モデル署名だけじゃない──OpenSSFのAI/MLセキュリティWGが同時に動かす7つのプロジェクト

AIモデルの署名フォーマット「OpenSSF Model Signing（OMS）」を読んだ際、その親組織として名前が挙がっていたのが、OpenSSF内の「AI/ML Security Working Group」だ。このワーキンググループ自身のGitHubリポジトリ（2023年9月5日にOpenSSF Technical Advisory Councilが設立を承認、直近pushは2026年5月1日、スター187）を確認すると、モデル署名以外にも複数のプロジェクトが並行して動いていることが分かる。

3行まとめ

• このワーキンググループは「sandbox level（OpenSSFの成熟度区分の中で最も初期段階）」に位置づけられており、LLM・生成AI・機械学習がオープンソースプロジェクトのセキュリティに与える影響を、AIのためのセキュリティ（security for AI）とセキュリティのためのAI（AI for security）の両面から探る
• 正式に承認されたプロジェクトは7件——モデル署名（Model Signing）、LLMで脆弱性を自動発見・修正する「Cyber Reasoning Systems」、MCPのセキュリティを扱う「SAFE-MCP」、モデルのライフサイクル全体の来歴を扱う「E2E Model Lifecycle Provenance」、GPUを使ったモデル完全性検証、AIコーディングアシスタントのセキュリティガイド、AI支援開発を安全に行うための研修コース「Secure AI/ML-Driven Software Development」
• 共同議長はJay White氏とMihai Maruseac氏（README内ではそれぞれのGitHubユーザー名で表記されているのみで、所属企業の記載はない）。隔週でZoom会議を開催し、Slackチャンネル・メーリングリストも運用している

SAFE-MCP——MITRE ATT&CKをMCPに適用する

複数のプロジェクトの中で、この連載でこれまで扱ってきたMCPセキュリティ関連のIETFドラフト群と直接関係が深いのが「SAFE-MCP」だ。

Project: SAFE-MCP. Detailed purpose: A comprehensive security framework for the Model Context Protocol (MCP). Adapting MITRE ATT&CK methodology specifically for AI agent-tool orchestration. 80+ security techniques across 14 tactic categories with actionable mitigation guidance. Addressing emerging threats in agentic AI systems including prompt injection, tool permissions abuse, and credential leakage.

（プロジェクト：SAFE-MCP。詳細な目的：Model Context Protocol（MCP）のための包括的なセキュリティフレームワーク。MITRE ATT&CK手法を、AIエージェントとツールのオーケストレーションに特化して適応させる。14の戦術カテゴリにまたがる80以上のセキュリティ技術と、実行可能な軽減策のガイダンスを提供する。プロンプトインジェクション・ツール権限の悪用・認証情報の漏洩を含む、エージェント型AIシステムにおける新興の脅威に対処する）

MITRE ATT&CKは、サイバー攻撃の戦術・技術を体系的に分類した、セキュリティ業界で広く使われているフレームワークだ。SAFE-MCPはこの体系を、MCPというAIエージェント固有のプロトコルに合わせて作り変える取り組みだと分かる。

7プロジェクトを1つの表にする——頻度・窓口はSIGごとにバラバラ

READMEの「More details about the projects」節を1件ずつ読むと、各プロジェクト・SIGごとにミーティング頻度と連絡窓口が個別に設定されていることが分かる。

(出典: READMEの「More details about the projects」節を日本語化・表組み。GPU-Based Model Integrityと2つの教育系プロジェクトは、他のSIGと異なりミーティング情報・Slackチャンネルの単独記載がREADMEになかった)

E2E Model Provenance——モデル署名(OMS)の"次"を作るSIG

モデル署名(OMS)がモデル1個の完全性・来歴を証明する仕組みだったのに対し、「E2E (End-to-End) Model Lifecycle Provenance」SIGはモデルのライフサイクル全体を対象にする。READMEの説明は次の通りだ。

Developing a pipeline-agnostic framework for attesting and validating end-to-end model lifecycle provenance. The work in this SIG intends to complement OpenSSF Model Signing (OMS) and build upon the Atlas framework for ML lifecycle provenance and transparency and its implementation in the Atlas CLI, which currently supports OMS-compliant C2PA metadata and standard Intel TDX hardware attestation.

（パイプラインに依存しない、モデルのライフサイクル全体の来歴を証明・検証するフレームワークを開発する。このSIGの作業は、OpenSSF Model Signing (OMS) を補完することを意図しており、MLライフサイクルの来歴と透明性のための「Atlas」フレームワークとその実装である「Atlas CLI」を基盤とする。Atlas CLIは現時点で、OMS準拠のC2PAメタデータと、標準的なIntel TDXハードウェアアテステーションに対応している）

C2PA（コンテンツの来歴を証明する業界規格、画像・動画の生成AI検出文脈でよく使われる）と、Intel TDX（Trust Domain Extensions、ハードウェアレベルの機密計算技術）という、モデル署名単体の記事では出てこなかった2つの技術が、ここでは前提として組み込まれている。

もう一つのSIG「GPU-Based Model Integrity」は、CPUベースの完全性検証の限界を補う位置づけだとREADMEは説明する。

Address the challenges of traditional CPU-based integrity verification by leveraging GPU acceleration for model integrity operations (hashing, signing, attestation). Model integrity is one component of comprehensive model provenance; this SIG's work will integrate with and enable broader provenance frameworks such as Model Transparency and Atlas.

