OTセキュリティ：AI搭載ロボットの新たな攻撃対象領域

ヒューマノイドロボットには、Wi-Fi、カメラ、オンボードコンピューティング、無線によるソフトウェア更新など、企業での利用を想定したコンポーネントが搭載されている。しかし、その動作は従来のITデバイスよりも、オペレーショナルテクノロジー（OT）システムに近い。物理世界と相互作用し、厳しい遅延制約の下で動作するため、問題が発生すれば現実の被害を引き起こす可能性がある。

この融合は、もはや理論上の話ではない。現代のヒューマノイドロボットは、ソフトウェアエージェントや人間のオペレーターから高度な指示を受けることで、環境内を移動し、物体を操作し、タスクを実行できる。

セキュリティチームにとって、これは新たな種類のサイバーフィジカルなエンドポイントが企業環境に入り込むことを意味する。

こうしたシステムが、バグや設定ミス、侵害によって機能不全に陥れば、その影響はデータ損失にとどまらず、物理的な安全や業務の中断にまで及ぶ可能性がある。

この変化は、ヒューマノイドロボットと従来の企業向けエンドポイントとの重要な違いを浮き彫りにしている。

ステップ1：ヒューマノイドをOTシステムとして扱う

セキュリティチームはまず、ヒューマノイドロボットを従来型のエンドポイントではなく、オペレーショナルテクノロジーのデバイスとして分類すべきだ。

NISTのオペレーショナルテクノロジー・セキュリティに関するガイダンスは、OTを、物理環境と相互作用しながら、信頼性、安全性、性能の保証を必要とするプログラム可能なシステムと定義している。モバイルロボットはこの定義に当てはまる。

同様に、ISA/IEC 62443規格は、産業オートメーションおよび制御システム（IACS）のセキュリティ要件を定めている。ロボットが工場、倉庫、物流施設内でタスクを実行するようになると、ロボットは実質的に、こうした制御環境内のモバイルコンポーネントとなる。

この区別が重要なのは、従来のエンドポイントセキュリティツールの多くが、システムはスキャンやパッチ適用、遅延に耐えられると想定しているためだ。可用性と物理的安全性が重要な環境では、こうした前提は成り立たない。

ステップ2：エージェント層を新たな権限境界として認識する

現代のロボット工学のアーキテクチャは、複数層からなる自律システムにますます依存している。

最下層では、リアルタイム制御システムがモーター、バランス、物理的な動きを管理する。その上には、ドアを開けたり物体を持ち上げたりする個別の能力を担う「スキル」層がある。

第3の層は、しばしばエージェント層または計画層と呼ばれ、高度な指示や環境からの入力に基づいてタスクを統括する。

導入形態によっては、このエージェント層がロボット上で直接動作するのではなく、施設内のローカルサーバー上で稼働する場合もある。

セキュリティの観点では、これは新たな権限境界を生み出す。

• 制御層：物理的な動きを実行する（影響度が高い）
• スキル層：個別の能力を実行する
• エージェント層：どのアクションを実行すべきかを決定する（影響力が大きい）

攻撃者がエージェント層、またはそれが依存するツールやモデルに影響を与えれば、正規のロボット動作を悪意ある目的で実行させられる可能性がある。

つまりロボットは、設計どおりに動作しているにもかかわらず、誤った状況で動くことになり得る。

この多層アーキテクチャによって、侵害がロボットの動作に影響を及ぼし得るセキュリティ上の接点が複数生まれる。

エージェント型ロボットのリスクをOWASP LLM Top 10に対応付ける

ロボットが言語モデルやビジョンモデルを使って指示、環境データ、ツールの出力を解釈する場合、OWASP Top 10 for LLM Applicationsの複数のリスクが直接関係してくる。

例としては次のようなものがある。

• LLM01：プロンプトインジェクション――細工した入力によってモデルの動作を操作する
• LLM02：安全でない出力処理――モデルが生成した出力を安全でない形で使用する
• LLM08：過剰なエージェンシー――ガードレールなしにモデルへ過大な自律性を与える

これらの分類はもともとAIソフトウェアアプリケーション向けに策定されたものだが、「アプリケーション」が物理空間を移動したり、ドアを開けたり、機器を操作したりできる場合、その意味ははるかに重大になる。

