米研究者が3100万回のAI学習で生んだ「見えない服」
米ラスベガスで2026年8月9日に開幕したセキュリティ会議「Def Con」で、特殊な柄をプリントした服や車体カバーを身につけるだけでAI監視カメラの検知を回避できるという実験が公開されました。米TechCrunchによると、開発者は自作の強化学習モデルに3100万回もの試行を繰り返させ、ナンバープレート認識カメラ大手Flock Safetyや顔認識企業Clearview AIなど11種類のAI検出アルゴリズムを同時に突破するパターンを生成することに成功したといいます。
「ノーレコグニション」とは何か——数字で見る破壊力
この取り組みは「noRecognition（ノーレコグニション）」と名付けられたプロジェクトで、米カンザスシティのサイバーセキュリティ専門家ビル・スウェアリンゲン氏が個人で開発しました。同氏は地元のセキュリティコミュニティ「SecKC」の共同創設者でもあり、サイバーセキュリティ企業SIXCYBERを率いる人物です。Def Conでの実演では、2009年式トヨタ・ヤリスの車体全体に同パターンを施したラッピングを貼り付け、自動車系メディア「Donut Media」と共同でFlockのナンバープレート認識カメラの前を走行させる検証を実施しました。結果としてカメラは車両を検知アラートとして記録しなかったとされ、一定の効果が確認されています。ただしタイヤ部分は柄を貼りにくく、完全な回避には課題が残ったとスウェアリンゲン氏は認めています。これまでも研究室レベルの敵対的サンプルは数多く報告されてきましたが、実際の路上でFlockの商用カメラを相手に検証した事例は珍しく、学術的な概念実証を実社会に持ち込んだ点が注目を集めた理由といえます。
仕組み——強化学習が”絵の描き方”を独学
noRecognitionの中核は、敵対的サンプル（アドバーサリアル・イグザンプル）と呼ばれる技術です。これは画像認識AIに人間の目にはほとんど分からない微小なノイズやパターンを加えることで、AIに誤認識を引き起こさせる手法を指します。スウェアリンゲン氏はこれを「モデルに絵の描き方を教えるようなものだ」と説明しています。具体的には、生成したパターンを10種類以上の公開検出アルゴリズムにぶつけ、検知に失敗するたびにモデルが設計を微修正するというサイクルをおよそ1年間、約3100万回にわたって繰り返しました。地域の技術支援プログラム「Digital Sandbox KC」から計算資源の提供を受けたことで、当初7年かかると見積もっていた開発期間を3カ月にまで短縮できたといいます。現在は毎分ごとに新しいパターンを自動生成できる段階まで到達しており、当初は目立つ迷彩柄だったデザインも、次第に一見普通の服にしか見えない控えめな柄へと”進化”しているのが特徴です。開発初期には7年規模のプロジェクトになると見込んでいたことを踏まえると、地域の計算資源支援がスピードを大きく左右したことになります。
- 対象アルゴリズム：Flock Safety、Clearview AI、Axonなど公開・商用11種類の検出モデル
- 試行回数：約3100万回（開発期間はおよそ1年）
- 生成速度：現在は毎分1パターンを自動生成
なぜ今この技術が求められるのか——監視網拡大への反発
開発の背景には、米国で急速に広がる自動ナンバープレート認識（ANPR）カメラ網への懸念があります。Flock Safetyのカメラは全米5000以上の自治体・警察機関に導入されているとされ、抗議活動の参加者の行動履歴が民間企業のデータベースに蓄積されるリスクが指摘されてきました。スウェアリンゲン氏自身、「抗議デモに参加したら、その参加者リストが作られてしまうのではないか」という不安がプロジェクトの出発点だったと振り返っています。政府機関と異なり民間の監視カメラ事業者には十分な監督体制が存在しないという問題意識も、開発を後押ししたとされます。米国では2026年に入り、Flockのカメラが繰り返し破壊・妨害される事例も相次いで報じられており、監視技術の拡大に対する市民の反発が可視化された形です。ANPR網は当初、盗難車両の追跡など治安目的で導入が進みましたが、蓄積された走行履歴が令状なしに政治活動の監視へ転用されかねないという懸念が、市民社会からの反発を強めている構図です。
顔認識の精度格差という論点
noRecognitionが提起する論点は監視網の是非だけではありません。関連する研究では、顔認識システムの誤認識率が肌の色によって最大10倍から100倍もの差がある（＝肌の色が濃い人ほど誤認識されやすい）ことが指摘されています。こうしたアルゴリズムのバイアスは、既に一部の国で誤認逮捕などの実害を招いた事例が報告されており、noRecognitionのような「回避」技術は、精度そのものへの信頼が万人に均等でない監視システムに対するカウンターとしての意味合いも持ちます。プロジェクトチームは最も強力なパターンについては、カメラメーカー側の対策（いたちごっこ）を防ぐ目的であえて一般公開せず、非公開のまま運用しているとしています。技術的な回避策の是非とは別に、そもそも精度に偏りのあるシステムを社会実装してよいのかという根本的な問いを、noRecognitionは間接的に投げかけていると言えるでしょう。
今後の課題と限界
一方で、この技術には明確な限界もあります。noRecognitionのパターンはカメラの「録画」自体を止めるものではなく、あくまでAIによる自動検知・アラート発報を無効化するに過ぎません。つまり映像そのものは記録され続けており、人間の目視やその後の解析によって特定される可能性は残ります。また、検出アルゴリズム側が学習し直せば効果が薄れる「いたちごっこ」の構図も避けられず、恒久的な解決策とは言えません。それでも、クラウドファンディングサイトKickstarterでは既に同パターンを使ったTシャツやパーカー、将来的には車両用ラッピングの商品化キャンペーンが始動しており、技術デモの域を超えて実用化が進みつつあります。
補足情報
AIによる監視回避を目指す「敵対的ファッション」の試みは今回が初めてではありません。2020年には米ノースイースタン大学とMIT、IBMの研究者らが、万華鏡のような柄で人物検知AIを混乱させるシャツを発表し話題となりました。日本でも2021年、テキスタイルレーベル「UNLABELED」が同様の技術を応用したカモフラージュ柄の衣服を「DESIGNART TOKYO」で展示・販売した実績があります。noRecognitionの新しさは、強化学習によってパターン生成そのものを自動化・大規模化し、複数の商用検出システムを同時に突破する精度まで高めた点にあります。
まとめ
3100万回の試行から生まれたnoRecognitionは、AI監視カメラの死角を突く技術デモであると同時に、急拡大する民間監視網への異議申し立てでもあります。録画自体は防げず、検出側との「いたちごっこ」が続く点には注意が必要ですが、Kickstarterでの商品化が進めば一般消費者が手に取れる技術として広がる可能性があります。カメラメーカー側が対抗策を打ち出すか、規制当局が民間監視企業への監督を強化するかなど、今後の展開が注目されます。