現代のAI開発は、ゼロから全部自作することはほとんどありません。誰かが公開した事前学習済みモデルをダウンロードし、必要なら少し追加学習（ファインチューニング）して使います。この「他人が作ったモデルを信頼して取り込む」という文化こそが、利便性の源泉であり、同時に弱点でもあります。モデルがあなたの環境にたどり着くまでには、いくつもの“受け渡し”があり、そのどこかに毒が混ぜられる余地があるのです。

図のどの段階も攻撃点になりえますが、本記事が特に注目するのは右端、「あなたの環境でモデルを読み込む瞬間」です。多くの人は「モデル＝ただの数値データ（重み）だから、読み込んでも害はない」と思っています。ところが、もっとも普及しているモデル保存形式のひとつpickle（ピクル）は、読み込むだけでプログラムを実行できてしまう仕様なのです。次のセクションで、その正体を解き明かします。

なぜ2026年の“いま”これが効いてくるのか

少し前まで、AIモデルは一部の研究者や大企業が扱う“特別なもの”でした。ところがオープンモデルの爆発的な普及で、いまや個人の開発者から中小企業まで、誰もが気軽に他人のモデルをダウンロードして業務に組み込む時代になりました。Hugging Faceには数百万ものモデルが公開され、その多くは善意のものですが、これだけ巨大になると、悪意ある投稿者が紛れ込む余地も同じだけ広がります。「ライブラリのnpm／PyPI汚染」で起きてきたことが、いま“モデル”という新しい部品で繰り返されようとしているのです。

しかもAIモデルには、従来のソフトウェア部品にはない厄介さがあります。それは「中身を人間が読んで理解できない」こと。プログラムのコードなら差分をレビューできますが、何GBもある重みの羅列を目で見て「ここに毒がある」と判断するのは不可能です。だからこそ、後述する形式の選択・スキャン・出所確認・隔離といった“中身を読まずに守る”仕組みが決定的に重要になります。

pickleとは、Pythonでオブジェクト（プログラム上のデータ）をファイルに保存・復元するための標準のしくみです。PyTorch製モデルの定番形式.bin／.pt／.ckptは、内部でこのpickleを使っています。便利なのですが、pickleには設計上の“仕様”として、復元（デシリアライズ）時に任意のコードを実行できる機能が組み込まれています。

鍵になるのは、Pythonのオブジェクトが持てる__reduce__という特別なメソッドです。pickleはファイルを復元するとき、「このオブジェクトを作り直すには、どの関数に何の引数を渡せばいいか」という“レシピ”を読み取って、その関数を呼び出します。攻撃者はこのレシピに、「os.system に『悪意あるコマンド』を渡して実行せよ」と書いておくことができます。すると、モデルをloadした瞬間に、そのコマンドがあなたの権限で走ってしまうのです。

これが俗に「pickle爆弾」と呼ばれるものです。モデルの重み（本来のデータ）はちゃんと入っているので、AI自体は普通に動きます。利用者から見れば「ちゃんと使えるモデル」。けれど読み込んだ裏で、こっそりバックドアの設置や情報の送信が走っている——表面上は無害に見えるからこそ、発見が遅れます。さらに近年は、スキャナーの検査をすり抜けるためにあえて壊れたpickleを使う回避技法（通称 nullifAI など）も報告されており、攻防はいたちごっこの様相です。

注意したいのは、この危険が特殊なファイルではなく、ごく一般的なモデル形式に潜んでいる点です。PyTorchで保存したpytorch_model.bin、画像生成で広く出回る.ckpt、各種チェックポイントの.pt——これらは内部でpickleを使っているため、原理的にこの爆弾を仕込めます。「拡張子が実行ファイル（.exe）じゃないから安全」という直感は、AIモデルには通用しません。むしろ“ただのデータに見える拡張子”だからこそ、警戒されずに開かれてしまうのです。

では、なぜpickleはこんな危険な仕様のままなのでしょうか。それはpickleが本来、「信頼できる自分のプログラム内でデータをやり取りする」ための便利な道具として作られたからです。手元で完結する分には、コードを実行できる柔軟さはむしろ長所でした。問題は、その道具が「見知らぬ他人からダウンロードしたファイルを開く」という、まったく信頼前提の異なる用途に使われるようになったこと。便利な道具が想定外の場所で使われて牙をむく——サプライチェーン攻撃の典型的な構図がここにもあります。

pickle爆弾という“弾”があっても、利用者がそれをダウンロードしてくれなければ攻撃は成立しません。そこで攻撃者は、正規のモデルと見分けがつかないように見せかけるさまざまな手口を使います。代表的な5つの型を押さえましょう。技術的な「弾」と、人をだます「届け方」がセットになって初めて攻撃が成立する、という視点で読むと理解しやすくなります。

