画像生成AIに「頼んでいない広告」を埋め込む研究。なぜ見抜きにくいのか

画像生成AIに「青い車の画像を作って」「花瓶のある部屋を描いて」と頼んだのなら、入力した内容に沿った画像が返ってくると考えますよね。

Microsoft Researchは、広告を求めていないプロンプトから生成した画像に、特定ブランドの商品を自然に混入させる方法を研究したようで、これは単に画像の隅へロゴを貼り付ける話では終わらないようですよ。

非広告の入力を、広告らしい表現が生まれやすい方向へと誘導し、生成画像の内容としてブランドを登場させ、見た目が自然であれば、利用者はそれを広告ではなく、AIが選んだ構図や小物だと受け取るかもしれません。

この研究で重要なのは、画像生成AIに広告表示機能を追加することではなく、通常の生成処理そのものに、広告主の意図を紛れ込ませる可能性が扱っている点なんです。

生成画像が入力どおりに動いてくれない時には、まずプロンプトの解釈を疑いますよね。

しかし、テキスト画像生成の仕組みには、入力を分解するトークナイザー、文章を意味表現へ変換するテキストエンコーダー、画像を作る生成モデルなど、複数の段階があって、2023年のBAGM研究では、こうした複数の場所にバックドアを仕込む攻撃が検証されました。

それがトークナイザーの処理を変える方法、テキストエンコーダーを微調整する方法、生成モデルの重みに働きかける方法で、入力文に特殊な合図を入れたときだけ、指定したブランドや対象物が現れるようにする構成も含まれています。

この構造では、利用者がいくら入力文を見直しても、原因を見つけられないようで、そもそもの問題が入力ではなく、読み取りや生成を担うモデル側に入っているのですから、どんなに入力を変えても意味はありませんよね。

しかも、攻撃者が望むのは、露骨な広告ではなく、生成品質を大きく壊すことなく、自然な形で画像の中にブランドを混ぜるようで、実際のところ画像が不自然になれば、利用者や提供者はその異常に気づきやすくなりますよね。

しかし、広告らしさを隠すほど、通常の生成結果との区別が難しくなっていきます。

広告混入の研究は、画像生成モデルだけに限らず、2026年のHidden Ads研究では、画像の内容と、利用者が「おすすめを教えて」と尋ねる行動を組み合わせ、回答の末尾に攻撃者が指定した広告文を加える視覚言語モデルのバックドアが検証されています。

たとえば、食べ物や車の画像を見せて購入先やおすすめを尋ねたとしましょう。

これは異常な使い方ではなく、画像を理解するAIにとって自然な利用方法ですし、研究では、このような通常の行動をトリガーにして、モデルが正しい回答を返しながら広告を付け加える構成が扱われていました。

画像生成AIのブランド混入と、視覚言語モデルの広告文追加は同じ仕組みではないですし、前者は生成画像、後者は応答文への挿入です。

それでも共通しているのは、利用者がわざと広告を呼び出していないこと、そしてAIが普段どおり役に立っているように見えること。

「変な入力をしなければ大丈夫」という確認方法では、通常の利用行動に紛れた攻撃を見つけにくくなり、正しい答えや自然な画像が返ってくること自体が、安全の証明にはならないのです。

Microsoft Researchの研究では、攻撃の影響を抑えるため、モデルのすべてを一律に平滑化するのではなく、影響を受けやすいパラメータに絞って処理する防御方法も提案されていて、それが生成品質を保ちながら、広告的な挙動が追加学習によって残ることを抑える考え方。

一方、モデル内部の防御だけで、生成物の信頼性を利用者へ伝えられるわけではありません。

EUのAI生成コンテンツ透明性対応では、AI生成・改変コンテンツのマーキング、検出、ラベリングが扱われ、関連する透明性義務は2026年8月2日から適用されています。

この二つは別の対策えあり、前者は、モデルの内部に悪意ある挙動を入り込ませにくくする仕組みであり、後者は、生成されたコンテンツがAIによるものかを、利用者が判断できるようにする仕組みとなっています。

画像生成AIの安全性を考えるとき、生成画像の完成度だけを見ると、広告が自然に混ざるほど評価が高くなってしまう場面があり、きれいで、入力にも合っていて、違和感がない。

そんな画像ほど、モデルが何を基準に結果を選んだのかは見えにくくなります。

「頼んでいない広告」が問題になるのは、画像の中にロゴが現れるからだけではなく、AIの通常動作に、利用者が知らない目的を混ぜられる可能性があるから。

生成画像を信頼できるかどうかは、見た目の自然さだけでは決まりませんし、どのモデルを使ったのか、どのように更新・管理されているのか、生成物の来歴やAI利用を確認できるのか。

広告を求めていない画像を作るという、ごく普通の使い方から、AIの信頼性を考える範囲が広がっているようですね。