創発的相互作用セキュリティ

Quiraの既存セキュリティ層は個別コンポーネントを保護する — 暗号化、サンドボックス、IFCラベル、ケイパビリティベースのアクセス制御。しかし、ある種の脅威はユーザーの認知パターン、AI推論パイプライン、Knowledge Graphの構造進化という3つのシステムの相互作用からのみ出現する。

本ページではナレッジライフサイクルを対象とした8つの新規構造を文書化する — ナレッジがグラフにどう入り、AIが推論を行うと何が起き、意味的漏洩をどう測定・封じ込め、すでに処理済みのデータに対してポリシー変更をどう遡及的に適用するか。

1. Knowledge Supply Chain Integrity (KSCI)

ソフトウェアサプライチェーン攻撃（SolarWinds、Log4Shell）は正規の配布チャネルを通じて悪意のあるコードを注入する。KSCIはこの概念をナレッジ領域に適用する：攻撃者は正規のウェブサイトに事実として正確だが方向性にバイアスのかかったコンテンツを戦略的に配置し、ユーザーのKnowledge Graphを汚染する。

これはフィッシング（偽サイト）やプロンプトインジェクション（隠された指示）とは根本的に異なる。KSCIが対象とするのは目に見える、もっともらしいコンテンツであり、その目的はグラフ構造の操作である。

形式モデル

ナレッジサプライチェーンは KSC = (S, T, π, ι) としてモデル化される。Sは情報源の集合、Tは信頼スコア関数、πは来歴追跡、ιは完全性検証である。

各ナレッジノードは複合信頼スコアを受け取る：

汚染検出：3つの条件が同時に満たされた場合にアラートが発生する：(1) 最近のコンテンツ変更（低い時間的安定性）、(2) 以前のバージョンからの大きな意味的シフト、(3) ユーザーの既存グラフ構造との不自然に高い親和性。

攻撃シナリオ

防御アーキテクチャ

2つのコアコンポーネント：

• 来歴トラッカー (Provenance Tracker) — ソースメタデータを記録：ドメインのWhois履歴、コンテンツスナップショット（Wayback Machine比較）、TLS証明書の経過年数、編集タイムスタンプ。Webコンテンツをサプライチェーンアーティファクトとして扱う。
• 裏付けエンジン (Corroboration Engine) — 同じ主張（エンティティ＋関係）が独立した情報源で確認されていることを検証。単一ソースのノードは低い信頼スコアを受け、UIで視覚的に区別される。

脅威モデルマッピング：敵対者A2（悪意のあるWebコンテンツ）— 既存のA2.1–A2.5ベクトルを超えて拡張。新ベクトルA2.8 Knowledge Supply Chain Poisoningは隠された指示ではなく、目に見えるコンテンツを標的とする。

2. Inference Residue Defense (IRD)

ユーザーがKnowledge Graphからノードを削除すると、データはディスクから消去される。しかし、そのノードに基づいたAI生成の推論は他のノードの属性、エンティティ関係、埋め込みインデックス、クラスター統計に生き残る可能性がある。これが推論残留物である。

残留物の分類

パージ・アーキテクチャ

IRDは推論依存グラフ（Inference Dependency Graph: IDG）を導入する — どの入力ノードがどのAI生成出力に寄与したかを記録する有向非巡回グラフ。

ノードが削除された時：

1. 直接残留物：即座に削除（明示的参照）
2. 伝播残留物：削除されたノードを入力から除外して再推論をキューイング
3. 埋め込み残留物：影響を受けた類似度インデックスを再構築
4. 統計的残留物：削除されたノードを除外してトピック統計を再計算

IDGは推論時に約2%のオーバーヘッドで依存関係を記録する。各エントリはコンパクト（ノードID + オペレーションID）。

脅威モデルマッピング：敵対者A3（拡張機能）およびA4（OSレベル）。新ベクトルA3.6 推論残留物エクスプロイト。

3. Semantic Blast Radius Containment (SBRC)

従来の侵害指標は漏洩レコード数、影響ユーザー数、露出バイト数を数える。しかしKnowledge Graphでは、料理ノード100件の漏洩 ≠ 精神科治療ノード100件の漏洩である。意味的ダメージは桁違いに異なる。

SBRCは侵害の影響を意味単位で測定し、意味空間に封じ込め境界を定義する。

封じ込めゾーン

グラフは意味的封じ込めゾーンに分割され、各ゾーンにダメージバジェットが設定される：

ゾーン間エッジの抽象化：ゾーン間のエッジは抽象化されたラベルを持つ。「医学論文のために糖尿病を研究中」（ゾーン1→ゾーン4）はゾーン境界で「健康関連の仕事」となる。これにより仕事ゾーンの侵害から医療ゾーンの具体的な内容が明らかになることを防ぐ。

Semantic Damage Index

侵害が検出されると、SBRCは生のノード数ではなくSemantic Damage Index (SDI)を算出する：

SDI(breach) = Σ sensitivity(node) × linkability(node) × uniqueness(node)

• 感度 (Sensitivity)：カテゴリベース（医療 = 1.0、一般 = 0.1）に特異性（ノードの詳細度）を乗算
• 連結性 (Linkability)：機密カテゴリを接続する高次数ノードはダメージを増幅
• 一意性 (Uniqueness)：「Pythonの構文」（一般知識）と「患者Xの処方箋」（個人特定）の差異

侵害レポートは「高感度の医療ノード3件と一般ノード12件が漏洩。推定プライバシー影響度：高」と表示される — 単純な「15ノードが漏洩」ではない。

4. Adversarial Graph Topology Resistance (AGTR)

既存の攻撃は個別のノードを標的とする（プロンプトインジェクション、エンティティ汚染、埋め込み操作）。AGTRは新しい脅威クラスに対処する：グラフのトポロジー（構造）自体への攻撃。

