Physical AIのセキュリティ：ロボットとIoTデバイスをサイバー攻撃から守る

ロボットへのコマンドは、Bluetooth、保守ポート、コンパニオンアプリ、AIプランナーなど、さまざまな経路から届きます。Physical AIのセキュリティは、ロボットのサイバーセキュリティとIoTセキュリティを「動く権限」まで広げ、その信頼が崩れたときの結果まで扱います。

ハードウェア 、エレクトロニクス 、RTOS の各ガイドではアーキテクチャを扱いました。この記事ではセキュリティに絞ります。

1. デジタルの失敗が物理的な結果になるとき

おもちゃの人形の上でナイフを持つロボットを想像すると、リスクが具体的になります。危険な意図が動作になったら何が起きるのか。 RoboHarmの2026年9月の研究 は、5つのタスクを300回試行し、3つのポリシーを検証しました。映像は管理された研究環境を示すもので、報告された負傷事故ではありません。

研究を映像で見る RoboHarm · 2026年9月

元の比較映像を見る ↗動画 · 新しいタブで開きます

実行に失敗したことと、安全上の理由で拒否したことは別です。能力が高いほど、害が大きくなる場合もあります。固定されたタスクで得た結果を、集団全体の事故率とみなすことはできません。

Waymoの混乱 では、2025年7月のいたずらが同年10月に報じられ、協調した予約によってサンフランシスコの1つの通りに約50台のロボタクシーが集まりました。有効なリクエストが渋滞につながったもので、報道が確認したのはサービスの悪用であり、操舵系の侵害ではありません。

2. IoTセキュリティ：デバイス、ネットワーク、クラウドへの攻撃

ローカル展開：Bluetooth、Ethernet、物理アクセス

カスタムロボット統合 では、ローカル展開によって推論と制御をオンプレミスに置きます。プライベートLANとBluetoothは、引き続き侵入経路になり得ます。エアギャップは外部ネットワークの経路を遮断しますが、保守作業でファイルを持ち込むことはできます。

ZHAWの2026年3月のオフラインロボット研究 は、Bluetoothのセットアップ、接続可能なEthernet、初期パスワードを指摘しています。使っていないインターフェースでも、到達できる可能性があります。

オフラインのアクセス経路

インターネットから隔離してもローカルの経路は残る

01保守用ノートPC

イーサネット→SSH／診断

02近距離Bluetooth

無線→設定サービス

インターネット隔離ネットワークロボット＋プライベートLAN

直接のインターネット経路なしローカルインターフェースは露出し得る

03連携スマートフォン

ローカル接続→アプリ → インターネット

アプリの条件付き中継

04USB／デバッグ

メディアの完全性·デバッグ権限

サービスへのアクセス

1. 機器ごとの認証情報
2. コマンドの認可
3. ローカル制御

Ethernetは、待ち受け中のSSHや診断サービスへ到達する経路になります。共有された初期パスワードが残っていれば、別々の設置環境でも、1つの既知の秘密で認証できてしまいます。

Canonicalのハードニングガイド は、露出と権限を分けて考えます。コンパニオンスマートフォンの認証情報や携帯回線は、アプリの権限によっては中継を許します。

Ruby Jumperの2026年2月の分析 は、エアギャップを越えてリムーバブルメディアで中継する手法を説明しています。このマルウェア研究はコンピューターを対象にしたもので、ロボットの事故報告ではありません。ただし、実行ファイルを取り込めば、信頼境界を越えることになります。

Bluetoothプロビジョニングによるコマンドインジェクション

Bluetoothのセキュリティには、リンクの保護とアプリケーション権限の両方が含まれます。BLEの**Generic Attribute Profile（GATT）**は、読み取りまたは書き込み可能なCharacteristicを含むサービスを定義します。プロビジョニングでWi-Fi設定を受け付ける場合、暗号化は転送中の保護を担い、認可は誰が変更できるかを決めます。BlueZのGATT API は、暗号化済み書き込み、認証済み書き込み、認可の違いを定義しています。

UniPwnの2025年9月の研究 は、近距離無線からこのアプリケーション上の欠陥を実証しました。インターネット接続は不要でした。現在のパッチ適用範囲は別途確認が必要です。

Bluetooth、クラウド、root権限を連鎖させる

UniBLEedの2026年8月の開示 は、Bluetooth、クラウド所有権、オンボードソフトウェアの弱点を連鎖させ、検証対象のUnitree G1ロボットでroot実行に至る経路を示しました。クラウド側の対策と、その後にベンダーが報告したファームウェア修正も記録されています。境界を1つ越えるたびに、追加の権限が与えられました。

