API経由の攻撃とは
API経由の攻撃とは、AIモデルが公開するAPIインターフェースを悪用して、モデルの情報窃取、サービス妨害、不正利用を行う攻撃の総称です。クラウドベースのAIサービスが普及するにつれ、API経由の攻撃は増加の一途をたどっています。
攻撃の種類
API経由の攻撃には多くの種類があります。大量のクエリを送信してモデルを複製するモデル抽出攻撃、APIの脆弱性を突いた認証回避、大量リクエストによるサービス拒否攻撃（DoS）、APIの入力にプロンプトインジェクションを仕込む攻撃、レート制限の回避（複数アカウントの使用や分散リクエスト）などが代表的です。また、APIレスポンスからモデルのバージョンやアーキテクチャに関する情報を推測する情報収集も攻撃の前段階として行われます。
防御策
API経由の攻撃への防御は、堅牢な認証・認可機構の実装、きめ細かなレート制限、入力バリデーション、ログ記録と異常検出、API応答からの不要な情報の排除が基本です。WAF（Web Application Firewall）の導入やAPIゲートウェイでのセキュリティポリシー適用も有効です。また、APIの利用状況を継続的に監視し、不審なアクセスパターンを早期に検出する体制が重要です。