Black Hat USA 2026徹底解説：NVIDIA GPUを脅かすRowhammer攻撃とAI時代のサイバー防衛
2026年8月1日 18:18
Black Hat USA 2026は、ラスベガスのマンダレイ・ベイ・コンベンション・センターで、8月1日にトレーニングプログラムを開始する。今年はカンファレンスの29年の歴史で初めて、ブリーフィングで発表される脆弱性研究が、AIワークロードを動かす物理インフラを直接の標的としている。
NVIDIA製GPUのGDDR6メモリを狙うRowhammer攻撃、開発者が修正したと考えていたセキュリティ上の不具合を密かに再発させるコンパイラ技術、AIによるエクスプロイト生成が防御よりも攻撃を低コストにする理由を扱う基調講演が一堂に会する。Black Hat USA 2026は、GPUハードウェア、コンパイラのツールチェーン、AI支援型の脆弱性悪用が、大規模なクラウドAIを支える共有型・マルチテナントGPUインフラという一つの攻撃対象に収束する場となる。
こうした技術的な収束と並び、前例のない顔ぶれの政府高官も基調講演に登壇する。8月4日には、ホワイトハウスの国家サイバー長官ショーン・ケアンクロス氏が炉辺談話形式のセッションに登壇する。続くパネルには、米サイバーセキュリティ・社会基盤安全保障庁（CISA）長官代行のニック・アンダーセン氏、FBIサイバー部門次長のブレット・レザーマン氏、戦争省サイバー政策担当次官補のキャサリン（ケイティ）・E・サットン氏が参加する。「Cyber Power in the Age of AI（AI時代のサイバーパワー）」と題されたこのセッションは、Black Hatの基調講演ステージに集まる米国の文民サイバー指導部として、過去最高レベルの顔ぶれとなる。
第29回となるBlack Hat USAは、8月1日から6日までマンダレイ・ベイで開催される。最初の4日間にトレーニングを実施し、8月4日のサミットデーを経て、8月5日と6日にメインのブリーフィングが開かれる。8月6日からはラスベガス・コンベンション・センターでDEF CON 34が続き、コミュニティーが「ハッカー・サマー・キャンプ」と呼ぶ、セキュリティ研究が年間で最も集中する1週間となる。
■AIインフラの攻撃対象領域が意味するもの
セキュリティカンファレンスでは過去2年間、プロンプトインジェクション、モデルの窃取、敵対的入力といったAIの脅威が議論されてきた。しかし、Black Hat USA 2026はこれまでと異なる。今年発表される研究は、AIアプリケーションの基盤となるハードウェアとソフトウェアのスタック、つまり多くの組織が従来は攻撃対象に含まれないと想定していたレイヤーを狙うものだ。
トロント大学の研究者らが2026年4月の第47回IEEE Symposium on Security and Privacyで発表した「GPUBreach」は、GDDR6 GPUメモリで発生させたRowhammerのビット反転を連鎖させ、CPU側での完全な権限昇格につなげられることを初めて実証した。Rowhammerは、DRAMの行に高頻度でアクセスし、隣接するセルのデータを破壊するハードウェア攻撃として2014年から知られている。CPU用DRAMでは、Target Row Refresh（TRR）やLPDDR5のRefresh Management（RFM）による緩和策が広く導入されてきたが、GPU用DRAMには同等の強化策が講じられていない。
攻撃チェーンは4段階で構成される。GPUBreachの技術概要によると、研究者らはまず、NVIDIAのドライバーモデルでCPUとGPUの間に共有仮想アドレス空間を作るCUDAのUnified Virtual Memory（UVM）サブシステムを利用し、Rowhammerによる反復アクセスがGPUのページテーブル構造に届く位置へメモリ割り当てを配置した。
次に、Rowhammerのビット反転でページテーブルエントリを破壊し、権限を持たないCUDAカーネルからGPUメモリを任意に読み書きできる状態を作り出す。第3段階では、そのアクセス権を利用してNVIDIAのカーネルモードドライバーにあるメモリ安全性の不具合を悪用する。最終的には、ホスト上でrootシェルを取得する。