デバイスごとの認証情報は、漏えいした秘密の影響範囲を限定します。プロセス分離、最小権限、狭い設定APIは、侵害されたデーモンの権限をrootシェルより小さく抑えます。

MQTTとROS 2の認可

MQTT は、ブローカーを通じてパブリッシュとサブスクライブを中継します。TLSは接続を保護し、認証は主体を識別します。ブローカーの認可ポリシーが、その主体をデバイス、トピック、操作に結び付けます。

範囲の広すぎるワイルドカード購読は、複数のデバイスを露出させます。所有者が変わるときは、権限の有効期限または失効が必要です。配信保証があっても、動作権限が与えられるわけではありません。

2026年2月のDJI Romo調査 は、数千台の掃除機にまたがるMQTTデータへのアクセスを報じ、記者が別の所有者のフロアマップを検証しました。DJIはサーバー側の修正を報告しました。デバイス間の権限が、プライバシーと制御の両方に影響しました。

ROS 2のセキュリティ は、DDS-Securityによって証明書IDを署名済みのトピック・操作権限に結び付けます。署名済みのガバナンスがドメイン保護を定義し、Enclaveがこのコンテキストをまとめます。ROS 2を使うだけで、これらの制約が成立するわけではありません。

ファームウェアの完全性：セキュアブートと署名付き更新

Espressifのセキュアブート とOTAドキュメント は、保護されたeFuseビットでセキュリティバージョンの下限を強制する仕組みを示しています。これはリリースラベルとは別の値です。復旧時のロールバックには、条件を満たすイメージが必要です。

冷凍設備コントローラーへのリモートアクセス

2026年10月、CERT-FRは冷凍設備コントローラーの侵害を確認しました 。Reutersの報道は食品廃棄と火災を伝えています 。AIの関与は確認されていません。この事例は、通常のデバイス管理権限が物理プロセスまで届くことを示します。

ネットワーク分割は到達可能な範囲を制限し、アプリケーション権限は操作を制限し、ローカル制約はコマンドを制限します。VPNが過剰な権限を持つIDを通してしまうこともあります。

3. AI入力、モデル完全性、動作する権限

ロボットの観測を通じたプロンプトインジェクション

プロンプトインジェクション は、信頼度の低い観測にロボットのタスクを変更する権限を与えることがあります。認識への攻撃は世界の推定を変え、危険な直接要求は正しく理解されたままでも危険です。

RoboPAIRの2024年10月の研究 は、LLM制御ロボットへの敵対的プロンプトを実証しました。RoboHarmと同様に、モデルの拒否挙動とシステムセキュリティを分けて扱っています。

モデルの出所と隠れたバックドア

重み、アダプター、設定が推論アーティファクトを定義します。チェックサムは参照バイト列との一致を確認し、署名付きマニフェストは承認者を示します。どちらも、振る舞いの安全性を証明するものではありません。

VillainNet は2025年に発表され、Georgia Techが2026年1月に紹介 しました。選択されたSuperNetサブネットワークにバックドアを埋め込む研究です。交通標識分類の実験は、実車の乗っ取りを実証したものではありません。

AIプランと動作の間の認可

型付きリクエストは、操作、フィールド型、単位を制約します。認可は検証済みの呼び出し元をデバイスに結び付け、オブジェクトと座標系のバージョンはリクエストを現在の状態に結び付けます。

{
  "action": "pick",
  "device": "arm-17",
  "object": "part-42",
  "frame": "fixture-v6",
  "sequence": 481,
  "issued_at_ms": 420000,
  "deadline_ms": 420120
}

独立したワークスペース、速度、力、温度の上限は、侵害されたプランナーを制約します。効果は実装、失敗時の挙動、運用範囲に左右されます。

リプレイ攻撃、コマンドの有効期限、シーンの変化

シーンが変わっても署名は残ります。シーケンスチェックはリプレイ攻撃に対応し、有効期限は古さを制限し、現在状態の検証は有効期限内に起きた変化を扱います。

署名またはメッセージ認証コードは、ペイロードに加え、対象、シーケンス番号、期限を結び付け、すり替えを防ぎます。コントローラーは認証済みセッションごとに使用済みのシーケンス番号を記録し、再起動後もその記録を維持します。また、定義済みのクロックドメインを使います。実行直前の検証は、チェックと使用の間の時間差を縮め、監視は動作中の変化を扱います。

