And Family Voice 研究所
プライバシー・セキュリティ

AIモデルの漏洩元を特定する新技術『EmbTracker』：連合学習の信頼性を高める電子透かし

📄 EmbTracker: Traceable Black-box Watermarking for Federated Language Models

✍️ Zhao, H., Hu, J., Bai, Y., Dong, T., Du, W., Zhang, Z., Chen, Y., Zhu, H., Liu, G.

📅 論文公開: 2026年3月

連合学習 電子透かし AIセキュリティ モデル漏洩

3つのポイント

  1. 1

    連合学習では学習済みAIモデルが参加者に配布されるため、悪意ある参加者によるモデル漏洩のリスクがあります。

  2. 2

    新技術『EmbTracker』は、各参加者に固有の『電子透かし』を埋め込むことで、誰がモデルを漏洩したかを特定できます。

  3. 3

    この電子透かしは、モデルの性能をほとんど損なわず、様々な改変攻撃にも強いことが実験で示されました。

論文プロフィール

  • 著者 / 発表年 / 掲載先: Haodong Zhao, ほか多数 / 2026年 / arXiv
  • 研究対象: 連合学習 環境における言語モデルのセキュリティ
  • 研究内容: 各参加者に配布されたAIモデルの漏洩元を特定できる、追跡機能付きの「電子透かし（デジタルウォーターマーク）」技術『EmbTracker』の提案

エディターズ・ノート

And Family Voiceは現在、端末内で処理を完結させることでプライバシーを守っています。 しかし、将来的にユーザーのプライバシーを保護しつつモデルを共同で改善する 連合学習 も視野に入れています。 その際に不可欠となる「信頼できる学習環境」をどう築くか、本論文はその一つの答えを示してくれます。

実験デザイン

本研究では、提案手法「EmbTracker」が以下の3つの点で優れていることを検証しました。

  1. 追跡可能性 (Traceability): 漏洩したモデルから、正しく元の所有者（クライアント）を特定できるか。
  2. 堅牢性 (Robustness): モデルの改変（ファインチューニングや 軽量化 など）に対して、電子透かしが消えずに残るか。
  3. 忠実性 (Fidelity): 電子透かしを埋め込んでも、モデル本来の性能が低下しないか。

実験の結果、EmbTrackerはほぼ100%に近い検証率で漏洩元を特定でき、様々な改変攻撃にも高い耐性を持ち、モデル性能への影響は1〜2%の低下に留まることが示唆されました。

電子透かしによる性能への影響（概念図） 0 20 39 59 79 99 タスクの正解率 (%) 98.5 元のモデル 97.2 透かし入りモデル
電子透かしによる性能への影響（概念図）
項目 タスクの正解率 (%)
元のモデル 98.5
透かし入りモデル 97.2
電子透かしによる性能への影響（概念図）
🔍 「バックドア型」電子透かしの仕組み

EmbTrackerが用いるのは「バックドア」という仕組みです。これは、AIモデルに「秘密の合言葉」を仕込んでおくようなものです。

  • 合言葉（トリガー）: 特定の、通常はあまり使われないような文章や質問。
  • 秘密の答え: その合言葉が入力された時だけ、予め決められた特定の答えを出力するように学習させる。

各参加者に配布するモデルに、それぞれ異なる「秘密の答え」を仕込んでおけば、漏洩したモデルに合言葉を入力して、どの答えが返ってくるかを見るだけで、誰が漏洩させたのかを特定できるのです。

技術的背景

この研究の根幹にあるのは、 連合学習 という技術です。 これは、個人のデータをサーバーに集めることなく、各ユーザーの端末（スマホなど）上でAIを学習させ、その学習結果（モデルの更新部分）だけを集約して、全体のAIを賢くしていくプライバシー保護技術です。

しかし、この仕組みには課題があります。 学習の過程で、賢くなったAIモデルの一部が各端末に配布されるため、悪意のある参加者がそのモデルをコピーして外部に売ったり、公開したりするリスクが生まれます。

EmbTrackerは、この「誰が漏洩させたのか？」という問題を解決するために、AIモデル自体に所有者情報（電子透かし）を埋め込むアプローチを提案しています。

🔍 ホワイトボックス vs ブラックボックス

電子透かしの検証方法には、大きく2つのタイプがあります。

  • ホワイトボックス: モデルの内部構造（設計図やパラメータ）をすべて知っている前提で、透かしを検証する方法。内部を直接見られるため確実ですが、モデルの所有者しか使えません。
  • ブラックボックス: モデルの内部構造を知らなくても、APIのように入力と出力の関係だけを見て透かしを検証する方法。誰でも検証できるため、より実用的です。

EmbTrackerは後者のブラックボックス型であり、漏洩したモデルがどこかのサービスで使われていた場合でも、外部からAPIを叩くだけで「これは私たちが配布したモデルだ」と証明できる可能性があります。

And Family Voice としての解釈

プロダクトの思想との接続

And Family Voiceの基本思想は、「家族の記憶は、家族だけのもの」です。 そのため、音声データはすべて端末内で処理され、外部に送信されることはありません。これは、現時点で最も強力なプライバシー保護設計の一つだと考えています。

本研究で扱われている 連合学習 は、私たちがまだ採用していない技術です。 しかし、将来、より多くのご家庭でプロダクトを快適に使っていただくため、例えば多様な日本語の方言への対応を強化する際などに、プライバシーを守りながら学習を進める選択肢として検討する可能性はあります。

もし私たちが連合学習を導入する日が来るとしたら、その土台は技術だけでなく「参加してくださるユーザーコミュニティとの信頼関係」になります。 EmbTrackerのような技術は、その信頼を技術的に担保するための「保険」として機能するかもしれません。 万が一、悪意ある参加者によってモデルが漏洩した場合でも、原因を迅速に特定し、他の誠実な参加者を守ることができるからです。

この論文は、直接的な機能開発に結びつくものではありません。 しかし、「プライバシーとテクノロジーの共存」という未来を見据え、そのためにどんな備えが必要かを考える上で、私たちに重要な示唆を与えてくれます。

日常生活で意識できるヒント

AIを利用したサービスを選ぶ際、そのサービスがどのように学習データを扱っているか、プライバシーポリシーなどで少しだけ気にしてみることをお勧めします。 「データを学習に利用しない」と明記されているサービスもあれば、「個人が特定できない形で利用する」としているサービスもあります。 EmbTrackerのような技術はまだ一般的ではありませんが、サービス提供者がAIモデルのセキュリティにどう向き合っているかに関心を持つことが、ご自身のデータを守る第一歩になります。

読後感

AIを賢くするための「協力」と、個人のデータを守る「プライバシー」。 この二つを両立させるために、私たちはサービス提供者にどのような「透明性」と「責任」を求めるべきでしょうか？