IEEE S&P 2026で同時期に発表されたGDDRHammerおよびGeForgeという2件の関連研究と比べた場合、GPUBreachの際立った特徴は、Input-Output Memory Management Unit（IOMMU）が有効な状態でも、CPU側で完全な権限昇格を達成できる点にある。IOMMUは、GPUからホストへの攻撃を防ぐ主要なハードウェア分離機構であり、エンタープライズLinux、Windows、主要クラウドプロバイダーの仮想化スタックではデフォルトで有効になっている。Cloud Security Allianceが公開した調査ノートによると、従来のGPUを対象としたRowhammer研究では、IOMMUを無効にする必要があった。
AIインフラへの実際的な影響は明確だ。想定される標的環境には、AIの学習や推論を実行するクラウドGPUインスタンス、KubernetesのGPUノードプール、共有ハイパフォーマンスコンピューティング（HPC）クラスターが含まれる。
共有GPU環境の権限を持たない共同テナントが、利用環境の構成上GPUBreachを悪用できた場合、ホストを侵害し、隣接テナントのモデルの重み、学習データ、計算資源にアクセスできる可能性がある。NVIDIAは研究チームに対し、対応GPUでシステムレベルECCを有効にするよう推奨している現在のRowhammerセキュリティ通知を更新する可能性があると伝えた。記事公開時点ではCVEは割り当てられていない。
Black Hat USA 2026のブリーフィング発表によると、「C and Its Consequences: The Source Is Just a Suggestion（C言語とその帰結：ソースコードは単なる提案にすぎない）」では、同じインフラ層に存在する別の問題を取り上げる。Cのソースコードを機械語のバイナリに変換するコンパイラは、競合状態を防ぐために記述された防御的なコードを、最適化処理によってバイナリレベルで再び競合状態を含む形へ変換してしまうことがあるという。
開発者がCのソースコードにTime-of-Check to Time-of-Use（TOCTOU）を防ぐガードを記述しても、コンパイル後のバイナリでは、そのガードがTOCTOUを防げなくなっている可能性がある。この発見は、メモリ安全な言語を巡る議論にも直接関係する。防御的に記述したCコードでさえコンパイラによる変換から安全ではないとすれば、ソースコードのレビューだけでなく、コンパイル後の出力を形式検証する必要があるとの主張は一段と強まる。
■政府高官が基調講演に登壇
公式の基調講演発表によると、8月4日午後4時15分からのオープニングセッション「Cyber Power in the Age of AI」は、Black Hatでは前例のない政府の関与を示している。ホワイトハウスの国家サイバー長官、CISA長官代行、FBIサイバー部門の幹部、戦争省のサイバー政策担当次官補が同じステージに立つ。攻撃研究が初めて一般公開される実務者向けイベントで、連邦政府機関が積極的に議題形成へ関与していることを示すものだ。
ケアンクロス氏は、政権が重視する政府と産業界の連携、および攻撃的サイバー作戦の役割について語る予定だ。パネルでは、犯罪ネットワークの阻止、重要インフラの防衛、攻撃・防御作戦の連携などを通じて、各機関がサイバー政策をどのように実際の活動へ移しているかが議論されるとみられる。
8月5日水曜日の基調講演「The End of Rare: Defending When Offense Is Cheap（希少性の終わり：攻撃が安価になった時代の防御）」には、MicrosoftのAgentic Securityチームに所属するデビッド・ウェストン氏が登壇する。基調講演のラインナップによると、ウェストン氏は、AIを利用した脆弱性発見とエクスプロイト生成が、攻撃と防御のコスト構造をどのように変えつつあるかを考察する。
自律型システムが大規模に脆弱性を発見し、悪用できるようになれば、防御側が攻撃者による発見より先にパッチを適用できるという前提は成り立たなくなる。同氏が提示するメモリ安全な言語、形式検証、自動修復という対策は抽象論ではない。セキュリティ実務者が対応できているかにかかわらず、クラウドプロバイダー、OSベンダー、コンパイラ設計者がすでに進みつつある方向だ。
8月6日木曜日の基調講演「Vulnerability Research in the Agentic Age（エージェント時代の脆弱性研究）」には、アリゾナ州立大学准教授のヤン・ショシタイシュヴィリ氏が登壇する。Black Hatの基調講演発表によると、同氏は、数十年にわたり職人的な技として扱われてきたエクスプロイト研究を、体系的かつ再現可能な手法として捉える科学的基盤について論じる。