攻撃者はノードの内容ではなく接続パターンを操作する — グラフ構造を通じてユーザーを識別、追跡、または操作するために。

トポロジー攻撃

Topological Invariant Monitor

AGTRは構造的特性を継続的に追跡するTopological Invariant Monitor (TIM)を配備する：

• 構造ドリフト検出：グラフのトポロジー特徴ベクトル（次数列、クラスタリング、モチーフ頻度、スペクトル特性）がタイムステップ間で閾値を超えて変化した場合にアラート。
• 透かしパターンマッチング：最近追加されたノードが識別可能なサブグラフパターンを形成していないかチェック。
• エクスポート時の構造ノイズ：グラフデータのエクスポート前にダミーエッジ追加、ランダムエッジ削除、囮サブ構造注入を行い、エクスポートされたトポロジー ≠ 実際のトポロジーとする。

脅威モデルマッピング：敵対者A2。新ベクトルA2.6 構造的透かしとA2.7 ブリッジノード注入。

5. Temporal Causality Verification (TCV)

Knowledge Graph内のナレッジには因果的取得順序がある：ユーザーはAを学び、次にBを学び、A+BからCを推論した。この因果連鎖は信頼評価と不正検出に不可欠だが、既存のTemporal Securityパラダイムはタイムスタンプと時間ベースのアクセスのみを保護し、因果順序そのものは保護しない。

ハッシュチェーン構築

各ノード追加はハッシュチェーンエントリを生成する：

hi = SHA-256(hi-1 || content(vi) || timestamp(vi) || causal_refs(vi))

保証：

• 順序不変性：チェーンの途中にノードを挿入すると、後続のすべてのハッシュが無効になる。
• 因果参照検証：別のノードへの依存を主張するノードは検証可能 — 参照されるノードはチェーン内でより早く出現する必要がある。
• 削除検出：ノードの削除はチェーンを破壊する。

6. Cross-Session Entropy Leakage Prevention (CSELP)

セッション内の分離が完璧であっても、Knowledge Graphはセッションをまたぐ永続的構造である。各セッションのアクティビティはグラフの成長パターンとして蓄積され、その成長パターンの系列は強力なフィンガープリントとなる。

脱相関技術

防御目標：任意の2つのセッションのメタデータベクトル間の相互情報量は閾値 ε_session 以下に保つ。セッションNのメタデータを観測する者は、セッションN-1またはN+1について最大 ε_session ビットの情報しか得られない。

脅威モデルマッピング：敵対者A1（ネットワーク監視者）およびA3（拡張機能 — A3.5メタデータ収集）。新ベクトルA3.7 クロスセッション・メタデータ相関。

7. Retroactive Sanitization with Inference Purging (RSIP)

ユーザーがセキュリティポリシーを変更した場合（例：医療データの感度を最大に引き上げ）、新しいポリシーは将来のデータだけでなく、すでに収集・処理されたすべてのデータにも適用されなければならない。これは見た目以上に困難である：

1. データはすでにAIパイプラインで処理済み
2. 推論は他のノードに伝播済み（IRDの問題）
3. 埋め込みが情報をエンコード済み
4. クラスター統計とトピックモデルに影響済み

遡及パイプライン

ポリシー Π_old が Π_new に変更された時：

1. 影響ノードの特定：R = {Π_new が Π_old より制限的なノード}
2. 新ポリシーの直接適用：Rのラベル、アクセス制限、暗号化レベルを更新
3. 推論依存関係の走査：IRDの推論依存グラフを使用してRから派生したすべての推論を発見
4. R除外での再推論：影響を受けた属性とエッジをRのデータ無しで再計算
5. 埋め込みの再構築：Rの埋め込みを更新または削除し、類似度インデックスを再構築
6. 統計の再計算：Rを除外してトピック分布とクラスター集約を再計算
7. 完全性の検証：非Rノードがいかなるノードに対しても依存度 > 0を持たないことを確認

脅威モデルマッピング：すべての敵対者クラス。新ベクトルA-cross 遡及的ポリシー回避。

8. Contextual Amnesia Verification (CAV)

ユーザーが「このデータを忘れて」と言った時、従来のシステムは削除が実行されたことを確認する。CAVはさらに進んで、すべてのサブシステムにわたって復元が不可能であることの暗号学的証明を提供する。

Proof of Forgetting

Proof of Forgetting (PoF) はトリプルである：(commitment, deletion_proof, absence_proof)。

1. Commitment：データが存在する間、データがグラフ内にあることを示すMerkleコミットメントを記録。
2. Deletion proof：削除後、新しいMerkleルートにより削除データへの有効なMerkleパスが存在しないことを証明。
3. Absence proof：更新されたグラフ内のいかなるノードも削除データとの埋め込み類似度が閾値を超えないことを検証 — すなわち情報がエンコードされた形で生存していないことを確認。

サブシステム別忘却

同じデータが複数のサブシステムに存在する。PoFはすべてをカバーしなければならない：

Composite PoFはすべてのサブシステム別証明の論理積である。いずれかのサブシステムが検証に失敗した場合、ユーザーに通知される：「忘却未完了 — [サブシステム]でデータ残留物が検出されました。」

脅威モデルマッピング：敵対者A4（OSレベル — 削除後データ復元）およびA5（ベンダー — ログベースの再構築）。新ベクトルA4.3 削除後データ復元。

実装優先度

依存関係グラフ

新規脅威モデル攻撃ベクトル