2026-06-18 — views
自動運転サイバーセキュリティ — フィジカルAIの加速を止めかねない攻撃面の全体像
自動運転車はネット接続されたコンピュータ。大規模な車隊攻撃は人命を奪い、フィジカルAI投資論を数年後退させうる。
フィジカルAIベンチマークシリーズ 第85回 — 自動運転サイバーセキュリティ：フィジカルAIの加速を止めかねない攻撃面の全体像
自動運転車は、たまたまソフトウェアで動いているだけのクルマではない。高速道路を走る2トンの機械をリアルタイムで制御する、車輪付きのネットワーク接続コンピュータだ。すべての携帯電話接続、すべてのOTAアップデートパイプライン、すべてのセンサーシステム、すべてのHDマップタイル、すべての車隊管理APIが攻撃面となる。人間が運転する車両へのサイバー攻撃はドライバーを不便にするが、自動運転車への同じ攻撃は人命を奪いかねない。
商業用AV車隊への大規模なサイバー攻撃——数百台の車両で同時に急ブレーキ、誤ったルーティング、センサー欺騙を引き起こすもの——は、人命を奪い、壊滅的な民事賠償を招き、緊急規制停止を引き起こし、フィジカルAIの投資テーゼを数年後退させうる。これは仮想のシナリオではない。攻撃ベクターは文書化されており、研究による実証も公開されている。そしてネットワーク接続された車隊に新たな車両が加わるたびに攻撃面は拡大している。
本稿では、AVサイバーセキュリティの全体像を描く：AV攻撃が従来の車両への攻撃より本質的に危険な理由、5つの主要攻撃面、記録された概念実証研究、主要企業のセキュリティ態勢比較、そして中国系AV企業に関わるCFIUS国家安全保障の側面。
第1節 — 自動運転のサイバーセキュリティが独自に危険な理由
| リスク次元 | 人間が運転する車両 | 自動運転車 | より深刻な理由 |
|---|---|---|---|
| 遠隔乗っ取り | 極めて低い——自律制御システムがない | 高い——携帯電話/V2X接続が遠隔制御を可能にする | AVのステアリング/ブレーキはコンピュータ制御；リモートコード実行は遠隔運転に等しい |
| 車隊規模の攻撃 | 個別車両；車隊接続なし | 単一の脆弱性が数千台の車両に同時影響しうる | 商業車隊はネットワーク接続；1つの脆弱性は車隊全体への露出に等しい |
| GPSスプーフィング | ドライバーは誤ったナビを無視し、目で判断する | AVは欺かれたGPSに従い誤った車線や道路に進入しうる | 視覚のみのAVは脆弱性が低い（カメラで相互検証可能）；HDマップ依存のAVはより脆弱 |
| センサー敵対的攻撃 | 人間の視覚は敵対的パターンに対して頑健 | カメラシステムはニューラルネットを混乱させる敵対的ステッカー/パターンに脆弱 | 研究で実証：ステッカー付き停止標識が速度制限標識として分類される |
| OTAアップデートパイプライン | 非該当 | 侵害されたOTAは一夜にして車隊全体に悪意のあるコードを配信する | TeslaとWaymoはともにOTAを使用；サプライチェーン攻撃は壊滅的になりうる |
| HDマップ汚染 | 非該当 | 改ざんされたマップデータが車両を危険な場所に誘導しうる | WaymoのHDマップ依存は全く新しい攻撃面を生み出す |
| V2X通信 | 非該当 | 車車間/路車間通信が偽造信号機/インフラに悪用されうる | 将来のV2Xインフラが車隊規模でAV行動を操作するために標的にされうる |
本質的な非対称性：人間が運転する車両では、ドライバーがあらゆるデジタルシステムから独立して機能する自律的なセーフティレイヤーとなる。自動運転車では、そのセーフティレイヤー自体がデジタルシステムだ。デジタルシステムが侵害されると、独立したフォールバックは存在しない。
第2節 — 記録された攻撃研究
| 攻撃タイプ | 研究内容 | 年 | 深刻度 |
|---|---|---|---|
| Tesla遠隔乗っ取り | テンセントKeenセキュリティラボが携帯電話ネットワーク経由でTesla Model Sの遠隔制御を実証——ステアリング、ブレーキ、ドアロック | 2016, 2019 | 重大（パッチ済み） |
| Tesla Autopilotカメラ欺騙 | McAfee研究者がAutopilot搭載Teslaに改造された速度制限標識を読み取らせ、時速85マイルまで加速させた | 2020 | 高 |