また、自律型ツールがIoT機器、Webブラウザー、カーネル、ブートローダーの脆弱性を、従来の「研究者がキーボードに向かって調査する」モデルでは対処が難しい速度で発見している現状も取り上げる。
■注目すべきブリーフィング
ブリーフィングの全スケジュールによると、8月5日と6日の両日、午前10時から午後5時まで複数のトラックが並行開催される。AIやクラウドインフラを防御する実務者にとって、特に注目すべきセッションは次の3つだ。
「Beyond Normalization: The Expanding Unicode Attack Surface（正規化を超えて：拡大するUnicodeの攻撃対象領域）」では、不正なUTF-8シーケンスや、サロゲート文字から置換文字への変換を利用して、Webアプリケーションファイアウォール（WAF）を回避し、クロスサイトスクリプティング（XSS）やリモートコード実行（RCE）につなげる手法が実演される。ブリーフィングの発表によると、AI実務者に直接関係する大規模言語モデル（LLM）のジェイルブレイク手法も扱う。
攻撃対象となるのは、入力を検証する際の解釈と、その入力を別のシステムコンポーネントが後から処理する際の解釈との間に生じる、文字正規化上のずれである。
「GPUBreach: Privilege Escalation Attacks on GPUs Using Rowhammer（GPUBreach：Rowhammerを使ったGPU権限昇格攻撃）」は、前述したトロント大学の研究をカンファレンスで発表するセッションだ。ブリーフィングの発表によると、IOMMUが有効な状態で行うRowhammerベースのGPU権限昇格について、初めてライブ形式で技術的な手順を解説する。
「C and Its Consequences: The Source Is Just a Suggestion」では、TOCTOU脆弱性を密かに再発させる具体的なコンパイラ最適化パターンを示す。また、ソースコードで意図した防御とコンパイル後の出力との食い違いを、どのようなテストやツールで検出できるかを実務者向けに解説する。
■8月4日に開催される6つのサミット
サミットのスケジュール発表によると、サミットデーの8月4日には、特定の業界や専門領域に焦点を当てた6つの終日プログラムが並行して開催される。
ヘルスケアサミット（初開催）：病院システムや患者記録を狙うランサムウェアおよびデータ窃取攻撃が続いていることを受け、Black Hatは医療情報技術団体HIMSSと提携し、初のヘルスケアサミットを開催する。過去2年間に重大なサイバー攻撃を経験してきた医療業界を対象に、診療業務の中断、患者からの信頼、業務上のレジリエンスを取り上げる。プレミアムスポンサーはAxonius。
CISOサミット（12年目）：招待制のCISOサミットには、上級セキュリティ幹部が集まり、率直かつ非公開の議論を行う。主な登壇者には、Anthropic副CISOのジェイソン・クリントン氏、Cyber Threat Alliance社長兼CEOのマイケル・ダニエル氏、米司法省刑事局CIOのヤヌシュ・ワシオレク氏が含まれる。
AIサミット（3年目）：マンダレイ・ベイのオーシャンサイドルームで、午前8時から午後5時30分まで開催される。AIをセキュリティ能力として利用する側面と、AI自体が攻撃対象になる側面の両方を扱う。主な登壇者には、St. Luke's University Health Network副CISOのクリスタ・アーント氏、CVS HealthプリンシパルAIサイエンティストのヒマ・ガンガ・ヤルラガッダ氏、TD Bankで敵対者インテリジェンスおよび阻止を担当するシニアマネージャーのエリック・フーバー氏が含まれる。タイトルスポンサーはTrendAI。
金融脅威サミット（2年目）：銀行、決済、保険、フィンテック、資本市場のリーダーが、第2回金融脅威サミットに集まる。主な登壇者には、Coinbase CISOのジェフ・ルングルホファー氏、Payment Villageプレジデントのリー・アン・ギャロウェイ氏、Operation Shamrock創設者兼CEOのエリン・ウェスト氏が含まれる。タイトルスポンサーはWallarm。