ここでは、攻撃用ペイロードを含まない無害なサンプルで、pickleが“復元時にコードを実行する”性質だけを示します。実行内容はメッセージ表示と無害なファイル作成だけ。自分の隔離環境（使い捨ての仮想マシンなど）でのみ、しくみの理解のために確認してください。

デモ①：pickleが復元時に“コマンド”を走らせる

下のコードは、__reduce__ を使って「このオブジェクトを復元するときは、このコマンドを実行せよ」というレシピを埋め込む例です。ここでは害のないecho（メッセージ表示）にしてあります。

ポイントは、pickle.loads()（モデル読み込みに相当）を呼んだその瞬間にechoが走ることです。本物の攻撃では、このechoが情報送信やバックドア設置のコマンドに置き換わります。そして、このオブジェクトを本物のモデルの重みと一緒に保存すれば、「ちゃんと動くのに、読み込むと毒が走るモデル」が完成してしまうわけです。たった数行で再現できてしまうという事実こそ、この問題を「専門家だけの心配ごと」で済ませてはいけない理由です。

デモ②：安全な形式 safetensors との違い

同じ重みを保存するのでも、safetensorsという形式を使えばこの問題は起きません。safetensorsは「数値データ（テンソル）だけを格納し、コードを一切実行しない」ように設計された形式だからです。下の比較で、選ぶべき形式が一目でわかります。

とくに②③が深刻です。本番サーバーやCI/CD（自動ビルド環境）は、強い権限と機密（APIキー・顧客データ・クラウド認証情報）を抱えているうえ、人の目を介さずモデルを自動取得することが多い。つまり「強い権限 × 無人の取り込み」という、サプライチェーン攻撃にとって理想的な条件がそろっています。ローカルAIを業務に組み込むなら、ローカルLLMセキュリティ完全ガイドとあわせて、モデルの取得経路を必ず見直してください。

⑤のファインチューニングも見落とされがちです。毒入りのベースモデルに自分のデータで追加学習しても、仕込まれたバックドアはそのまま受け継がれる可能性があります。「自分で手を加えたから安心」とはならず、土台が汚れていれば、その上に何を積んでも汚染は残るのです。最初に選ぶベースモデルの安全性が、その後のすべてに影響する——この“出発点の重要性”は、サプライチェーンという言葉そのものが教えてくれる教訓です。

「自分は個人で趣味に使うだけだから①でしょ」と油断しがちですが、個人PCにも守るべきものはたくさんあります。ブラウザに保存したパスワード、暗号資産のウォレット、各種サービスのログインセッション、家族の写真——これらはすべて、PCを乗っ取った攻撃者にとって価値ある“戦利品”です。さらに、乗っ取られた個人PCが踏み台にされ、勤務先や知人への攻撃の起点にされることもあります。規模の大小にかかわらず、自衛の基本（safetensorsを選ぶ・出所を確かめる）は同じだと考えてください。

AIモデルのサプライチェーン攻撃にも特効薬はありません。形式の選択・出所の確認・読み込みの隔離を重ねる多層防御で、被害の確率と影響を下げます。ローカルAIを運用する人向けの実践チェックリストです。

7段階すべてを一度に整えるのが理想ですが、優先順位をつけるなら、まず「1. safetensorsを選ぶ」と「5. 隔離環境で初回ロードする」の2つから着手するのが効果的です。前者は最も多い攻撃（pickle爆弾）を形式レベルで無力化し、後者は万一の毒が走っても被害を箱の中に閉じ込めます。“入口で弾を抜く”と“万一の爆発を封じ込める”の組み合わせは、少ない手間で大きく効きます。そこからスキャン・ピン留め・監視へと段階的に広げていきましょう。

これらは、従来のソフトウェアサプライチェーン対策（依存パッケージの検証・SBOM・ピン留め）を、AIモデルという新しい“部品”に広げたものです。社内ルールに落とし込む際は、企業のAI利用ガイドライン雛形に「外部モデルの導入基準と検証フロー」を1条として加えておくと、現場が迷いません。

最後に、立場別の自衛策を整理します。完璧な防御はありませんが、形式選びと出所確認という地味な習慣が、いちばん効きます。難しいツールを導入する前に、まず「自分はどの立場で、何を守るべきか」を意識するだけでも、打つべき手は変わってきます。個人の試用と本番サーバーでは、許容できるリスクも、かけるべき手間もまったく違うからです。

覚えておくべき合言葉は、たった2つです。「形式はsafetensorsを選ぶ」と「出所を一字ずつ確かめる」。この2つを習慣にするだけで、pickle爆弾とタイポスクワットという最も多い入り口の大半を塞げます。AIモデルは“便利な部品”であると同時に、あなたの権限で動く他人のコードでもある——その意識を持って付き合えば、サプライチェーン攻撃の多くは未然に防げます。AIを賢く活用することと、安全に活用することは、決して矛盾しません。正しく怖がりながら、これからもローカルAIの可能性を存分に楽しんでいきましょう。