攻撃元に政府が「アクセス・無害化」 AI時代に変わる日本のサイバー安全保障：知っておきたい日本政府の方針（1/2 ページ）

フロンティアAIの進化で、脆弱性を見つけるスピードは一変しようとしている。では、見つかった穴を企業は本当にふさぎ切れるのか。政府はこの変化をどう捉え、どこまで踏み込もうとしているのか。国家サイバー統括室の統括官が、AI時代の防御と安全保障の現在地を語った。企業にも無関係ではないその理由とは。

[高橋睦美，＠IT]

　高市早苗首相が2026年8月16日、「X」（旧Twitter）でポストしたように、サイバー攻撃は人ごとではなく、誰もが被害に遭う可能性がある深刻な問題だ。その標的は個人だけでない。企業や社会インフラ、国家を狙ったランサムウェアやサイバースパイ活動が横行し、国家主導での対策が急務になっている。

　加えて「Claude Mythos」（以下、Mythos）をはじめとするフロンティアAIのサイバーセキュリティ能力が急速に高まる中、新たなリスクも発生するはずだ。最近では、AnthropicやOpenAIでは、AIモデルの評価環境から外部システムへのアクセスが発生する事例も明らかになった。

NCOの統括官を務める門松貴氏（筆者撮影）

　こうした事態を踏まえて、政府は2025年5月に「サイバー対処能力強化法」を成立させ、官民の情報共有や通信情報の利用、アクセス・無害化といった新たな仕組みの整備を進めている。これを主導するのが国家サイバー統括室（NCO）だ。NCOは、日本のサイバー安全保障政策を一元的に総合調整するため、2025年7月に内閣サイバーセキュリティセンター（NISC）を改組して内閣官房に設置された。

　同室の統括官を務める門松貴氏が、今後の脅威を見据えた政府の具体的な施策に加え、フロンティアAIとの付き合い方を語った。

本稿は、日本サイバーセキュリティ産業振興コミュニティ（NCPC）が2026年7月9日に開催した「セキュリティ『日本度』公開発表会」における基調講演の内容を再構成したものです。

フロンティアAIの課題に世界でも真っ先に対応　知っておきたい日本の方針

　門松氏は、フロンティアAIの普及による最大の変化は「スピード」だと主張する。フロンティアAIによる脆弱（ぜいじゃく）性発見能力の向上は著しく、うまく活用すれば企業の脆弱性対策サイクルを高速化できるだろう。

　しかし現状、企業がAIの性能向上に追い付けていない点に政府としては強い危機感を覚えている。新たな脆弱性が次々に見つかっても修正パッチの適用が追い付いていなければ、侵入用の穴が増えるだけだ。そのため見つかった脆弱性に対応するパッチをいち早く適用する体制を作ることが、何よりも大事になるのだが、事態はそう単純ではない。

　パッチの迅速な適用は基本的なセキュリティ対策として、これまでも繰り返し求められてきた。だが、ビジネスの根幹を担うような基幹システムほど、パッチ適用による再起動やサービス停止の影響は大きくなるため、すぐさま実行するわけにはいかない。特に重要インフラ事業者のようなサービス停止が一大事になるような企業ではなおさらだろう。

　今後AIによって脆弱性の発見速度がさらに高まり、対応を迫られるケースが増えれば、企業は「脆弱性があるからパッチを当てる」という単純な判断だけでは済まなくなる。事業への影響を見極めながら、いつ、どのシステムに、どの対策を適用するかを短時間で決めなければならない。これはもはや、単一システムの専門家の判断を大きく超えた“経営判断”だ。

　こうした課題はあるが、政府としては防御側のAI利用リスクを低減しつつ、導入を促したい。そこでNCO主導で発足した政策パッケージが「Project YATA-Shield」（プロジェクト・ヤタシールド）だ。

　「連休も返上して作業を進め、異例の早さで世界でいち早くまとめられたフロンティアAI関連の政策パッケージとなった」（門松氏）

　Project YATA-Shieldでは、AI性能の高度化を踏まえたサイバーセキュリティ対策の強化を、政府機関・重要インフラ事業者・ソフトウェアベンダーの三者で横断的に進めるものだ。

　例えばAI活用で先行する金融業界などが得たベストプラクティスを他の重要インフラ事業者に横展開する取り組みの他、ソフトウェアベンダーと連携し、セキュア・バイ・デザインの考え方の下、製品リリース前の脆弱性を減らし、リリース後に見つかった脆弱性の早期対応をベンダーに促しているという。

　また、政府自らフロンティアAIを使ってシステムの脆弱性を発見・修正する取り組みを主導し、厚生労働省や経済産業省、金融庁などでも意見交換を活発化させ、業界ごとの特性を踏まえながら議論を進めているという。

　「フロンティアAIの利用とセキュリティの安全性については、議論すべき観点が多々あり、まだこれという定石はない。そのため、政府も特定の企業やモデルに依存するのではなく、複数のモデルを使い分けるマルチモデルのアプローチを含め、試行錯誤を続けている」（門松氏）

　門松氏は、G7サミットにおけるAIとサイバーセキュリティの議論から「対応の方向性はProject YATA-Shieldの内容とほぼ共通」とし、「米国だけでなく各国は非常に対応に悩んでおり、決して日本政府や事業者が遅れているといった状況にはない」と語った。