イノベーター＆投資家サミット（3年目）：セキュリティスタートアップの創業者、投資家、企業のCISOを結び付ける。主な登壇者には、Resilient Cyber創設者のクリス・ヒューズ氏、Rain Capital創設者兼ゼネラルパートナーのチェンシー・ワン氏、Axari最高戦略責任者のキャロライン・ウォン氏が含まれる。
Omdiaアナリストサミット（6年目）：Omdiaのエンタープライズおよびチャネル担当リサーチVP、マキシン・ホルト氏の主導により、脅威の変化、M&Aの動向、企業のセキュリティ優先事項をデータに基づいて分析する。
■Arsenal：オープンソースツールの実演
ブリーフィングの発表によると、Arsenalでは、マルウェア分析、デジタルフォレンジック、脅威ハンティング、インシデント対応にまたがる80件を超えるツールの対面デモが行われる。防御への応用という点では、次の3つが注目される。
Obscurize: Malware for Defense and Counter Offense：管理された防御目的の環境で、攻撃用マルウェアの技術を研究するためのオープンソースツール。
Practical Ransomware Detection on macOS (via Math, not AI)：機械学習ベースの検出手法にある既知の限界を回避し、数学的な手法でmacOS向けランサムウェアを検出するアプローチ。macOSが企業のエンドポイントとして普及するにつれて、関連性が高まっている。
ICSForge OT/ICS Security Coverage Validation Platform：運用技術（OT）および産業用制御システム（ICS）におけるセキュリティ対策のカバー範囲を検証するプラットフォーム。物理インフラへの攻撃が加速する中、注目が高まっている領域である。
■トレーニング：8月1日〜4日
メインカンファレンスに先立ち、4日間のトレーニングが実施される。トレーニングスケジュールによると、2026年には初めて、コースが「Core（基礎技術）」と「Elective（専門分野の詳細講座）」に分類される。
カリキュラムには、「Agentic AI-aided Kubernetes Attack and Defense」「Mastering LLM Integration Security」「Crash Course on AI Engineering for Security Teams」など、AIセキュリティを巡る現状を踏まえて設計されたコースが含まれる。
受講料は期間に応じて1コース数千ドルで、1ドル159円換算では数十万円以上となる。専門資格保持者はCPEクレジットを取得できる。トレーニングのパスは、ブリーフィングの登録とは別に購入する必要がある。
■2つの新フォーラム
Black Hat USA 2026では、2つの専門フォーラムが新設される。
Cyber War Forumは、サイバーセキュリティと武力紛争が交差する領域で働く実務者を対象とする。攻撃・防御の双方に関するドクトリン、サイバー作戦を規律する法的枠組み、現代の紛争で標的または手段となる民間インフラの役割を検討する。
Black Hat(HER)は、セキュリティ研究およびリーダーシップ分野における女性の参加と認知度の向上を目的とする新しいフォーラムだ。過去10年間にハッカー・サマー・キャンプ全体で拡大してきた同様の取り組みに加わる。
■ビジネスホールとスポンサー
ビジネスホールのスケジュールによると、3日間の展示期間を通じて、400社を超えるソリューションプロバイダーとスタートアップが出展する。開催時間は、8月4日のウェルカムレセプションが午後4時から7時、8月5日が午前9時から午後6時、8月6日が午前9時から午後4時となっている。
ビジネスホールの中央には専用のAIゾーンが設けられ、AIに焦点を当てたセキュリティベンダーやツールを集中的に展示するスペースとなる。
基調講演の発表によると、チタニウムスポンサーにはCisco、Qualys、ReliaQuest、Safe Security、SentinelOne、ServiceNow、ThreatLockerが名を連ねる。ダイヤモンドスポンサーには7AI、Cymulate、Exaforce、Fortra、KnowBe4、MIND、Oak、Primary、Prophet Security、Sophos、Tenable、TrendAI、Vectra AIが含まれる。
