スマートフォンの脳、つまり顔認識や地図のナビゲーションを助ける人工知能が、超高速だが食いしん坊なシェフである世界を想像してみてください。このシェフは、すべての料理を全く同じ方法で作るわけではありません。まず材料を見て、賢く判断します。もしシンプルなプレーン・サンドイッチを渡されたら、エネルギーを節約するために、凝った刻み作業をスキップして素早く提供するかもしれません。しかし、もし複雑で何層にも重なったラザニアを渡されたら、すべてのナイフを取り出し、調理に時間をかける必要があると理解します。この「スマートなシェフ」こそが、画像を見るタイプのAIであるVision Transformer（ViT）です。これらのシェフをより速く、バッテリー消費を少なくするために、エンジニアたちは「トークン・プルーニング（Token Pruning）」と呼ばれるトリックを考案しました。画像を、何千もの小さなタイル（トークン）でできたモザイクだと考えてください。プルーニング・システムは、どのタイルが退屈で重要でないかを判断してそれらを捨て、面白いタイルだけを使って調理します。それは、本の最初の1ページだけを読んで、残りを読む価値があるかどうかを決める司書のようなものです。

しかし、どんなスマートなシステムにも、同様に秘密の弱点があります。もし誰かが、司書を騙して、退屈な本をスリリングなミステリーだと思い込ませることができたらどうでしょう？あるいは、もしシンプルなサンドイッチの上に、目に見えないほど小さなステッカーを貼り付けて、シェフにそれが複雑なご馳로（ご馳走）であると思い込ませることができたら？これが「敵対的攻撃（Adversarial Attacks）」の遊び場です。通常、ハッカーはAIを騙して、猫を犬に見せようとします。しかし、この特定の科学分野では、新しい種類のトラブルメーカーが登場しました。彼らは「何を見ているか」を変えようとするのではなく、「どのように機能するか」を壊そうとし、単純なタスクに対してAIに余計なエネルギーと時間を浪費させようとするのです。それは、メニューを変えるのではなく、シェフを騙して、たった一切れのトーストのために厨房全体を使わせるいたずらっ子のようです。

論文の使命：「エネルギーのいたずらっ子」を見つけること

「Input-adaptive Optimizationを利用したVision Transformerにおける敵対的な効率低下（Adversarial Efficiency Degradacy for Vision Transformer by Exploiting Input-adaptive Optimization）」と題されたこの論文は、これらの新しい「エネルギーのいたずらっ子」を調査するサーベイ（整理された大規模な報告書）です。著者たち（インドとシンガポールの研究者チーム）は、ハッカーがどのように「スマートなシェフ」のトリック（トークン・プルーニングなど）を悪用して、AIモデルに必要以上の負荷をかけ、最終的な答えを変えることなくバッテリーを消耗させ、動作を遅延させているのかを解明しようとしました。

2つの主要ないたずらっ子

論文では、これら2種類のいたずらの違いを比較しながら、2つの具体的な攻撃方法に焦点を当てています。

1. 「ユニバーサル・ステッカー」（SlowFormer）： 世界中のあらゆる写真に貼り付けることができる、小さくて特定のステッカーを想像してください。その写真が猫であれ、車であれ、夕日であれ、その隅にパッチを貼れば、AIの「スマートなプルーニング」システムは混乱します。システムは突然、「おっと、これはすごく複雑そうだ！すべてのタイルを保持して、フルパワーで計算しなければ！」と判断します。論文では、このステッカーは「ユニバーサル敵対的パッチ（Universal Adversarial Patch）」であると説明しています。一度訓練されれば、あらゆるものに対して機能します。それは、建物のすべてのドアにあるスマートなスイッチをジャミングするマスターキーのようなものです。
2. 「パーソナライズされたノイズ」（DeSparsify）： これは異なる種類のトリックです。ステッカーの代わりに、各特定の画像に対して、目に見えないほど微細な静止ノイズを加えます。これは、注文ごとにシェフに秘密をささやくようなものです。「ねえ、このサンドイッチには追加の刻み作業が必要だよ！」と。論文では、この手法は非常に精密であり、AIに本来よりも多くのトークンを保持させるために、各画像に合わせてカスタマイズされていると述べています。

