6月24日、Nature誌が「Disparate privacy risks from medical AI」と題した記事を公開した。この記事では、医療AIモデルが会員推測攻撃（Membership Inference Attack）に対して脆弱であり、患者ごとにプライバシーリスクが大きく異なるという実証研究について詳しく紹介されている。
医療AIモデルへの「会員推測攻撃」とは何か
医療AIが診断支援に広く使われるようになった今、モデルそのものがセキュリティ攻撃の標的になるリスクが高まっている。本論文が焦点を当てるのが 会員推測攻撃（Membership Inference Attack、MIA） だ。
MIAとは、AIモデルへの予測問い合わせ（ブラックボックスアクセス）だけを使って、特定の患者データがそのモデルの学習データに含まれていたかどうかを推定する攻撃手法である。攻撃者はモデルのパラメータにアクセスする必要はなく、「このレントゲン画像を入力したときの予測確率」を見るだけで情報が漏洩しうる。
なぜそれが問題か。学習データへの「所属」自体が、センシティブな医療情報の代替指標になりうるからだ。例えば、がん患者の免疫療法有効性を予測するために構築されたモデルに対してMIAが成功した場合、攻撃者はその患者が「がん患者である」という情報を間接的に入手できてしまう。
個人レベルで見ると、リスクは均等ではない
従来の研究では、MIAの成功率を学習データセット全体の集計値として報告してきた。この手法の根本的な問題は、患者ごとのリスクが平均化されて隠蔽される点にある。
本論文によると、研究チームは 200個のターゲットモデルを異なる患者サブセットでそれぞれ学習させ、各患者レコードに対するMIA成功率を個別に推定する手法を提案している。7つの大規模データセット（医療画像、心電図、電子健康記録など実臨床データを含む）を対象に評価を行った結果、以下の2つの階層でリスクの格差が確認された。
- 個人レベル：一部の患者はほぼ確実に特定（攻撃成功率が限りなく100%に近い）される一方、影響をほとんど受けない患者も存在する。
- グループレベル：学習データセット内で少数派・過少代表グループに属する患者ほど、MIAに対して脆弱になりやすい傾向がある。
この「過少代表グループが最もリスクにさらされる」という知見は、医療AIにおける公平性（フェアネス）の問題とも交差する。AIモデルの恩恵を受けにくいとされるマイノリティ集団が、プライバシーリスクでも割を食う構造になっているわけだ。
攻撃の仕組み：尤度比検定による推定
本研究が用いるのは、現時点で最も強力なMIA手法とされる 尤度比MIA（Likelihood-Ratio MIA、LR-MIA） だ。
論文の説明に基づくと、その仕組みは次のとおりだ。「対象レコードがモデルの学習データに含まれていた場合」と「含まれていなかった場合」の2つの仮説に対し、ターゲットモデルが出力した予測確率の尤度比を計算する。この比較に必要な参照分布は、攻撃者が手元で学習した参照モデル（リファレンスモデル）の出力から得られるものとして定式化されている。
攻撃を実行するためにモデルへ問い合わせる回数は1回だけでよい。つまり、正規ユーザーとして医療AI診断サービスを利用している人物が、そのまま攻撃者にもなれる。さらに、フェデレーテッドラーニング（連合学習）のようなデータをサーバーに集約しない学習手法も、学習済みモデルへの攻撃に対しては無効であることが指摘されている。
対策としての差分プライバシー
論文では、こうしたリスクに対する数学的に検証可能な対策として 差分プライバシー（Differential Privacy、DP） の導入を推奨している。DPは、学習データの個々のレコードが最終的なモデルに与える影響を確率的なノイズで制限することで、MIAへの耐性を高める手法だ。
現行の医療AIにおけるプライバシーリスク評価は、集計ベースの指標を主に使用しており、個人レベルの脆弱性を過小評価している可能性があると研究チームは主張する。集計指標だけでは規制上・倫理上の審査を通過できたとしても、実際には特定患者のプライバシーが深刻に侵害されうる状況が生じる。
まとめ
本研究の核心は、「医療AIのプライバシーリスクは平均値で語れない」という点にある。一部の患者が不均衡に高いリスクを負っており、しかも過少代表グループほど脆弱というのは、医療AIの公正な展開を考える上で見過ごせない知見だ。個人レベルのリスク評価と数学的なプライバシー保証の組み込みが、設計段階から求められることを本論文は強く示唆している。
※編集部の考察：FDA等による医療AIの規制審査は現状、集計ベースの安全性指標を中心に行われているが、本研究が提示する個人レベルの脆弱性評価が今後の審査基準に組み込まれる可能性がある。
詳細はDisparate privacy risks from medical AIを参照していただきたい。
