🤖 AI

Neuro-Agentic Control: A Deep Learning-based LLM-Powered Agentic AI Framework for Controlling Security Controls

本論文は、LLMベースのプランナー、時系列基盤モデル、および反事実的物理注入メカニズムを組み合わせることで、産業用IoT環境におけるサイバー攻撃に対する、安全で物理に根ざした自律的な防御を可能にし、侵害を効果的に防ぎつつ、安全でない幻覚によるアクションを排除するニューロ・エージェンティック・コントロール・フレームワークを紹介するものである。

原著者： Saroj Gopali, Bipin Chhetri, Deepika Giri, Sima Siami-Namini, Akbar Siami Namin

公開日 2026-07-13

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Saroj Gopali, Bipin Chhetri, Deepika Giri, Sima Siami-Namini, Akbar Siami Namin

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたは、ハイテクな水処理プラントのキャプテンになったと想像してください。あなたの仕事は、巨大なタンクが溢れないように管理することです。溢れてしまうと、大惨事になったり物理的な損傷を与えたりする可能性があります。通常、あなたは「水位が800mmに達したら排水口を開ける」という厳格なルールブックに従っています。しかし、もし巧妙なハッカーがセンサーを操作し、ルールブックが対応できるよりも速いスピードで水位が上昇したらどうなるでしょうか？

ここで、「ニューロ・エージェンティック・コントロール（Neuro-Agentic Control）」と呼ばれる新しいアイデアが登場します。これは、二体のロボットが協力して危機を救う、超スマートなチームのようなものです。

ドリームチーム：設計者（アーキテクト）と監視者（センチネル）

一人目のロボットは「設計者（アーキテクト）」です。これは超スマートなAIの脳（具体的にはGemini 2.5 Flash-Liteというモデル）を搭載しています。設計者は状況を読み取り、巧妙な計画を立てるのが得意です。例えば、「おい、水位が上がっているぞ！30秒間、排水バルブを猛スピードで開けよう！」といった具合です。

しかし、ここには落とし穴があります。設計者は少し「空想好き」なのです。時にはあまりに独創的になりすぎて、物理的に不可能だったり危険だったりする提案をしてしまうことがあります。例えば、すでに満タンの状態なのに「水を追加しろ！」と言うようなことです。現実の世界で、もし空想好きの存在に機械を制御させてしまったら、災難に見舞われるでしょう。

二人目のロボブルは「監視者（センチネル）」です。こちらは、真面目で妥協を許さない、タイムトラベルができる計算機（TimesFMというモデルによるもの）です。監視者は空想しません。予測するのです。監視者は、物理学と数学に基づいて水がどのように振る舞うかを正確に把握しています。

魔法の手法：「もしも？」のシミュレーション

このシステムの天才的な点は、二人がどのように対話するかという仕組みにあります。設計者の計画が実際のタンクに対して実行される前に、監視者が「もしも？」のシミュレーションを実行します。

例えば、設計者が「毎秒50mmずつ排水しよう」と提案したとします。監視者は瞬時に時間を止めて問いかけます。「よし、もしそれを実行したら、数分後の水位はどうなる？」

もし計画が成功する場合： 監視者は水位が安全に下がっていく様子を確認します。そして、ゴーサインを出し、実際のバルブが開きます。
もし計画が「幻覚（ハルシネーション）」である場合： もし設計者が誤って「水を追加する」と言ったり、ありえない排水レートを提案したりした場合、監視者はシミュレーションの中で水位が急上昇するのを見つけます。そして即座にブレーキをかけ、「ダメだ、それは悪いアイデアだ」と言って、その計画をゴミ箱に投げ捨てます。

このプロセスは「反事実的物理注入（Counterfactual Physics Injection）」と呼ばれます。これは、空想好きがミスを犯す前に捕まえるためのセーフティネットのようなものです。

本当にうまくいったのか？

研究者たちは、このチームを「SWaT」と呼ばれる、実際の水処理プラントのデジタル版でテストしました。ここでは、水位の急上昇、緩やかな漏水、ノイズの多い混乱したデータなど、15種類の攻撃シナリオをシミュレートしました。

このチームは、従来の古いタイプのロボット（LSTMおよびTCNと呼ばれます）と比較して、どのような成績を収めたのでしょうか？

古いロボットたち： LSTMロボットは、15回の試行のうち4回（約27%）でオーバーフローを防ぐことができました。TCNロボットは、15回のうち2回（約13%）しか防げませんでした。
新しいチーム： ニューロ・エージェンティック・チーム（設計者＋監視者）は、15回の試行のうち5回（33.3%）でオーバーフローを防ぐことに成功しました。