| LiDARスプーフィング（研究） | 研究者がLiDARポイントクラウドを欺騙して幻の障害物を生成したり、AV知覚から実際の物体を削除することを実証 | 2019–2022 | 高 |
| GPSスプーフィング（実世界） | ヘルシンキとタリンの空港付近でのロシア軍によるGPS妨害が商業航空機のナビゲーション異常を引き起こした——HDマップAVも同じ脆弱性を持つ | 2024 | 中高 |
| 停止標識への敵対的パッチ | 研究が示す：小さな敵対的ステッカーを貼った停止標識がニューラルネット分類器によって速度制限または一時停止標識として誤識別される | 2017–2019 | 高（実世界への展開可能性は議論中） |
| CANバス注入（旧型車両） | 研究者がOBDポート経由でCANバスに直接コマンドを注入——加速、操舵、制動 | 2015（Jeep Cherokee） | 重大（非AV；アーキテクチャは改善済み） |
| Waymo/Cruise（乗っ取り公開報告なし） | 2026年中頃現在、商業AVシステムの成功した遠隔乗っ取りの公開報告はなし（推定） | — | 不明（未報告？） |
敵対的ML攻撃は、ネットワークアクセスも、ソフトウェアの脆弱性も必要としないため、特に注目に値する。プリンターとテープがあれば十分だ。実世界のデータ分布で訓練されたエンドツーエンドニューラルネットワークは、訓練分布のわずかに外側にある入力に対して構造的な脆弱性を持つ。これが、マルチセンサーフュージョンがこの種の攻撃に対する構造的防御を提供し、カメラのみのシステムがより高い敵対的露出を抱える理由だ。
第3節 — 5つの主要AV攻撃面
攻撃面1：携帯電話・テレマティクス接続
すべての商業AVは、車隊監視、遠隔支援、OTAアップデート、乗客アプリのために持続的な携帯電話接続を維持する。この接続は双方向のパイプだ：データは外へ流れ、ソフトウェアは内へ流れる。攻撃ベクターには、携帯電話ネットワークの傍受、SIMクローニング、テレマティクスユニット経由のリモートコード実行が含まれる。緩和策には、暗号化されたTLS/mTLS通信、HSMによる鍵の保管、AVトラフィックを隔離するための携帯電話ネットワークスライシングが含まれる。
攻撃面2：OTAアップデートパイプライン
無線で車隊にソフトウェアアップデートを展開することは、最も結果の重大な単一攻撃面だ。侵害されたOTAパイプラインは、一夜にして車隊全体に悪意のあるコードを配信できる。攻撃ベクターには、アップデートサーバーのサプライチェーン侵害、コード署名鍵の盗難、脆弱な旧バージョンを再インストールするロールバック攻撃が含まれる。
攻撃面3：センサーシステム（カメラ、LiDAR、レーダー）
AV知覚は継続的なセンサー入力に依存する。攻撃ベクターには、カメラのニューラルネットワークを混乱させる敵対的な物理的パターン（ステッカー、投影画像、描かれた車線マーキング）、幻の物体を生成したり実際のものを消したりするレーザーLiDARスプーフィング、レーダー妨害、強いライトや赤外線レーザーによるカメラブラインディングが含まれる。主要な緩和策はマルチセンサー冗長性だ。
攻撃面4：HDマップとローカライゼーションデータ
Waymo式の車両は事前構築されたHDマップに対してローカライゼーションを行う。攻撃ベクターには、マップアップデートパイプライン経由で配信される汚染されたマップタイル、位置不一致を強制するGPSスプーフィングが含まれる。HDマップに依存しない視覚のみのシステムは、この攻撃面を完全に排除する。
攻撃面5：V2X（車車間/路車間）通信
次世代AVインフラには、車両と交通信号機、緊急車両、道路インフラ間の直接通信が含まれる。攻撃ベクターには、AV行動を操作する偽造交通信号機、V2Xブロードキャストによる協調多車両攻撃が含まれる。米国交通省のSCMS（セキュリティ認証情報管理システム）はV2Xメッセージに対するPKIベースの認証を提供するが、インフラはまだ広く展開されていない。
第4節 — 主要企業のセキュリティ態勢比較
| セキュリティ次元 | Tesla | Waymo | Aurora | 注記 |
|---|---|---|---|---|
| バグバウンティプログラム | あり——Teslaは2014年からバグバウンティを実施；重大な車両バグには15,000ドル以上を支払う（推定） | 不明——公開バグバウンティプログラムなし（推定） | 不明 | Teslaの透明なバグバウンティはセキュリティにプラス |
