Local Is Not a Sufficient Privacy Boundary: Governing OS-Integrated On-Device AI

技術要約：ローカルは十分なプライバシー境界ではない：OS統合型オンデバイスAIのガバナンス

問題提起
AIシステムがオペレーティングシステム（OS）に直接統合されることは、プライバシーの景観を根本的に変容させる。公共および業界のナラティブでは、「オンデバイス実行」が十分なプライバシー保証として扱われることが多いが、本論文は、ローカル推論は計算の「場所」のみに対処するものであり、プライバシーリスクの「範囲」を解決するものではないと主張する。OS統合型のデプロイメントにおいては、関連する分析単位は、孤立したアプリケーションの境界から、プラットフォームレベルの媒介レイヤーへと移行する。このレイヤーは、ユーザーのデバイス環境全体（ファイル、メール、カレンダー、通知、センサー）からの信号にアクセスし、それらを組み合わせ、それらに基づいて行動することができる。

核心となる問題は、ローカル実行が以下の事項を本質的に制限するものではないことである：

1. コンテキストの組み立て（Context Assembly）： システムがいかに多くのコンテキストを収集するか、あるいは、いかに異なるデータソース（例：カレンダーのメタデータとドラフト文書の結合）を組み合わせるか。
2. 派生状態の永続性（Derived State Persistence）： 推論された情報（埋め込み、要約、事実）が、相互作用の後にどの程度持続するか。
3. アクションの認可（Action Authorization）： アシスタントがどのようなツールを呼び出すことができるか、あるいは、どのようにリクエストをルーティングするか。
4. ガバナンスのドリフト（Governance Drift）： システムのアップデート、フィーチャーフラグの変更、またはポリシーの変更によって、プライバシー特性がどのように変化するか。

したがって、この文脈におけるプライバシーは、デプロイメント属性（ローカルかクラウドか）に還元されるべきではなく、制約された情報フロー、限定された権限、および監査可能なガバナンスを伴う、制度的な説明責任の問題として扱う必要がある。

手法
本研究は、境界付き構造化合成および公開ドキュメント分析を採用している。これは、プライバシー・バイ・デザイン、プライバシー脅威モデリング、モバイル/OS権限システム、AIガバナンス/監査、およびLLMエージェント・セキュリティという5つの隣接する文献ストランドを統合したものである。

著者らは、6つの「媒介サーフェス（mediation surfaces）」を感応的なカテゴリーとして特定している：コンテキストの組み立て、メモリの永続性、委任されたアクション、テレメトリ、フォールバック・ルーティング、およびポストデプロイメントの変化。これらの概念は、4つの要素（アセット、信頼境界、失敗モード、コントロール）にマッピングされ、フレームワークを構築する。

手法には以下が含まれる：

1. 脅威モデリング： 半信頼的なプラットフォームプロバイダーを定義し、明白な攻撃（例：不透明性、制度的ドリフト）を超えた失敗モードを特定する。
2. 機能類型学（Feature Typology）： 精密な評価境界を確保するために、5つの機能タイプ（ローカルモデルAPI、アンビエント・セマンティック・インデックス、アシスタント/ツール層、プライベートクラウド・フォールバック、エンタープライズ管理型キャプチャ）を区別する。
3. ドキュメントに基づく評価： 3つの現代的なプラットフォーム（Apple Intelligence/Foundation Models、Android AICore/Gemini Nano、Microsoft Recall）の公開ドキュメントに対し、4段階の監査ルブリックを適用する。この評価は、実装の検証ではなく、検査可能な公開証拠に焦点を当てる。