接続が失われたときのローカル応答は定義しておく必要があります。RTOSのスケジューリング だけで、コマンドの権限を決めることはできません。

ポーランドのエネルギー攻撃に見る物理プロセスの制約

CERT Polskaの2026年8月の追跡報告 は、2025年12月の攻撃で蒸気タービンとプロセス水システムが停止した一方、運用者が熱供給を維持したと説明しています。設定ミスのあるプライベートAPNが横方向のアクセスを可能にしました。AIの関与は確認されていません。

4. 防御、侵入テスト、復旧

セキュリティのハードニングとパッチ検証

2026年9月のアーキテクチャレビュー と身体性AIのサーベイ は、デバイス、ネットワーク、モデル、動作の境界を横断する防御を整理しています。ハードニングは到達可能なサービスと、そこから利用できる権限の両方を減らします。

NISTのパッチガイダンス には運用テストが含まれます。実行中のバージョンをベンダーのアドバイザリと照合し、以前失敗したテストを繰り返して確認します。インストールが成功しただけでは不十分です。

不正アクセスと設定変更の検知

これらの制御は、承認済みのピア、サービス、設定ハッシュの基準を定義します。2026年9月のGo2 Proフォレンジック研究 は、ロボット、コンパニオンアプリ、ネットワークの記録を相関させています。新しいピアだけでは弱い証拠ですが、そのセッションに続いて未承認の設定変更が起きれば、より有力です。

検知にも死角があります。ICRA 2026の研究 は、センサーの偏りによって予測誤差アラームを回避できることを示しています。対策として、独立した予測器の判断に基づいて制御の強さを抑えます。マニピュレーターのシミュレーションで示された特定の防御であり、あらゆる状況に有効な安全策ではありません。

IoTの侵入テストとロボット評価

2026年のロボットテスト論文 は、ROS/ROS 2の実験室で攻撃経路を追跡します。RoboMD は、操作ポリシーの堅牢性を検証します。どちらも、展開環境に固有の検証の代わりにはなりません。

Nmap は基本的なサービス棚卸しに使えます。到達できることだけで、脆弱性の証拠にはなりません。

scan le
devices
scan off
connect AA:BB:CC:DD:EE:FF
menu gatt
list-attributes

tshark -r robot-lab.pcapng \
  -Y 'btatt || mqtt || rtps'

mosquitto_sub -h broker.lab.example -p 8883 \
  --cafile ca.pem --cert device-a.pem \
  --key device-a.key -V mqttv5 \
  -t 'lab/device-b/telemetry' -d -E

binwalk firmware.bin

export ROS_SECURITY_KEYSTORE="$PWD/demo_keystore"
export ROS_SECURITY_ENABLE=true
export ROS_SECURITY_STRATEGY=Enforce
ros2 run demo_nodes_cpp listener --ros-args \
  --enclave /talker_listener/listener

探索は露出を特定し、否定テストは境界が機能しているかを確認します。

侵害後のインシデント対応と復旧

CISAの2026年7月のPLC報告 は、パスワードとIPアドレスの変更によって水処理を妨害した事例を説明し、文書化されていない携帯モデムが露出を増やしたとしています。このOT事例は、復旧時に接続性と設定の両方を確認する必要があることを示します。

NISTのバックアップガイド は、ロジック、設定、ファームウェア、復元テストを扱います。ロボットの復旧には、検証済みのモデルとキャリブレーションも必要です。信頼できる再構築は根本原因を修正した後に行い、バックアップのハッシュは侵害されていない参照値と比較します。

パスワードをローテーションしても、独立したアクセス経路が有効なまま残ることがあります。Bluetoothのボンド とアプリトークン は、セッションや侵害されたキーと同様に個別に失効させる必要があります。古いアクセスが拒否されること、インターロックが復旧していること、監視下の試運転を確認して、サービス復帰の根拠を作ります。

5. ロボットのライフサイクル全体でセキュリティを維持する

ロボットの概念実証 は、最初の範囲を定めます。ソフトウェア更新、新しい運用者、所有権の変更によって、アクセス経路が再び開くことがあります。

イベント記録があれば、どのソフトウェアが動き、誰がコマンドを発行し、機械が何をしたかを追跡できます。カメラ映像、フロアマップ、活動パターンにも、アクセス範囲と保存期間の制約が必要です。

NISTのデバイス基準 は、ID、設定、データ、インターフェース、更新、セキュリティ状態の認識を扱います。2026年のメーカー向けガイダンス は、これらの能力をライフサイクルの責任に結び付けています。

**Physical AIのセキュリティは、機械を運用する仕事の一部です。**権限を最新に保ち、予期しない挙動を調査し、運用者が検証できる状態まで復旧することが必要です。