Northeastern 大学の研究者らは ROBBIN という技術を説明している。これは特定の DRAM チップのビット反転挙動をフィンガープリントし、Rowhammer を使用してモデルが推論を実行している最中にバックドアを注入する手法だ。戦略的なポイントは、エクスプロイト自体ではなく、それが到達する場所にある。つまり、ほとんどの AI セキュリティプログラムが防御するソフトウェアラインの下層だ。
今日のエンタープライズ AI 制御のほぼすべては、ロードされたモデルの重みが信頼できることを前提としている。ガードレール、プロンプトフィルタリング、評価、サプライチェーンスキャニングはすべてソフトウェア層で動作する。実行時にメモリ内の重みを破壊する物理的な障害注入経路は、これらすべてを回避する。これにより、共有またはマルチテナント・インフラストラクチャ上で推論を実行している人々の脅威モデルが再構築される。なぜなら、Rowhammer はクラウド DRAM におけるテナント間の脅威として長らく実証されてきたからだ。同居しているワークロードが隣接するモデルのビットを操作できるなら、良性のデプロイメントと侵害されたデプロイメントの境界は、ポリシー設定ではなくハードウェア特性となる。
短期的なビジネス上の影響として、モデルの完全性がインフラストラクチャ調達の問題となる。購入者は、コンプライアンスのチェックボックスを信頼するのではなく、推論プロバイダーが実際に使用している DRAM エラー訂正、行リフレッシュ緩和策、テナント分離について問う必要性が高まるだろう。これにより、専用キャパシティとコンフィデンシャル・コンピューティング・エンクレーブへのプレミアムが増し、ハードウェアに裏付けられたアテステーションに明確な商業的存在理由が与えられることが予想される。
日本企業と彼らにサービスを提供する SI ベンダーにとって、露出度が集中するのはオンプレミスとプライベートクラウド AI だ。これは金融、製造、政府業務において、ここでは依然としてデフォルトの姿勢である。典型的な日本の統合パターンは、基盤モデルを広範なアプリケーション層制御で包み込む一方で、サーバー、メモリ、ハイパーバイザーをベンダーが提供する信頼されたブラックボックスとして扱う。ROBBIN クラスの研究はこの前提を覆す。規制対象の AI システムを構築する SI ベンダーは、メモリレベルの完全性を成果物の一部として扱い始めるべきだ。つまり、ECC グレードのハードウェアを指定し、推論ワークロードを信頼できない同居テナントから分離し、ロードされた重みがクリーンなままであると仮定するのではなく、実行時の重み検証またはハッシュ化を追加することだ。
また、注目に値する国内的な視点もある。日本の主権 AI インフラストラクチャへの推進とメモリ製造における強みは、ハードウェアレベルのモデル完全性が単なるコストではなく差別化要因となる可能性を意味する。物理的改ざんに対する推論を信頼性を持って認証できるチームは、規制当局が要件を正式化するはるか前に、リスク回避志向の日本の購入者に説得力のあるストーリーを語ることができるだろう。