結果：ダメージはどの程度か？

研究者たちは、3つの一般的な「スマート・プルーニング」システム（A-ViT、ATS、AdaViTと呼ばれます）を用いて、標準的な画像データセットでこれらのいたずらをテストしました。結果は以下の通りです（数値は論文の報告通りです）。

• 「ステッカー」攻撃（SlowFormer）： ユニバーサル・パッチを画像に貼り付けると、AIの効率は甚大な打撃を受けました。例えば、A-ViTシステムにおいて、コンピュータの計算量（GFLOPsで測定）は、攻撃がない時の低値である3.70から、一気に4.60まで跳ね上がりました。これは、AIが「スマート」ではない状態と同じ計算量です。この攻撃は非常に成功しており、A-ViTにおいて**100%**の「攻撃成功率（Attack Success Rate）」を達成しました。つまり、効率化のトリックを完全に打ち負かしたのです。ただし、代償もありました。AIの精度は大幅に低下し（**76.5%**の低下）、AIは何を見ているのかについて非常に混乱しました。
• 「ノイズ」攻撃（DeSparsify）： この手法はより巧妙でした。計算量をA-ViTにおいて4.60 GFLOPsまで押し上げましたが、より隠蔽性に優れていました。精度の低下はわずか0.1%でした。AIは依然としてそれが猫であることを認識していましたが、それを認識するためにバッテリーを激しく消耗していました。ATSシステムにおいて、この攻撃は計算量を4.20 GFLOPsまで引き上げ、攻撃成功率は**73.3%**でした。

論文は、「ステッカー」は強力ですが、「ノイズ」攻撃の方が実生活ではより危険である可能性があると示唆しています。なぜなら、ノイズ攻撃はAIの認識能力を壊さないため、気づかれにくいからです。

カウンター・ムーブ：彼らを止めることはできるか？

著者らは、これらのいたずみに対する防御策についても調査しました。完璧な盾はまだ存在しないことが分かりましたが、いくつかの有望なアイデアが見つかりました。

• AIにトラブルを予期させる（敵対的訓練 / Adversarial Training）： 「ステッカー」攻撃に対して、論文はこれらの悪いステッカーのプールを用いてAIを訓練することを提案しています。これは、安全な部屋でシミュレーションを行うことで、嵐に備えて練習することに似ています。これを行った結果、A-ViTにおけるステッカーの攻撃成功率は、**100%から34%**へと低下しました。AIはより強靭になりましたが、無敵になったわけではありません。
• 「自信のチェック」（信頼度に基づく防御 / Confidence-based Defense）： 「ノイズ」攻撃に対して、研究者たちはAIが自身の自信度をチェックするというルールを提案しました。もしAIが自分の判断が不安定だと感じたら、より多くのトークンを保持するように強制し、自信がある場合は予定通りの計画に従います。これは驚くほど効果的でした。ATSシステムにおいて、この防御策により、攻撃成功率は**73.5%からわずか5.3%**へと低下しました。

限界と未来

論文は、これらの防御策が魔法の杖ではないことを慎重に指摘しています。これらの手法はダメージを軽減してはいるものの、元の速度やバッテリー寿命を完全には回復させないことを示唆しています。また、現在の攻撃には大きな弱点があることも強調しています。

1. 内部知識が必要： ほとんどのいたずみは、ハッカーが「スマートなプルーニング」システムの仕組みを正確に知っている場合にのみ機能します。もしシステムが「ブラックボックス（中身が見えない状態）」であれば、攻撃は失敗する可能性があります。
2. 転移性が低い： あるタイプのプルーニング・システム（ATSなど）のために設計されたいたずみは、別のシステム（A-ViTなど）には通用しないことが多いです。
3. 「スマート」なシステムにのみ有効： これらの攻撃は、画像の内容に関わらず常に一定の計算量を行う、古い「非スマートな」AIシステムには作用しません。

結論として、この論文は新しいセキュリティリスクの領域を明らかにしています。画像に応じてステップをスキップすることで、AIをよりスマートかつ効率的にしようとすると、図らずもハッカーがAIを空回りさせるための新しい方法を与えてしまうことを示しています。著者らは、たとえ私たちがより良い「フェンス（防御策）」を築けたとしても、将来のAIがスマートかつ安全であり続けるために、これらの「エネルギーのいたずらっ子」の研究を続けていく必要があると述べています。