主な貢献
本論文は、主に4つの貢献を提供している：

1. OS中心の脅威モデル： コンテキストへのアクセス、メモリ、ツール呼び出し、テレメトリ、フォールバック挙動、およびリリースガバナンスから生じるプライバシーの危害に焦点を当てたモデル。これは、プラットフォームプロバイダーを、そのデフォルト設定や更新プロセスが正当な監査対象となる半信頼的なアクターとして扱う。
2. 6部構成のプライバシーリスク・タクソノミー： ローカルAIがいかにして侵襲的になり得るかを示す、ライフサイクル・シーケンスとしてのリスク：
   • アクセスの拡大： サイロ化されたアプリ間の入力スコープの拡大。
   • コンテキストの組み立てと崩壊： 個人的なコンテキストと職業的なコンテキストの結合による、文脈的完全性（contextual integrity）の侵害。
   • 推論の増幅： 平易な断片から機密性の高い特性を導出すること。
   • 永続性と二次利用： 派生した状態（埋め込み、要約）の保持による、将来の漏洩や転用の可能性。
   • 実行可能な開示： ツールのアクションを通じて、不適切なタイミングや不適切な相手に機密性の高い推論を提示すること。
   • ガバナンスのドリフト： アップデートやポリシー変更によるユーザーの救済手段の喪失。
3. アーキテクチャによるプライバシー（Privacy-by-Architecture）フレームワーク： リスクを強制ポイントにマッピングした階層的なコントロール・フレームワーク：
   • コンテキスト・ブローカー： 取得前に、タスク、感度、およびプロベナンス（由来）に基づいてソースの適格性を決定する。
   • メモリ・マネージャー： 一時的なプロンプトと永続的なメモリを区別し、ソース・リンキングと削除の伝播を強制する。
   • ツールおよびフォールバック・ブローカー： アウトバウンドのアクションとリモート・ルーティングを媒介し、プロベナンスのチェックと、範囲外の開示のブロックを要求する。
   • リリース・ガバナンス： アップデート後の監査ログ、回帰テスト、およびロールバックパスを通じて説明責任を確保する。
4. 4段階の監査ルブリック： ポリシーの記述ではなく、具体的な証拠（例：データフローマップ、コンテキスト・マニフェスト、拒否ログ）に基づいて、プライバシーの主張を評価するためのスコアリングシステム（0: 欠如 ～ 3: 強固）。これは、名目上の主張と運用のコントロールを区別する。

結果
ルブリックをApple、Android、Microsoftのドキュメントに適用した結果、いくつかの重要な知見が得られた：

• ローカリティの主張は境界依存的である： ローカル実行の主張は、狭いアプリ指向のAPI（例：Android AICore）においては最も強力であるが、アンビエント・キャプチャ・システム（例：Microsoft Recall）においては弱まり、そこではローカルストレージが特有の保持およびフォレンジックのリスクを生じさせる。
• 永続的インデックスは新たなサーフェスを生み出す： ローカルインデックス（Recallなど）は、モデルの推論とは異なる、保持、共同利用者へのアクセス、および職場ガバナンスに関するプライバシーの問題を提起する。
• フォールバックの透明性はガバナンス・コントロールである： プライベート・クラウド・コンピューティング（PCC）の報告は存在するものの、強固なスコアを得るには、単なるルーティングログではなく、検査可能なソース・プロベナンスとブロッキング・ルールが必要である。
• 責任のシフト： デベロッパー向けのローカルAPIは、責任をダウンストリームへシフトさせる。プラットフォームの隔離は強力かもしれないが、アプリレベルの目的制限やユーザーの救済手段は、依然として文書化されていないか、あるいは脆弱なままであることが多い。

この比較は、「オンデバイス」はモノリスなアーキテクチャではないことを浮き彫りにしている。異なる機能境界には、異なる証拠とコントロールが必要である。

意義
本論文は、その意義が、OS統合型AIにおけるプライバシーを、技術的なデプロイメント属性からガバナンスの問題へと再定義することにあると主張している。ローカルを「信頼」の代名詞として扱うことは、プライバシーの議論を象徴的なデプロイメント・ロケーションの議論へと収束させ、結果として保護の負担をユーザーに転嫁するリスクがある。

OSをガバナンス・アクターとして扱うことで、本フレームワークは以下のメカニズムを提供する：

• 抽象的なプライバシー原則を、具体的な技術的コントロール（例：コンテキスト・ブローカー、メモリ・マネージャー）へと翻訳する。
• プライバシーの主張を、研究者、規制当局、およびエンタープライズ管理者にとって監査可能かつ異議申し立て可能なものにする。
• アプリケーションが何にアクセスできるか、およびデフォルト設定がいかにユーザー体験を形作るかを構造化する、プラットフォーム・プロバイダーの特有のパワーダイナミクスに対処する。

著者らは、オンデバイスAIにおける真の意味でのプライバシーは、単に計算がどこで行われるかではなく、制約された情報フロー、限定された権限、可視化されたユーザー制御、およびオペレーティングシステムのライフサイクル全体にわたる監査可能なガバナンスに依存していると強調している。本研究は、特定のベンダーの実装を認証するものではなく、概念的かつ評価的なフレームワークとして機能する。