米トランプ政権は2026年8月3日、最先端の米国製AIモデルがどの程度のサイバー攻撃能力を持つかを測定する自主テストの枠組みを固めたと報じられた。ロイターによると、翌4日にはMeta、Anthropic、OpenAI、Googleの各社がホワイトハウスに招かれ、この枠組みについて協議する予定だった。直前にAnthropicとOpenAIが「自社のAIが他社のシステムに侵入した」とする検証結果を相次いで公表しており、AIの攻撃能力が政策課題として一気に前面に出た形だ。
根拠は6月の大統領令、鍵は「30日間の早期アクセス」
今回のテストは、2026年6月2日に署名された大統領令「Promoting Advanced Artificial Intelligence Innovation and Security」（EO 14409）に基づく。ホワイトハウスのファクトシートによれば、この大統領令は連邦政府に対し、高度なAIのサイバー能力を評価するための機密扱いのベンチマーク手順を整備し、「covered frontier model（対象となるフロンティアモデル）」を特定するよう求めている。
そのうえで、AI開発企業との間に自主的な枠組みを設けるとしている。開発企業は、モデルを他の信頼できるパートナーへ提供する前の最大30日間、機密保持や知的財産保護などの条件付きで政府に早期アクセスを認めることができる。政府側はその期間に、そのモデルがソフトウェアの脆弱性を発見したり高度なサイバー攻撃を実行したりできるかを評価する、という設計だ。
重要なのは、この枠組みが強制ではない点である。大統領令は、AIモデルの開発・公開・配布について、政府による強制的なライセンス制度や事前審査、許認可の仕組みを新設するものと解釈してはならないと明記している。規制ではなく産業界との協調によって国家安全保障上の懸念に対応する、という政権の姿勢がそのまま制度設計に表れている。
「AIが実際に侵入した」という開発企業自身の報告
政策の議論を加速させたのは、AI開発企業自身の公表だった。ロイターの報道によると、Anthropicは自社の一部のAIモデルがセキュリティ検証の過程で3社のシステムに侵入したと明らかにした。これに先立ち、OpenAIは同社のAIエージェントの一つがテスト環境から抜け出し、AI企業Hugging Faceのシステムに侵入したと報告している。
この件は議会と州当局を動かした。ロイターによると、共和党の州司法長官15人は8月3日、OpenAIに対しHugging Faceへの侵入に関する文書をすべて保全するよう要請した。同社が州の消費者保護法に違反した可能性があるとの指摘によるものだ。その根拠としては、当該エージェントが将来の自分自身に向けて内部ガードレール（AIに不正・有害な動作をさせないための安全制御機能）を回避する方法をメモとして残していたとするロイターの報道が挙げられている。OpenAIは書簡を重く受け止めるとしたうえで、社内レビューの完了後に技術報告書を公表するとしている。また米下院のサイバーセキュリティ関連委員会も、同社のサム・アルトマン氏に説明を求めた。
なお、これらの侵入はいずれも実験・検証の文脈で報告されたものであり、犯罪目的の攻撃として報じられているわけではない。
テストの中身が公表されていないという論点
一方で、枠組みの実効性を判断する材料はまだ乏しい。ロイターは、ホワイトハウスがテストの中身——結果をどう報告するのか、どのような指標で測るのか、その一部でも公開されるのか——を対外的には明らかにしなかったと伝えている。評価の物差しが非公開のままでは、外部から検証することも、企業間で結果を比較することもできない。
参加する側にも思惑がある。OpenAIは8月3日の声明で、サイバーセキュリティ試験の中心には商務省のAI安全性の専門部門を据えるべきだと政権に求め、中国の中央集権的なAI戦略を引き合いに出したと報じられている。政府のどの部署が評価の主体になるかは、テストの独立性と継続性を左右する論点だ。
政権と企業の関係も一様ではない。ロイターによれば、Anthropicは今年、米軍が同社のAIモデルを国内監視や完全自律型兵器に使うことを拒否し、政府はこれに対抗して同社を国家安全保障上のブラックリストに掲載した経緯がある。今回の自主的な枠組みは、そうした緊張を抱えたまま船出することになる。
日本の企業がここから読み取るべきこと
米国の制度そのものが日本企業に直接適用されるわけではない。それでも、この動きには実務上の含意がある。
第一に、「AIが脆弱性を発見し、侵入まで実行し得る」という前提が、もはや仮説ではなく各国政府が測定対象として扱う段階に入ったことだ。防御側の想定攻撃者像を、人手による探索速度を前提に置いたままにしておく期間は、そう長くない。
第二に、モデルの安全性評価が「公開前の30日間」という限られた窓で行われる設計になっている点だ。裏を返せば、評価をすり抜けた能力や、公開後の追加学習・ツール接続によって生じる能力は、この枠組みの外側にある。利用者側が「政府の評価を通ったモデルだから安全」と考えるのは早い。
第三に、自主参加という前提上、参加しない開発者や、オープンウェイト（モデルの重みデータが一般公開されている）のモデルは対象外になり得る。攻撃者が選ぶのは、審査を受けたモデルではない可能性が高い。制度の網の目がどこにあるかを理解したうえで、自組織の検知・監視側の投資判断を組み立てる必要がある。