ロボットの安全ロジックは完璧に実行されても、それに供給されるデータが虚偽であれば危害を引き起こす可能性がある。VicOne LAB R7が引用する研究によれば、操作された入力——カメラ視野内のパッチ、Gemma駆動ロボット犬がコマンドとして読み取るポスター上のテキスト、Jetson上のNemotronサービスロボットを動かす不可聴オーディオ、あるいは注入されたROS 2/DDSメッセージ——は、割り当てられたタスクに触れることなく動作を変更できる。安全機能は動作している。入力が嘘をついているのだ。

ここでの戦略的転換は微妙だが大きい。古典的な機能安全は確率に基づいて構築されている:ランダムな故障はまれであり、冗長センサーは同時故障を起こりにくくする。意図的な操作はその数学を崩壊させる。攻撃者は瞬間を選び、トリガーを繰り返し、1つの物理チャネルを通じて複数のセンサーを標的にできるため、書類上は安心に見える冗長性もほとんど実際の保護を提供しない。ロボットがビジョン・言語・アクションやLLMスタイルのモデルを実行する機会が増えるにつれ、周囲の環境自体がプログラム可能な入力となる——「世界を感知すること」と「世界から指示されること」の境界が曖昧になる。エンボディドAIの評価額が急騰する中、業界は敵対的堅牢性を拡張するよりはるかに速く能力を拡張しており、後に物理世界での事故として表面化するセキュリティ負債を蓄積している。

日本にとって、これは中核的な産業力に直撃する。同国の経済は工場自動化、協働アーム、そして高齢化社会における労働力不足を補うために配備される増加中のサービスおよび介護ロボット群に大きく依存している。この集中こそが、露出を深刻にする要因である:病院や倉庫のフロアで操作された距離測定値や偽装された停止信号は、抽象的なCVEではなく人々を巻き込む安全イベントである。これらのシステムを統合するSIerは、これまでほとんど担ったことのない責任を今や負っている——ROS 2/DDSバス、センサーファームウェア、モデル入力チャネルを単なるIT境界ではなく安全ケースの一部として扱うことである。

この並行性はソフトウェアロボットにも及ぶ。RPAボットは協働ロボットが停止信号に従うのと同様に文字通り指示に従う。エージェント型自動化に対するプロンプトインジェクションは、ポスターテキスト攻撃のデジタル版いとこである。日本の開発および統合チームは、敵対的テストを受入基準に組み込み、安全クリティカルな信号に対する独立検証チャネルを要求し、保護システムが自力で危険を検知するのか、それとも同じ破損可能なフィードを単に信頼するだけなのかをベンダーに問うべきである。意図的な操作を無視する安全認証はもはや十分ではなく、敵対的レジリエンスを調達要件とするバイヤーが他者が従う基準を設定することになるだろう。