるものの、注目すべき共通の問題を明らかにしています。攻撃者はAndroidとEdgeTPU間のインタラクションインターフェースを悪用し、既存のセキュリティ分離メカニズムを突破して、AI推論を担う高権限チップ内で任意のコードを実行したり、機密データにアクセスしたりする可能性があります。

一般ユーザーにとって、これはAIチップを搭載したすべてのデバイスが同様のリスクにさらされていることを意味するわけではありません。企業が真に注目すべきは、AIが本人確認、顔認識、エッジ推論などの重要なタスクをますます担うようになるにつれ、長年にわたり信頼できる基盤と見なされてきた低レベルコンポーネントも、独立したセキュリティ検証を必要とするという点です。

さらに重要なのは、この研究が見落とされがちなリスクを明らかにしていることです。多くの企業は、アプリケーション、API、インフラストラクチャ、デバイスコンポーネントごとに個別にセキュリティ評価を実施していますが、攻撃者はそのような境界に従って攻撃を仕掛けるわけではありません。むしろ、異なるコンポーネント間のインターフェースと信頼関係を利用して、一見独立した複数の要素を連結し、完全な攻撃経路を構築する可能性が高いです。真のリスクは、しばしばこれらのシステム境界をまたぐインタラクションの中に潜んでいます。

EdgeTPUの脆弱性はAI実行インフラストラクチャ層のセキュリティ境界を露呈し、AIエージェントはアプリケーション層の権限と外部システム接続の急速な拡大をもたらします。これらは同じ種類のリスクではありませんが、共通してある傾向を示しています。AIのセキュリティ境界はモデル自体から、モデルの実行、データアクセス、タスク実行を支えるシステム全体へと拡大しているのです。

「コンテンツ生成」から「タスク実行」へ：AIエージェントが拡大する攻撃対象領域

かつてAIは質問に答えていました。今、AIはタスクを実行し始めています。攻撃者が狙うのは、もはやモデル自体だけではなく、モデルがアクセス、呼び出し、影響を与えることができるすべてのものです。

EdgeTPUの脆弱性が注目を集めるのは、それがAIインフラストラクチャで発生したからだけでなく、AI業界の方向性の変化を反映しているからです。

かつて大規模言語モデル（LLM）は、コンテンツ生成や検索QAなどの補助的な機能を主に担っていました。現在では、ますます多くのAIエージェントがデータベースに接続し、APIを呼び出し、サードパーティツールを操作し、決済、本人確認、デジタル資産管理などの実際のビジネスプロセスに段階的に参加しています。AIは「質問に答える」ことから「タスクを実行する」ことへと移行しており、システムが持つ権限が増えれば増えるほど、潜在的な攻撃対象領域も拡大します。

この傾向は急速に進行しています。McKinseyが発表した『The state of AI in 2025』レポート^[1]によると、88%の企業が少なくとも1つのビジネスシナリオでAIを導入しており、6割以上の企業がAIエージェントの探索を開始しています。また、Google Cloudが世界の企業を対象に実施した別の調査^[2]では、83%の回答企業が、AIエージェントの大規模展開を支援するために既存のインフラストラクチャの大幅なアップグレードが必要であると認識しています。

AIが企業のコアビジネスに深く浸透するにつれ、セキュリティ上の注目点も変化し始めています。企業が検証する必要があるのは、モデル出力の信頼性だけではなく、AIシステム全体がコンポーネント横断、権限横断、実行環境横断の攻撃に耐えられるかどうかです。

企業のAIセキュリティ境界：モデルから完全なテクノロジースタックへ

この変化はAIセキュリティの定義も再構築しています。以前は、AIセキュリティは主にモデル自体、例えばプロンプトインジェクション、モデル脱獄、トレーニングデータへの毒入れといった問題に焦点が当てられていました。しかし、AIアプリケーションが実際のビジネス環境に接続されるにつれ、セキュリティチームは視野をテクノロジースタック全体に広げ、AIエージェントと外部システム間のインタラクション、ツール呼び出しの権限、機密情報へのアクセス、そしてサードパーティコンポーネントがもたらす可能性のあるサプライチェーンリスクに注目する必要があります。

一部のAIエージェントプラットフォームは、Skillのデプロイ前に自動化されたセキュリティ評価を導入し始めています。例として、PieverseとFinChip.aiは、両プラットフォームともCertiK Skill Scannerを導入し、AI Skillのセキュリティスキャンを実施して、悪意のある可能性のある行動やセキュリティ脆弱性を特定し、エージェントがタスクを実行する前に潜在的なリスクを低減しています。

業界の需要変化は、AIセキュリティ研究をより広範なテクノロジースタックへと押し広げています。EdgeTPUの研究は、近年のCertiKのAIセキュリティ研究の拡大方向性も示しています。AIアプリケーションとエージェント自体に加えて、AIインフラストラクチャとその基盤となるシステムコンポーネントも継続的な注目に値します。セキュリティ研究にとって、これは評価対象がソフトウェア層に限定されず、異なる層がどのように連携してAIシステム全体のセキュリティに影響を与えるかを理解する必要があることを意味します。

AI時代に求められるのは、ライフサイクル全体をカバーするリスク管理

AIは企業がソフトウェアを構築する方法を変えただけでなく、セキュリティ業務の方法も変えています。

ますます多くの企業がセキュリティ機能をソフトウェア開発ライフサイクルの上流に移行させ、開発、テスト、デプロイメントの段階でリスクを特定し、脆弱性が本番環境に入ってから修正するのではなく、事前に対処することを目指しています。同時に、AIは脆弱性発見、コード分析、形式検証などの開発プロセスを支援し、開発チームのセキュリティ検証効率を向上させるためにも活用され始めています。

この方向性の実践者の一人として、CertiKはコード分析、脆弱性検出、形式検証などの開発プロセスにAIを継続的に適用し、AIアプリケーション、AIエージェント、AIインフラストラクチャに関するセキュリティ研究を実施しています。CertiKは独自のCertiK ProverエンジンにAIを統合することで、形式検証の効率を向上させています。関連する研究成果は、OSDI 2023、ASPLOS 2026などの国際的なトップコンピュータサイエンス会議で発表され、ASPLOS 2026 Best Paper Honorable Mention賞を受賞しています。

EdgeTPUの脆弱性は一例に過ぎませんが、ますます明確になる業界のトレンドを反映しています。将来、企業が真に検証する必要があるのは、おそらく特定のモデルが安全かどうかではなく、開発からデプロイ、運用に至るまで、AIシステム全体が信頼に値するかどうかです。AIがデジタルインフラストラクチャの一部となるにつれ、AIセキュリティはモデルの保護から、AIシステム全体の保護へと移行しています。

[1] 『The state of AI in 2025』: https://www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai

[2]  Google Cloud調査: https://cloud.google.com/resources/content/state-of-infrastructure-in-the-agentic-ai-era