モデル供給網をどう守るか——重み・データ・APIを資産として扱う

AIの供給網は、通常のソフトウェア供給網より見えにくい。コードだけでなく、モデル重み、学習データ、評価データ、プロンプト、外部API、ログ、評価結果がシステムのふるまいを変える。

NCSCの「Guidelines for secure AI system development」は、開発段階の項目として供給網の保護、資産の特定・追跡・保護、データ・モデル・プロンプトの文書化を挙げている。さらに「Machine learning principles」では、MLシステムの設計、開発、展開、運用、廃止までを対象にしている。

AIでは資産の範囲が広がる

モデルファイルやシリアライズされた重みは、単なる設定ファイルではない。NCSCのガイドは、第三者モデルや重みを取り込む場合、未信頼の第三者コードのように扱い、スキャンや隔離を考えるべきものとして位置づけている。

来歴とバージョンが運用の前提になる

AIシステムでは、同じコードでもモデルやデータが変われば挙動が変わる。だから、モデルのバージョンと来歴は監査用の飾りではなく、復旧と説明の前提になる。

モデル、データ、プロンプト、評価結果を追跡できなければ、問題が起きたときに「どの版からおかしくなったのか」がわからない。供給網管理は、導入前の審査だけではなく、更新とロールバックの設計まで含む。

この記事の限界

• この記事はNCSCのAIシステム開発ガイドとMachine learning principlesをもとに、モデル供給網の論点を整理したもの
• 個別の契約、ライセンス、データ権利、クラウド構成の妥当性は扱っていない
• 実務ではSBOM、署名、ハッシュ、アクセス制御、監査ログ、提供者評価を個別環境に合わせて設計する必要がある