脆弱性報告とは
AIセキュリティにおける脆弱性報告とは、AIシステムで発見されたセキュリティ上の弱点を、開発者や運営者に対して責任ある方法で報告するプロセスです。責任ある開示（Responsible Disclosure）の原則に基づき、修正が完了するまで脆弱性の詳細を非公開とすることが求められます。
AI脆弱性の特殊性
AIシステムの脆弱性報告には独特の課題があります。従来のソフトウェア脆弱性と異なり、AIの脆弱性はモデルの確率的な挙動に起因することが多く、再現性の確保が難しい場合があります。また、ジェイルブレイクのようなモデルの挙動に関する脆弱性は、パッチの適用だけでは修正できず、モデルの再訓練やシステム設計の変更が必要になることもあります。脆弱性の深刻度評価も、従来のCVSSスコアでは適切に評価できないケースがあります。
報告プロセスの整備
効果的な脆弱性報告プロセスの整備には、報告チャネルの明確化（セキュリティ連絡先の公開、報告フォームの提供）、報告者への迅速なレスポンス（受領確認、ステータス更新）、トリアージ基準の策定、修正タイムラインの設定、報告者への謝辞・報奨が含まれます。CVE（Common Vulnerabilities and Exposures）のAI版であるAI脆弱性のデータベース化も議論されています。