（GPUアクセラレーションをモデル完全性の操作（ハッシュ化・署名・アテステーション）に活用することで、従来のCPUベースの完全性検証が抱える課題に対処する。モデル完全性は包括的なモデル来歴の一部であり、このSIGの作業はModel TransparencyやAtlasといった、より広い来歴フレームワークと統合される）

教育系の2プロジェクトは無料で公開済み

7件のうち2件は、研究・開発ではなく教育コンテンツの整備が目的だ。1つは「Security-Focused Guide for AI Code Assistant Instructions」で、公開ページをcurlで確認すると2025年8月1日付けで公開済みだった。TL;DR節には次の5項目が挙げられている。

You Are the Developer – AI is the Assistant / Apply Engineering Best Practices Always / Be Security-Conscious / Guide the AI / Ask the AI to review and improve its own work

（あなたが開発者であり、AIはアシスタントに過ぎない／エンジニアリングのベストプラクティスは常に適用する／セキュリティを意識する／AIを導く／AI自身に自分の仕事をレビュー・改善させる）

最後の項目は「Recursive Criticism and Improvement (RCI)」という手法への言及で、「Review your previous answer and find problems with your answer」に続けて「Based on the problems you found, improve your answer」と指示することを繰り返す手法だと説明されている。ガイドはClaude向けのMarkdown指示ファイル・GitHub Copilotのinstructionsファイル・Cline・Cursorのrules・Kiroのsteeringファイルなど、ツールごとのカスタム指示ファイルへの適用を想定している。

もう1つは「Secure AI/ML-Driven Software Development (LFEL1012)」というLinux Foundation Training発行のコースで、公開ページをcurlで確認したところ次のスペックだった。

（出典: training.linuxfoundation.org の当該コースページをcurlで取得・確認。READMEには「2025-10-16公開予定」と書かれていたが、2026年8月29日時点で実際にページは公開・受講可能な状態だった）

他のAI/OSSセキュリティ団体との関係——MVSR文書より

READMEから辿れるmvsr.mdという文書には、このWGが他のAI/セキュリティ関連団体とどう違うかを自己分析した節がある。

（出典: mvsr.mdの該当節を日本語化・表組み。原文は英語）

Model Signingが「基盤」と位置づけられている

mvsr.mdはさらに、モデル署名プロジェクトを次のように位置づけている。

Currently, we have a model signing project with the aim of creating a solution that can be used to sign ML models during training and verify the integrity of these models before deploying them in applications. This is at the foundation for any supply chain statement we can make about AI/ML, and we are planning to extend this to datasets too.

（現在、学習中にMLモデルへ署名し、アプリケーションへのデプロイ前に完全性を検証できるソリューションの構築を目的とした、モデル署名プロジェクトを持っている。これはAI/MLに関するあらゆるサプライチェーン上の主張の基盤であり、今後はデータセットにも対象を広げる計画だ）

「データセットにも拡張する計画」という記述は、モデル署名(OMS)単体の記事では確認できていなかった今後の方向性だ。

Cyber Reasoning Systems——LLMで脆弱性を自動発見・修正する

もう一つの特別関心グループ（SIG）が、LLMを使った自動脆弱性対応だ。

Special Interest Group: Cyber Reasoning Systems. Detailed purpose: Development and support of Cyber Reasoning Systems (CRS) that leverage LLMs to automatically discover and patch software vulnerabilities. These projects address a critical gap in the open source security ecosystem: the need for intelligent, automated vulnerability detection that can scale across diverse codebases.

（特別関心グループ：Cyber Reasoning Systems。詳細な目的：LLMを活用してソフトウェアの脆弱性を自動的に発見・修正する「Cyber Reasoning Systems（CRS）」の開発と支援。これらのプロジェクトは、オープンソースセキュリティエコシステムにおける重要な空白——多様なコードベースにまたがってスケールできる、知的で自動化された脆弱性検出の必要性——に対処する）

SAFE-MCPの80技術リストと実装進捗までは読んでいない

7つのプロジェクト・SIGのうち、READMEの記載を裏取りできたのはモデル署名(OMS)・SAFE-MCP・Cyber Reasoning Systems・E2E Model Provenance・GPU-Based Model Integrity・2つの教育系プロジェクトの計画/公開状況までで、SAFE-MCPが掲げる「80以上のセキュリティ技術」の個別リストや、Cyber Reasoning Systemsの実装コードそのものまでは、本記事では読み込んでいない（READMEにも個別リストへの直接リンクは記載がなかった）。GPU-Based Model Integrity SIGについてはREADMEにミーティング情報・Slackチャンネルの記載自体がなく、活動の実態がどの程度あるかは本文の範囲では判断できない。この記事を書いている自分自身は、OpenSSFのワーキンググループ活動に参加した経験がなく、Zoom会議に出席したり、Slackチャンネルでのやり取りを見たりしたことはない。日本語ではZenn・Qiitaともに、このワーキンググループ単体を扱った記事は検索時点で見当たらなかった。

関連記事: MCP（Model Context Protocol）とは / AIセキュリティリスク──プロンプトインジェクション・データ漏洩対策【2026年】

感想・指摘はコメント欄へ。