しかし、本当の勝利は、単に多くの漏水を防いだことだけではありませんでした。それは、一度もミスを犯さなかったことです。15回の試行すべてにおいて、このシステムは設計者が提案した不安全または不可能なアイデアをすべて拒否しました。設計者の「幻覚」による行動を実行してしまうことは一度もありませんでした。実際、ある特定の試行では、この新しいチームはリスクを215.38ユニットも減少させました。これは、従来のロボットが達成できた最高値（わずか67ユニット）を大きく上回る成果でした。

課題：考えるための時間が必要

一つだけ小さなトレードオフがあります。監視者が計画が安全かどうかを確認するために「もしも？」のシミュレーションを実行しなければならないため、プロセス全体に少し時間がかかります。意思決定には約1.5秒から2.5秒を要します。

水タンクであれば、これは十分な速さです。しかし、電光石火で動くロボットアームにとっては、これでは遅すぎるかもしれません。著者らは、これは安全のための良い取引であると示唆していますが、将来的に他の種類の機械にも対応できるよう、より高速化する必要があることも認めています。

まとめ

この論文は、厳格な「番犬」となる物理学を知る存在と組み合わせれば、超スマートでクリエイティブなAIを使って危険な機械を制御できることを示しています。「設計者」がアイデアを出し、「監視者」が数学的なチェックを行って、それがプラントを爆発させないことを確認します。これらのシミュレーションにおいて、このチームは従来の方式よりも災害を防ぐ能力が高く、かつ安全でした。これは、少しの「空想」であっても、現実をしっかりと捉えさせる「真面目な友人」がいれば、問題ではないことを証明しています。

技術要約：産業用IoTセキュリティのためのニューロ・エージェンティック制御フレームワーク

1. 問題提起

運用技術（OT）および産業用モノのインターネット（IIoT）システムに対するサイバー攻撃は、深刻な金銭的損失と物理的安全リスクをますます引き起こしている。従来のルールベースの監視では、現代の産業展開における複雑で高密度な環境には不十分である。大規模言語モデル（LLM）は強力な意味論的推論能力を提供し、意思決定支援に寄 возможности を持つ一方で、その「ハルシネーション（事実に基づかない、あるいは物理的に不可能な出力を生成すること）」の傾向は、クローズドループ制御システムにおいて容認できない安全上の責任を伴う。対照的に、既存の時系列予測モデルは、複雑な対抗戦略を策定するために必要な意味論的推論能力を欠いていることが多い。したがって、LLMの推論能力を活用しつつ、その行動を物理的現実に厳格に接地（グラウンディング）させ、サイバー物理システム（CPS）における壊滅的な失敗を防ぐためのフレームワークが切実に求められている。

2. 手法

本論文では、意味論的推論と物理的制御を分離する2段階のアーキテクチャであるニューロ・エージェンティック制御フレームワークを提案する。このシステムは、以下の2つの主要なエージェントからなるクローズドループとして機能する。

アーキテクト（LLMプランナー）： Gemini 2.5 Flash-Liteを利用し、意味論的推論器として機能する。このエージェントは、コンテキストデータ（センサーの傾向、故障予測時間、および検索拡張生成（RAG）を介して取得された運用マニュアル）を受け取り、候補となる制御戦略を生成する。これらの戦略は、アクションタイプ、大きさ（例：排出率）、および持続時間を定義する構造化されたJSONオブジェクトとして出力される。
センチネル（物理エンジン）： TimesFM（学習済み時系列基盤モデル）を利用し、決定論的な物理的真実（グラウンドトゥルース）として機能する。このエージェントは内部の重みを更新することはないが、その事前学習された知識を用いて、将来のシステムの動態を予測する。

コアメカニズム：反事実的物理注入（Counterfactual Physics Injection）

中心となる革新技術は、反事実的物理注入メカニズムである。LLMは基盤モデルの重みを直接変更することはできないため、本フレームワークはLLMによる意味論的なコマンドを、予測される時系列内の数値的な摂動へと変換する。

システムは、LLMが提案したアクション（例：排水バルブを開く）の効果をシミュレートするために、予測ホライゾンに対して累積的な線形注入を適用する。
排出率 $\mu$ $μ$ および持続時間 $\delta$ $δ$ の場合、修正された予測 $\hat{y}'_t$ $\overset{y}{^}_{t}^{'}$ は以下のように計算される：
- $t < \delta$ の場合： $\hat{y}'_t = \hat{y}_t + \mu \cdot (t + 1)$ （累積的な排出効果）。
- $t \geq \delta$ の場合： $\hat{y}'_t = \hat{y}_t + \mu \cdot \delta$ （最終的な排出レベルの維持）。
これにより、センチネルは提案されたアクションを実行する前に、その物理的な結果を予測することが可能になる。