■現地参加せずにセッションを追う方法
ブリーフィングの録画は、2026年8月14日から9月14日まで、Black Hat Eventsアプリを通じて対象パスの保有者に提供される。
ラスベガスへ渡航できないものの、防御側にとって関連性の高いセッションを追いたい実務者は、GPUBreach、コンパイラがTOCTOU脆弱性を再発させる問題を扱う「C and Its Consequences」、WAF回避、XSS、LLMジェイルブレイクを扱うUnicode攻撃対象領域のセッションを優先するとよい。
会場はMandalay Bay Convention Center, 3950 S. Las Vegas Boulevard, Las Vegas, NV 89119。登録は引き続きblackhat.com/us-26/registration.htmlで受け付けている。
■注目ポイントQ&A
●GPUBreachとは何ですか？ AIワークロードにも影響しますか？
GPUBreachは、トロント大学の研究者らが2026年4月に発表したRowhammerベースの攻撃です。研究論文によると、IOMMUによる保護が有効な場合でも、NVIDIA製GPU上で動く権限のないプロセスから、ホストシステム上のrootシェル取得まで権限を昇格できることが示されています。
組織がマルチテナント型のKubernetes GPUプールや共有HPCクラスターなど、共有クラウドGPU環境でAIの学習や推論を実行している場合、この研究は直接関係します。攻撃は、GDDR6 GPUメモリにCPU用DRAMと同等のRowhammer緩和策がないことを利用します。
NVIDIAの現在の案内では、対応GPUでシステムレベルECCを有効にすることが推奨されています。ハードウェアECC以外に研究者がどのような対策を示すかについては、Black Hatのブリーフィングセッションを確認する必要があります。
●なぜBlack Hat 2026には多くの米政府高官が登壇するのですか？
公式の基調講演発表によると、ホワイトハウスの国家サイバー長官、CISA長官代行、FBIサイバー部門の幹部、戦争省のサイバー政策担当次官補が同じ基調講演セッションに登壇します。
これは、連邦政府のサイバー分野での姿勢が、研究コミュニティーを観察する段階から、議論の形成に積極的に関与する段階へ移ったことを示すものとされています。「Cyber Power in the Age of AI」は、AIを利用した攻撃能力が実際の作戦に関係するようになり、重要インフラを守るセキュリティ技術者が集まるBlack Hatが、その現実を率直に議論する場として適しているとの政策認識を反映しています。
●現地に参加しなくてもBlack Hat 2026のブリーフィングを視聴できますか？
Briefings、Briefings+Training、Briefings+Summitのいずれかのパスを持つ参加者は、2026年8月14日から9月14日まで、Black Hat Eventsモバイルアプリを通じて、すべてのブリーフィングのオンデマンド録画を視聴できます。
登録はblackhat.com/us-26/registration.htmlで受け付けています。アクセス期間中、録画セッションは一般向けに無料公開されません。
●直後に開催されるDEF CONとBlack Hatは何が違いますか？
Black Hat USA 2025の閉幕発表によると、Black Hatは企業のセキュリティ専門家、政府機関の請負事業者、ベンダーのチームなど約2万人が参加する有料の商業カンファレンスです。査読を経たブリーフィングとベンダーニュートラルな方針を特徴とし、新しい攻撃研究が初めて公開され、その成果が防御側の組織的な知識へと転換される主要な場となっています。
一方、8月6日にラスベガス・コンベンション・センターで開幕するDEF CONは、約3万人が集まるコミュニティー主導の、当日参加も可能なコンベンションです。ハッカービレッジやCTF競技が多く、企業カンファレンスとしての構造が比較的弱いという異なる文化を持っています。DEF CONの公式サイトによると、1回のラスベガス滞在で両イベントに参加する実務者も多くいます。
元記事: Black Hat USA 2026: Rowhammer Hits NVIDIA GPUs as Government Takes the Keynote Stage