音声のディープフェイクを「人間が耳で聞いて見抜く」ことは、もはや現実的な防御線ではありません。IT技術者82人を対象にした最新の研究で、2024年の音声合成ツールで作られた音声のF1スコアは48%（ほぼ当てずっぽうの水準）まで低下し、さらに会話の一部だけをすり替えた「部分改ざん」では正答率がわずか9%にまで落ち込みました。しかも被験者は「この中にディープフェイクが含まれている」と事前に警告されたうえでの結果です。
電話やWeb会議での本人確認を「声を聞けば分かる」という前提で運用している組織は、その前提を今すぐ捨てる必要があります。
この記事でわかること
- 音声ディープフェイクを人間が見抜ける確率が、この5年でどこまで落ちたか
- 「全部が偽物」より「一文だけ偽物」のほうが圧倒的に危険な理由
- 検知AIに任せれば解決するのか（結論：人とAIは別々の失敗をする）
- 情シスが今日から変えるべき「本人確認の手続き」の考え方
どんな研究か
Milan Šalko氏らによる研究「Tracking the Trend in How Speech Synthesizers Deceive People」（2026年8月20日 arXiv公開、arXiv:2608.19959）です。2019年・2022年・2024年に登場した3つの音声合成ツールで作った音声を、82人のIT技術者に聞かせ、人間の検知能力が年代とともにどう変化したかを追跡しました。あわせて、既存の学習済みディープフェイク検知器6種を同じ音声で評価し、人間と機械を直接比較しています。
従来の研究では「人間の検知精度は70〜80%」とされてきましたが、それらは主に古い世代の合成器を使った評価でした。本研究はその数字が現在も通用するのかを問い直したものです。
比較に使われた3つの合成ツールとは
研究で使われたのは、いずれも「誰でも手が届く」ツールです。ここが情シスにとっての要点になります。
| 年 | ツール | 位置づけ |
|---|---|---|
| 2019 | RTVC（Real-Time Voice Cloning） | 公開されたオープンソースの音声クローン実装 |
| 2022 | YourTTS | 少量の音声から話者を再現するオープンな多話者TTS |
| 2024 | ElevenLabs | ブラウザから使える商用の音声合成サービス |
2019年・2022年のものは技術的な素養がないと扱いにくいものでしたが、2024年のものはWebサービスとして提供されており、専門知識のない攻撃者でもアカウント登録だけで利用できます。攻撃のハードルが「技術力」から「課金」に変わったことが、以下の数字の背景にあります。
何が分かったのか
結果は明快で、そして厳しいものでした。
| 条件 | 人間の成績 |
|---|---|
| 全面合成（RTVC・2019） | F1スコア 約90% |
| 全面合成（YourTTS・2022） | F1スコア 約90% |
| 全面合成（ElevenLabs・2024） | F1スコア 48% |
| 部分改ざん（一文だけすり替え） | 厳密な正答率 9% |
注目すべきは、2019年と2022年のツールでは約90%を維持していた検知能力が、2024年のツールで一気に48%へ落ちている点です。緩やかに悪化したのではなく、直近の世代で崖のように落ちています。F1スコア48%は、実務上「聞き分けられていない」と読むべき水準です。
なぜ「部分改ざん」がこれほど危険なのか
部分改ざん（partial spoofing）とは、本物の音声のうち一文だけを合成音声に差し替える手口です。ここでの人間の成績は、厳密な正答率が9%、そしてすり替えられた合成文を「本物だ」と判断してしまった割合が77%でした。
攻撃の観点で考えると、この手口の効率の良さが分かります。全体を合成すると声質・間・雑音の不自然さが積み重なりますが、本物の音声の中に一文だけ混ぜるなら、前後が本物である以上、聞き手の警戒は下がったままです。そして詐欺に必要な情報は、たいてい一文で足ります。「振込先が変更になりました」「至急、この口座へ」——必要なのはそれだけです。
研究は、人間も検知器も、短い改ざん箇所の位置を特定（localize）できなかったと報告しています。「どこかがおかしい気がする」までは辿り着けても、「ここが偽物だ」には届かないということです。
見過ごせない副作用：本物まで疑い始める
もう一つ、実務上やっかいな傾向が報告されています。聞き手は次第に、本物の音声まで「偽物だ」と誤判定するようになったという点です。研究はこれを、改ざんされていない音声への信頼が損なわれる現象だと指摘しています。
これは組織運用に直接響きます。「怪しい声は疑え」という教育を強めるほど、正規の電話連絡までが止まり、業務が滞ります。ディープフェイク対策を「従業員の警戒心を上げる」方向だけで進めると、詐欺は防げないまま業務効率だけが落ちる、という最悪の形になりかねません。
検知AIに任せれば解決するのか
結論から言えば、現時点では代替になりません。研究チームは6種類の学習済み検知器を同じ音声で評価し、人間と検知器は「相補的に（complementary）」失敗すると結論づけています。つまり、人間が間違える場面と検知器が間違える場面はずれており、どちらか一方に任せれば安全という関係ではありません。片方が苦手な部分をもう片方が埋める可能性はあるものの、短い改ざん箇所の特定に関してはどちらも信頼できなかったと報告されています。
