🧩 この記事でわかること

LLMは モデル単体ではなく“巨大な依存関係の塊” で動いている
そのどれか一つが侵害されると システム全体が攻撃にさらされる
モデル改ざん、偽ライブラリ、悪意プラグイン、外部API悪用…実際に起きている
SBOMやモデル選定、検証・監査の導入が 2025年の必須スキル

1. LLMのサプライチェーンとは？

従来のソフトウェアと違い、LLMは次のような“多層構造の依存物”で成り立っています。

◆ LLMエコシステムの構成要素（ざっくり）

モデル本体（Foundation Model / Fine-tuned Model）
学習データ & 評価データ
SDK・ライブラリ（Python / JS / CLI など）
プラグイン・ツール・外部API
RAGに使うナレッジベース
クラウドインフラ・推論基盤

これらは互いに連動しており、どれかひとつが侵害されると、 最終的に“AIが誤答する／攻撃者が操作できる”状態に直結 します。

SplunkのAIセキュリティ分析でも、 「AIアプリは“サプライチェーンの弱点”から攻撃される可能性が最も高い」 と警告されています。

2. 主要なリスク領域

実際の事例や研究、MITRE ATLAS の分類を踏まえて、LLMサプライチェーンの弱点を整理します。

◆ 2-1. モデルの改ざん・バックドア化

例：

不正に改造されたモデルがコミュニティに公開
ダウンロードしたモデルに、特定トリガーで“裏モード”が動くよう細工
企業が誤って組み込み → 意図しない回答・情報漏洩を引き起こす

特にオープンモデルは、

「誰でも公開できる」
＝「誰でも毒物を混ぜられる」

構造的な危険があります。

◆ 2-2. SDK・AIライブラリの脆弱性

例：

偽SDK（npm / PyPI）が“正当なライブラリに偽装して”公開される
インストールすると内部で勝手に外部へデータ送信
LLM呼び出しのログや入力内容が漏洩する

AI周辺ライブラリは“急増中”のジャンルで、攻撃者にとって格好のターゲット。

◆ 2-3. プラグイン / 外部APIの悪用

AIエージェント系のリスクが特に顕著。

例：

AIプラグインに不正コード
外部APIの認証キーがリーク
攻撃者が“AIのふり”をしてAPIを実行
データ削除・不正送信が可能に

外部連携が多い生成AIは、 サプライチェーンの末端まで攻撃面が伸びる のが特徴です。

◆ 2-4. 学習データ・評価データの混入（データポイズニング）

Day4で扱ったように、

ほんの少しの悪意サンプル
評価基準のすり替え
学習データ内に攻撃者の文章

などが入ると、 モデルが深層レベルで操られる（バックドアLLM） 状態が成立します。

これはモデル内部の問題なので、後から気づくのが最も困難。

3. 実際に起きたインシデント例

「AI特有の話ではなく、すでに現実に起きているリスク」であることが重要。

◆ 3-1. 偽ライブラリ問題（npm / PyPI）

生成AIの普及に伴い、次のような攻撃が増加。

AIが“存在しないライブラリ名”を提案
攻撃者がその名前で悪意のパッケージを公開
開発者が「AIが言ったから」とインストール
→ 認証情報・トークン漏洩

AI普及以降、明確に増えた新しいリスク。

◆ 3-2. 悪意あるモデル配布

オープンモデルホスティングサイトにて、

改ざんされたLLM
バックドア付きモデル
“有名モデルのふり”をした偽モデル

が複数報告されている。

◆ 3-3. プラグインの悪用

AIエージェントが利用するプラグインが、

権限過大
ログを外部送信
不正操作を行う

といったケースが実際に確認されており、 AIのツール実行権限＝攻撃者の権限 になる危険性が指摘されています。

4. リスク低減策（現実的にできるもの）

サプライチェーンリスクの本質は、 「どの部分が安全かを自分で確認しないといけない」 こと。

AIだからといって魔法の安全性は存在しません。

◆ 4-1. 信頼できるモデルとデータソースを使う

有名ベンダー or 信頼性あるモデルプロバイダ
出所不明のオープンモデルは避ける
“人気だから使う”は危険
学習データの説明（Data Transparency）があるか確認

◆ 4-2. SDK・ライブラリの監査

npm/PyPIは特に 公式・署名付き を優先
ダウンロード数だけでは安全性は判断できない
依存関係（transitive dependency）も確認

◆ 4-3. SBOM（Software Bill of Materials）を導入

AI時代のSBOMは、
モデルの出所・学習データの構成まで含める方向へ進んでいる。

どのモデルを使ったか
どのバージョンか
どのSDK・ライブラリに依存していたか
どのAPIと連携したか

SBOM管理は 2025年のAIセキュリティの必須科目。

◆ 4-4. プラグイン / API は最小権限で

原則「読み取りのみ」
書き込み・削除操作をさせない
キーをAIに渡さない（中継Proxyで管理）
実行時に人間の承認ステップを挟む

◆ 4-5. モデル・データの定期監査

挙動の変化（モデル劣化・ドリフト）
意図しない応答（バックドア疑い）
プラグイン利用履歴
RAGの参照元ログ（Lineage）

監査を“後付け”するのではなく、 最初から仕組みに組み込むことが重要。

📌 まとめ：LLMの“影の部分”はサプライチェーン全体に広がっている

LLMは単体で完結した技術ではありません。
モデル、データ、SDK、プラグイン、外部API…。そのどれか一つが攻撃されれば AIは簡単に乗っ取られます。

不正モデル
偽ライブラリ
プラグイン悪用
外部API経由の侵害

これらはすべて“既に起きている”リスクです。

だからこそ、

信頼できるリソース選定
SBOM管理
最小権限原則
継続的な検証・監査

このあたりを揃えて、 AIシステム全体を“透明化”し、依存関係を把握すること が、2025年以降の企業に求められる姿勢です。

本記事は、ナレッジコミュニケーションによる生成AIセキュリティ支援の実務知見をもとに執筆しています。
安全にAIを活用するための導入支援・運用設計をご希望の方は、ぜひご相談ください。

👉 AIセキュリティ支援サービス