Apple Vision Proの視線追跡技術は、タイピングとインタラクションする新しい方法を提供しますが、ハッカーはすでにこれを悪用して機密情報を盗んでいます。データ保護のために知っておくべきことをご紹介します。
新しいテクノロジーには常に新たな脆弱性が伴います。そのような脆弱性の一つであるGAZEploitは、Apple Vision ProのFaceTime通話において、ユーザーのプライバシーを侵害する危険性を秘めています。
フロリダ大学、CertiK Skyfall チーム、テキサス工科大学の研究者によって開発された GAZEploit は、仮想現実での視線追跡データを使用して、ユーザーが入力している内容を推測します。
Apple Vision Proのような仮想現実（VR）デバイスや複合現実（MR）デバイスを装着すると、仮想キーボード上のキーを目で見て入力できます。物理的なボタンを押す代わりに、デバイスが視線の動きをトラッキングして、選択された文字や数字を判断します。
攻撃の概要
仮想キーボードには GAZEploit が役立ちます。目の動きのデータを分析し、ユーザーが入力している内容を推測します。
GAZEploitは、ユーザーの仮想アバターの目の動きを記録することで機能します。人の目がどれだけ広く開いているかを測定する目のアスペクト比（EAR）と、画面上のどこを見ているかを正確に追跡する視線推定に重点を置いています。
これらの要素を分析することで、ハッカーはユーザーがいつ入力しているかを判断し、選択している特定のキーを正確に特定することができます。
VRでタイピングをする際、ユーザーの目は特定の動きをし、瞬きの回数が少なくなります。GAZEploitはこれを検出し、リカレントニューラルネットワーク（RNN）と呼ばれる機械学習プログラムを使用して、これらの目のパターンを分析します。
研究者たちは 30 人のデータを使って RNN をトレーニングし、98% の確率でタイピングセッションを正確に識別できるようにしました。
正しいキー入力を推測する
入力セッションが特定されると、GAZEploitは、サッケードと呼ばれる急速な眼球運動と、その後に続くキーに視線が定まる際の停止（注視）を分析することで、キー入力を予測します。この攻撃では、これらの眼球運動を仮想キーボードのレイアウトと照合し、入力されている文字や数字を推測します。
GAZEploitは、注視中の視線の安定性を計算することで、選択されたキーを正確に識別できます。研究者らはテストにおいて、個々のキー入力の予測精度は85.9%、タイピング動作の認識精度はほぼ完璧な96.8%を報告しました。
攻撃はリモートで実行できるため、攻撃者はアバターのビデオ映像にアクセスして目の動きを分析し、入力されている内容を推測するだけで済みます。
リモート アクセスとは、仮想会議、ビデオ通話、ライブ ストリーミングなどの日常的なシナリオであっても、パスワードや機密メッセージなどの個人情報がユーザーの知らないうちに漏洩する可能性があることを意味します。
ゲイゼプロイトから身を守る方法
GAZEploitのような潜在的な攻撃から身を守るために、ユーザーはいくつかの予防策を講じる必要があります。まず、仮想現実（VR）環境で視線追跡技術を使用して、パスワードや個人情報などの機密情報を入力しないでください。
代わりに、物理キーボードやその他の安全な入力方法を使用する方が安全です。Appleは脆弱性を修正するためのセキュリティパッチを頻繁にリリースしているため、ソフトウェアを最新の状態に保つことも重要です。
最後に、VR/MR デバイスのプライバシー設定を調整して、不要なときに視線追跡を制限または無効にすることで、リスクにさらされる可能性をさらに減らすことができます。