研究が提言している方向は、検知の精度向上だけではありません。手続きによる検証（procedural verification）、来歴（provenance）の追跡、電子透かし（watermarking）、そして文単位の検知——つまり「聞き分ける」以外の層で守る、という考え方です。
現場目線の課題：一番効く対策が、一番言いづらい
正直なところ、この研究が示す対策の方向性は、情シスにとって導入が難しいものです。技術的な検知製品を1つ買えば終わる話ではなく、「送金・口座変更・権限付与は、電話やWeb会議の音声だけでは決裁しない」という業務ルールの変更が本丸だからです。
これは情報システム部門だけでは決められません。経理・購買・人事の業務フローに手を入れることになり、しかも現場からは「役員の声で指示が来ているのに、なぜ折り返しが必要なのか」という反発が出ます。技術部門が「声は本人確認の証拠になりません」と言い続けても、決裁権を持つ側が納得しなければルールは変わりません。
その意味で、本研究の数字は説明資料として使えるものです。「IT技術者82人でも、事前に警告されたうえで9%しか見抜けなかった」という一文は、「うちの社員なら気づくはずだ」という楽観に対する具体的な反証になります。抽象的な注意喚起より、こうした実測値のほうが経営層には届きます。
情シスはどうすべきか
本記事で自前の長大なチェックリストを並べることはしません。まず参照すべきは公的機関の指針です。
- IPA「情報セキュリティ10大脅威 2026」：2026年版では「AI利用に伴うサイバーセキュリティリスク」が組織編で初選出・3位に入り、「ビジネスメール詐欺」も9年連続でランクインしています。社内説明の出発点として使いやすい資料です。
→ 情報セキュリティ10大脅威 2026（IPA） - IPA「対策のしおり」：エンドユーザ向けの啓発資料。声だけで判断させない運用を現場に伝える際の土台になります。
→ 対策のしおり（IPA） - IPA「セキュリティインシデント対応 机上演習教材」：「役員を名乗る音声で緊急の送金指示が来た」というシナリオは、机上演習の題材として非常に相性が良いものです。ルール変更を通すには、実際に現場でやってみせるのが近道です。
→ 机上演習教材（IPA）
そのうえで、本研究の示唆を一言でまとめるなら、「本人確認を、聞き分けから手続きへ移す」ということに尽きます。事前に登録した番号への折り返し、別チャネルでの二重確認、合言葉の運用——いずれも古典的な手法ですが、音声が信用できなくなった世界では、むしろこうした地道な手続きの価値が上がっています。技術で守れない部分を運用で埋める、という判断が求められる局面です。
この研究の限界と留意点
数字が衝撃的なだけに、過度な一般化は避けるべきです。以下の点は押さえておいてください。
- arXivで公開された版はプレプリントですが、本論文はSPSC 2026（第6回 Symposium on Security and Privacy in Speech Communication）に採択済みと記載されています。とはいえ最終版で記述が変わる可能性はあります。
- 被験者は82人のIT技術者で、一般の従業員層や高齢者を代表するものではありません。サンプル規模も限定的です。
- 評価対象は選定された3つの合成ツールであり、市場に存在するすべての音声合成を網羅したものではありません。
- 実験は音声を聞いて判定する形式です。リアルタイムの電話やWeb会議、通信品質の劣化がある実環境での成績とは条件が異なります。
- 検知器の評価は学習済みモデルをそのまま適用した結果です。対象データに合わせて追加学習した検知器なら成績が変わる可能性があります。
- 実験に使われたのは英語音声であり、日本語環境での成績がそのまま同じになるとは限りません。
まとめ
- 2024年世代の音声合成では、IT技術者でもF1スコア48%までしか見抜けない。2019年・2022年世代の約90%から崖のように落ちており、「耳で聞いて判断する」防御はすでに機能していません。
- 一文だけをすり替える「部分改ざん」の厳密な正答率は9%、合成文を本物と誤判定した割合は77%。人間も検知器も改ざん箇所を特定できず、攻撃効率は極めて高い状態です。
- 対策の軸は検知ではなく手続き。送金・口座変更・権限付与を音声だけで決裁しない業務ルールへ移すことが本丸で、この研究の数字は経営層への説明材料として使えます。
関連記事
出典
- Milan Šalko, Anton Firc, Kamil Malinka, Vojtěch Staněk, Martin Perešini, Filip Pleško, Jakub Reš「Tracking the Trend in How Speech Synthesizers Deceive People」arXiv:2608.19959（2026年8月20日公開／SPSC 2026採択）
https://arxiv.org/abs/2608.19959 - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html - IPA「対策のしおり」
https://www.ipa.go.jp/security/guide/shiori.html - IPA「セキュリティインシデント対応 机上演習教材」
https://www.ipa.go.jp/security/sec-tools/ttx.html
