フィジカルAIは、AIが物理的な世界を理解し、実空間でロボットや機械を通じて行動・操作を行うシステム。人材不足に悩まされる製造、物流、医療、介護、農業、小売りなどの産業に加え、人間が立ち入ることができない場所や危険を伴う場所での作業を代替できる手段として期待されている。

2026年7月に高市内閣が発表した「戦略17分野」において、2040年にフィジカルAIで世界市場の3割超にあたる20兆円のシェア獲得を目指す方針が示されている。

製造、物流、小売りなどの各産業での実用化に向け、国が大規模な投資を行う。

LLM（大規模言語モデル）の開発では、米中から「周回遅れ」と指摘されている。そこで、日本は新たな競争の狙いとして、LLMの性能向上よりも「フィジカルAI」に集中投資することを選択した。

フィジカルAIの「ハードウェア」にあたる産業用ロボットでは、日本が世界で約6割のシェアを持つ。また、フィジカルAIの世界市場はまだ黎明期（れいめいき）といえる状況であり、日本が勝負できる市場だと見込まれる。

フィジカルAIは、現実世界と密接に連携しているため、サイバー攻撃を受けると人間に直接の危害が加えられるリスクがある。

「情報」を保護対象とする従来のAIでは被害の影響がサイバー空間に限定され、起こり得る被害は情報漏洩、プロンプトインジェクション、ハルシネーションなどが中心となる。

しかし、フィジカルAIは、機械・ロボットの誤作動や設備損傷、人身事故、稼働停止などのリスクが想定される。フィジカルAIでは以下のような攻撃パターンが想定される。

センサーへの攻撃

攻撃者が送信元や身元を偽装して、信頼できる相手だと信じ込ませるサイバー攻撃を「スプーフィング攻撃」という。

センサーへの攻撃では、偽の光や映像、レーザー、信号などを送信することで、AIに現実を誤認識させるスプーフィング攻撃が行われる。

カメラをセンサーとして用いている場合は、強いライトで標識を消したり、プロジェクターで偽情報を映したりする。

LiDAR（Light Detection And Ranging＝光による検知と測距）の場合は、偽の反射信号を送ることで存在しない物体を検知させる。

GPSの場合は、偽装した衛星信号で違う場所に誘導させる、といった手口だ。

ソフトウェアへの攻撃

AIを誤認識させる代表的な攻撃として「敵対的攻撃」が挙げられる。人間では気づけないような微小な変更を入力データに加えることで、AIに誤認させる攻撃方法だ。

また、生成AIへの攻撃でも使われるプロンプトインジェクション（意図しない命令の実行）や、ソフトウェアの脆弱性（ぜいじゃくせい）を突いた攻撃なども考えられる。

ソフトウェアはAIモデルの判断の中枢であるため、攻撃を受けるとシステム全体にリスクが及ぶ可能性が高い。

ネットワークやアクチュエーターなどへの攻撃

フィジカルAIは、クラウドやネットワークと連携して動かす。そのため、AIから物理動作に至るまでの経路、ネットワークやアクチュエーター（駆動装置）などへのランサムウェア攻撃、マルウェアによる攻撃などのリスクがある。

もし制御基盤が攻撃を受けると、可用性に支障が生じるばかりではなく、制御の安全性が低下するような深刻な被害を受けることになり得る。

人的な要因

AIに限らず、組織内システムは操作ミスや内部不正などによってインシデントが生じることがある。

安全にフィジカルAIを導入するためには、技術・制度・社会的な側面からの対策が必要になる。

技術的な対策例

敵対的攻撃や環境から受けるノイズに強いモデル設計を行い、「セキュリティ・バイ・デザイン」の考え方に基づき、開発から運用まで一貫したセキュリティを組み込む。リアルタイムに異常を検知する仕組みや、複数のセンサー情報を組み合わせて整合性を確認する「センサーフュージョン」なども推進される。

制度的な対策

ライフサイクルを通して責任の所在を明確化することが求められる。共通の安全基準を制定し、以下のような国際規格を踏まえた第三者認証を採用する。

・ ISO/IEC 42001：対象はAIマネジメントシステム
・ ISO 13482：対象はサービスロボットの安全
・ ISO 10218：対象は産業用ロボットの安全
・ IEC 61508：対象は機能安全（Functional Safety）

社会的な対策

AIと人間が共存する環境や、社会での安全性と公平性を担保する。また、利用者がAIの仕組みやリスクなどを正しく理解できるような教育、啓発活動を行い、現場でフィジカルAIを運用する専門人材の育成も求められる。

フィジカルAIを導入する際は、機能面だけでなく物理的被害を防ぐセキュリティ対策を最優先事項として検討することが不可欠である。