- 研究者らが、犯罪現場の証拠として採取されたDNAサンプルを検知不能な形で改ざんできる、フォレンジックソフトウェアの重大な脆弱性を発見
- この脆弱性により、過去30年分の犯罪現場証拠の大部分が改ざん可能な状態にあることが判明
- 現在パッチが開発中であり、該当ソフトウェアを提供する企業は、改ざんの試みを監視するためのデジタル署名をすでに実装したとしている
法科学分野とコンピューターサイエンス分野の研究者からなるグループが、米国の大手犯罪鑑識研究所がDNA証拠の分析に使用しているソフトウェアのセキュリティについて懸念を表明しました。
ウォール・ストリート・ジャーナルが独占取材で報じたところによると、研究者らはAIモデルを利用することで、物理的なDNA証拠をコンピューターでスキャンしたデータを、検知されることなく改ざんすることに成功したといいます。この脆弱性は1995年以降に犯罪鑑識研究所が作成したデジタルファイルに関わるものであり、実に30年分の犯罪記録が改ざんのリスクにさらされていることになります。
この研究に携わったニューヘイブン大学の教授で法科学者でもあるローラ・ゲイドッシュ・コムズ氏は、次のように述べています。「事実上、私たちが手にしているデータファイルは、法科学のゴールドスタンダードと正式に呼ばれているにもかかわらず、紙袋に求められるような改ざん検知の仕組みすら備えていないのです」
「検知不能」な悪用の既知事例はなし
研究者らは2026年5月にこの脆弱性を公表しました。米国のほとんどの鑑識施設で使用されている犯罪鑑識用機器を製造するThermo Fisher Scientific社は、2026年7月に非公開でこの脆弱性を認め、現在修正版を開発中であるとしています。
また同社は顧客向けの別の通知の中で、この脆弱性が悪用された既知の事例はないとも述べています。
しかし研究者ら自身は、改ざんが行われたかどうかを検知する方法を見つけられなかったと述べています。この脆弱性の検証を担当したのは、Forensic Bioinformatics社のシステムエンジニア、ネイサン・アダムズ氏です。アダムズ氏はAnthropic社のClaudeを利用し、わずか45分でこの脆弱性の悪用に成功、ファイルの改ざんを実現しました。
一部のファイルはより高度な暗号化アルゴリズムで保護されていましたが、アダムズ氏はインターネット上で入手できる復号鍵を見つけ出し、これらのファイルへの侵入にも成功しました。
研究者らは、AIツールを使えば必要なスキルやツールを容易に習得できるため、攻撃者がこの脆弱性を悪用して犯罪現場証拠からDNAプロファイルを追加・削除できてしまう可能性があると指摘しています。これにより、容疑者のDNAを証拠から消し去ったり、逆に無実の人物のDNAを証拠に加えたりすることが可能になってしまいます。
この研究に携わったパールマッター法的正義センターの政策・改革担当ディレクター、サラ・チュー氏は次のように語っています。「他業界から得られた教訓が、法科学分野には本格的に取り入れられてきませんでした。私たちはこれまでずっと後手に回ってきたのです。そうしたツケが、今回のような事態にすべて回ってきています」
チュー氏はさらに、フォレンジック分野には統一された規制当局が存在しないため、200を超える鑑識研究所がそれぞれ異なる寄せ集めのセキュリティ対策しか講じていない状況にあると付け加えました。
Thermo Fisher Scientific社はWSJへの声明で次のように述べています。「当社は、このソフトウェアの問題が指摘されて以来、米国サイバーセキュリティ・インフラセキュリティ庁(CISA)と緊密に連携してきました。このテーマに取り組んだフォレンジック研究者の皆様の尽力に感謝するとともに、デジタル署名の使用を実装したソフトウェアアップデートを既にリリースしております。これにより追加の保護層が加わり、今後は顧客がデータファイルの未改ざんを検証できるようになります」