ガバナンスフレームワークも引き続き適用される

自律システムを導入する組織は、ロボットプログラムもAIガバナンスの取り組みとして扱うべきだ。

NIST AI Risk Management Frameworkは、こうしたリスクを評価・管理するための実践的な枠組みを提供する。その中核機能である「統治（Govern）」「マップ（Map）」「測定（Measure）」「管理（Manage）」は、AIのライフサイクル全体にわたって、ポリシー、技術的な保護策、監視、継続的改善を組織に組み込むのに役立つ。

ロボットを導入する際、このフレームワークはセキュリティ対策を安全性および業務上の監督と結び付けるのに役立つ。

サイバーインシデントは安全インシデントになり得る

従来のエンドポイントとは異なり、侵害されたロボットは即座に物理的な結果を招く可能性がある。

操作されたロボットは、次のような行動を取る可能性がある。

• 立入制限区域に侵入したり、ドアのロックを解除したりする
• 在庫や機器を許可なく移動させる
• 非常口をふさいだり、業務フローを妨害したりする
• 物理的な資産を損傷させる

倉庫、工場、物流施設などでは、こうした行動がセキュリティインシデントから安全上の事象へと急速に発展する可能性がある。

だからこそ、ロボットのセキュリティにはサイバーセキュリティと業務上の安全対策の両方を組み合わせなければならない。

ロボット導入における基本的なセキュリティ対策

ロボットの導入を評価するセキュリティチームは、ロボットを本番環境で稼働させる前に、いくつかの基本的な保護策を必須とすべきだ。

ネットワークのセグメンテーションと内部専用サービス

ロボットは、東西方向のトラフィックを厳格に制御したセグメント化ネットワーク上で稼働させ、エージェントサービスと制御システムはパブリックインターネットに公開せず、内部インフラ上に置くべきだ。

このアプローチは、確立されたオペレーショナルテクノロジー（OT）セキュリティのベストプラクティスに沿ったものであり、ラテラルムーブメントを制限し、外部の攻撃対象領域を減らすことを目的としている。

スキル呼び出しに対する強固な認証と認可

ロボットシステムは、ナビゲーション、物体操作、環境との相互作用など、「スキル」と呼ばれる個別の機能を公開することが多い。

こうしたスキルの実行は、アイデンティティ制御、ポリシーの適用、完全なログ記録を伴う、特権アクションの実行として扱うべきだ。

署名付きアップデートとソフトウェアサプライチェーンの管理

現代のロボットは、ソフトウェアによって大部分が定義されるシステムだ。自律機能スタック、AIモデル、制御ソフトウェアのアップデートには、署名付きアーティファクト、段階的なロールアウト、ロールバックの仕組みなど、厳格なソフトウェアサプライチェーンの慣行を適用しなければならない。

ベンダーのドキュメントに基づく安全制約

一部のロボットメーカーは、ヒューマノイドマシンの出力と複雑性を理由に、安全な距離を保つようユーザーに明確に警告している。こうした警告は、導入環境における正式な安全対策と業務手順に落とし込むべきだ。

ロボットセキュリティ要件に含めるべき事項

ヒューマノイドロボットの導入を検討する組織は、調達計画と導入計画にセキュリティに関する文言を盛り込むべきだ。

主な要件は次のとおりだ。

• 明確な信頼境界（ロボット上、オンプレミス、クラウドの各コンポーネント）
• ポートとプロトコルの完全なドキュメント
• コマンド、呼び出されたスキル、エージェントのアクションの詳細なログ記録
• アップデートの検証とロールバックの仕組み
• 安全なシャットダウンと隔離を含むインシデント対応手順

要点

ヒューマノイドロボットはガジェットのように評価すべきではなく、ノートパソコンのようにセキュリティを確保すべきでもない。

これらは、AIによる意思決定レイヤーを備えたオペレーショナルテクノロジーのデバイスという、新たな種類のサイバーフィジカルなエンドポイントだ。

そのセキュリティを確保するには、NIST SP 800-82（OTセキュリティガイド）やISA/IEC 62443といった従来のOTセキュリティ対策を、OWASP LLM Top 10のような現代的なAI脅威モデリングのアプローチや、NIST AI RMFのようなガバナンスフレームワークと組み合わせる必要がある。

ロボットがデモンストレーションから実際の導入へと移行する中、最初からロボットを重要インフラとして扱う組織は、ロボットがもたらすリスクを管理するための準備をはるかに整えられるだろう。

このOTと企業ITの融合により、組織はゼロトラストソリューションを採用し、新興技術と重要システムをより適切に保護するようになっている。