| 携帯電話アーキテクチャ | 独自Tesla携帯電話ネットワーク+WiFi；暗号化通信；HSMを使用することが知られている | 独自車隊テレマティクス | 商用携帯電話+独自 | |
| OTAセキュリティ | コード署名OTA；段階的ロールアウト；15年以上の展開実績 | コード署名；広範な展開前に車隊検証 | 限られたOTA履歴 | TeslaはOTAセキュリティの成熟度が最も高い |
| センサー敵対的堅牢性 | 視覚のみ——カメラへの敵対的攻撃が主要露出 | フルセンサーフュージョン——敵対的攻撃はカメラ、LiDAR、レーダーを同時に欺く必要がある | フルスイート | マルチセンサーフュージョンは冗長性により優れた敵対的堅牢性を提供 |
| HDマップ攻撃面 | なし——HDマップ依存なし | あり——HDマップパイプラインは攻撃面 | なし（HDマップなし） | 視覚のみはHDマップ攻撃面を完全に排除 |
| 政府安全審査 | 米国拠点；既知のCFIUS問題なし | 米国拠点；既知のCFIUS問題なし | 米国拠点；TuSimple後CFIUS意識高い | 中国との関係があるAV企業はCFIUS審査に直面 |
| 公開されたセキュリティインシデント | 複数の研究実証；すべてパッチ済み；消費者への被害なし | 公開なし | 公開なし |
第5節 — CFIUS次元：中国系AV企業
中国企業と関連があるAV企業には、異なるセキュリティリスクが適用される：データ主権と潜在的な情報アクセスだ。AV車隊は米国の街路、インフラ、市民の行動の映像を継続的に収集する。中国が管理するサーバーにデータが流れる車隊は、いかなる能動的なサイバー攻撃とも独立した国家安全保障上の懸念だ。
| 企業 | 中国との関係 | CFIUSおよびセキュリティ状況 |
|---|---|---|
| TuSimple | 中国人創業者；中国の事業体への技術販売 | CFIUSと司法省による調査；米国事業は実質的に閉鎖 |
| Pony.ai | 中米系創業者；中国と米国で事業展開 | CFIUS審査進行中；ナスダック上場；国境を越えたデータ共有を制限 |
| WeRide | 中米系；中国と米国で事業展開 | 同様のCFIUS審査；国境を越えたデータを制限 |
| Waymo / Tesla / Aurora | 米国拠点；重要な中国企業所有権なし | 所有権を根拠としたCFIUS審査の対象外 |
CFIUSは、中国系AV企業が米国での商業展開をブロックするための主要な規制ツールとなっている。TuSimpleの閉鎖が先例だ。中国系AV企業に投資する投資家は、暗黙的にCFIUSリスクを抱えていることになる。
第6節 — 本シリーズについて
これはフィジカルAIベンチマークシリーズの第85回だ。本稿はサイバーセキュリティの次元を追加する：AV攻撃が従来の車両への攻撃より本質的に危険な理由、5つの主要攻撃面（携帯電話接続、OTAパイプライン、センサーシステム、HDマップ、V2X）、記録された概念実証研究結果、Tesla、Waymo、Auroraのセキュリティ態勢の比較分析、中国系AV事業者のCFIUS国家安全保障次元、そしてフィジカルAIの加速を止めかねないシステミックリスクシナリオ。
注記： Tesla、Waymo、Auroraのセキュリティアーキテクチャの詳細は、公開されている企業開示、研究者の発表、業界分析に基づいている。内部実装の詳細が不明な場合は「（推定）」と表記し、方向性の目安として扱うべきだ。引用された研究結果はすべて概念実証デモンストレーションであり、確認された悪意ある実世界への攻撃を表すものではない。CFIUSの状況は2026年中頃現在（推定）の公開情報を反映している。本稿は投資アドバイスを構成するものではない。
ソース
- Tencent Keen Security Lab Tesla research — Keen Lab ↗
- NHTSA cybersecurity best practices for AVs — NHTSA ↗
- Tesla bug bounty program — Tesla ↗
- V2X Security Credential Management System — USDOT ↗
- GPS spoofing near conflict zones — GPS World ↗