ハルシネーション拒絶戦略

本フレームワークは、決定論的なハルシネーション拒絶アルゴリズムを採用している。アクションが実行される前に、センチネルは提案されたすべての候補戦略の効果をシミュレートする。

安全性検証： シミュレートされたアクションが、ベースラインよりも悪いシステム状態（例：オーバーフローのシナリオ中に正の大きさを持つ「充填」アクションを行う、あるいはレベルを臨界閾値以下に下げることに失敗するなど）をもたらす場合、そのアクションは拒絶される。
最適化： システムは、すべての有効な候補の中で、投影されたリスク（最大ピークレベル）を最小化する最適なアクション $a^*$ を選択する。すべての候補が安全でないか、あるいは効果がない場合、システムは「監視（Monitor）」状態にデフォルトで移行する。

3. 主な貢献

斬新なアーキテクチャ： IoTシステム向けに、意味論的推論（LLM）と物理的制御（基盤モデル）を明示的に分離するニューロ・エージェンティック制御フレームワーク。
反事実的物理注入： 基盤モデルのファインチューニングを行うことなく、決定論的な検証を可能にするために、意味論的な制御アクションを時系列予測の数値的な摂動へと変換するメカニズム。
決定論的拒絶戦略： 最悪のケースのリスク最小化に基づく安全性レイヤーであり、安全でない、物理的に無効な、またはハルシネーションを含むLLMの提案を自動的に拒絶する。
実証的検証： SWaT（Secure Water Treatment）データセットを用いたフレームワークの有効性の実証。従来のディープラーニングのベースラインと比較して、優れた侵害防止能力を示した。

4. 実験結果

本フレームワークは、3種類の攻撃（突然のスパイク、緩やかなドリフト、高ノイズ）を含む15の確率的攻撃シナリオの下で、SWaTデータセットを用いて評価された。性能は、LSTMおよび**Temporal Convolutional Network (TCN)**のベースラインと比較された。

侵害防止：
- ニューロ・エージェンティック： 15回の試行のうち**5回（33.3%）**で侵害を防止。
- LSTM： 15回の試行のうち**4回（26.7%）**で侵害を防止。
- TCN： 15回の試行のうち**2回（13.3%）**で侵害を防止。
リスク低減：
- ニューロ・エージェンティック・フレームワークは、平均48.51ユニットのリスク低減を達成し、LSTM（16.77ユニット）およびTCN（20.29ユニット）を大幅に上回った。
- 最も成功した試行（試行10）では、フレームワークはリスクのピークを215.38ユニット減少させ、これはLSTMベースラインが達成した最大減少量の3倍以上に相当する。
安全性とハルシネーション：
- 極めて重要な点として、ニューロ・エージェンティック・システムは、ハルシネーションや物理的に無効なアクションを一度も実行しなかった。センチネルは、実行前にすべての不安全な提案（例：オーバーフロー中の正の大きさのアクション）を正常にフィルタリングした。
- 対照的に、ベースラインは侵害の防止に失敗するか、あるいはニューロ・エージェンティック・システムの拒絶メカニズムによって、ハルシネーションを含む戦略がシステムに適用されることが確実に阻止された。

5. 意義と主張

本論文は、ニューロ・エージェンティック・ループが、生成AIの高レベルな推論と、産業制御の厳格な安全性要件との間の溝を埋めることに成功したと主張している。時系列基盤モデルを「センチネル」として利用することで、システムはLLMの決定を決定論的に検証する物理に接地したワールドモデルを提供する。

安全性保証： 本フレームワークは、LLMを不透明で確率的な予測器から、説明可能で安全性が制約されたプランナーへと変貌させる。これにより、ハルシネーションを含む制御アクションが実行されないことを保証し、サイバー物理システムにおけるLLM利用の主要な障壁に対処している。
パフォーマンス： 本システムは、LLMを基盤モデルと結合させることで、特に迅速かつ決定的な介入（例：突然のスパイク）を必要とするシナリオにおいて、従来のディープラーニングモデルよりも優れた侵害防止とリスク低減を実現することを示している。
トレードオフ： 著者らは、このアプローチが（LLMの生成と反事実的シミュレーションにより）制御サイクルあたり1.5〜2.5秒の推論レイテンシを導入することを認めている。これは従来のPIDコントローラよりは高いが、ほとんどの化学および流体プロセスにおける運用時定数の範囲内に収まっている。

本論文は、このアーキテクチャが、レイテンシが管理され、多様な環境で検証される限り、自律的で安全な産業防御への実行可能な道筋を提供すると結論付けている。今後の課題として、モデルの量子化による推論レイテンシの最適化や、基盤モデルの予測ホライゾンを標的とした敵対的攻撃に対する堅牢性のテストが提案されている。