学習型カーディナリティ推定に対するポイズニング攻撃

（PACE: Poisoning Attacks on Learned Cardinality Estimation）

田中専務

拓海先生、最近部下から『AIでデータベースの性能を上げられる』と言われまして、具体的に何が危ないのか知りたくなりました。今回の論文はどんな話ですか？

AIメンター拓海

素晴らしい着眼点ですね！この論文は、学習型カーディナリティ推定（Learned Cardinality Estimation、以下CE）が攻撃されるリスクを示す研究です。要点を3つにまとめると、1) 学習モデルが過去の問い合わせ履歴から学ぶため、その履歴を汚染されると推定が狂う、2) 攻撃者は実運用のクエリに似せた『毒入りクエリ』を混ぜることで精度を落とせる、3) 防御としては検出器や学習プロセスの堅牢化が必要である、ということですよ。

田中専務

学習型CEというのは、要するにデータベースが自動で「この問い合わせは何件返すか」を学習する仕組みという理解でよろしいですか？

AIメンター拓海

その通りです。データベースのオプティマイザーはクエリの結果件数（カーディナリティ）を見積もって実行計画を決める。学習型CEは過去のクエリと結果からそれを予測するモデルを作るのです。大丈夫、一緒にやれば必ずできますよ。

田中専務

怖い点は、外部の悪意ある第三者がクエリを投げることができる場面でしょうか。これって要するに、履歴の“学習材料”が汚されると判断を誤るということ？

AIメンター拓海

正確です。これをポイズニング攻撃（Poisoning Attacks）と呼びます。外から入るデータやクエリを通じてモデルの学習データを汚染し、意図的に誤った予測につなげる攻撃です。身近な例で言えば、過去の売上データに偽の注文を混ぜられると、将来の需要予測が狂うのと同じ構造です。

田中専務

実際にどれほど悪影響があるのか、経営判断で知りたいです。投資対効果を考えると、導入のリスクと期待値を天秤にかけたいのですが。

AIメンター拓海

重要な問いですね。要点を3つで答えます。1) 論文では攻撃によりCEの精度が大幅に落ち、結果的にデータベース全体の性能が10倍ほど悪化するケースが示されている、2) 攻撃はクエリの分布を模倣して行われるため通常の監視だけでは見抜きにくい、3) 対策としては検出器や学習プロセスの堅牢化が必要である、ということです。大丈夫、一緒にやれば必ずできますよ。

田中専務

なるほど。これって要するに、導入するなら攻撃に強い設計と監視体制がセットで必要、ということですね？

AIメンター拓海

その理解で合っています。まずは学習データの流入経路を整理し、異常検知を導入し、モデル更新時に検疫を設ける。これを段階的に実施すれば投資対効果は十分に担保できるはずです。

田中専務

分かりました。まずは現行のクエリログの管理状況を点検し、モデル更新のプロセスに検知を入れる方針で現場に指示します。ありがとうございました、拓海先生。

AIメンター拓海

素晴らしい一歩です。次回は具体的なチェックリストを用意します。大丈夫、一緒にやれば必ずできますよ。