OpenAIやAnthropicを含む各社は2026年8月27日、AI対応のサイバー防衛を世界規模で増強するよう求める公開書簡を公表した。公式ページの署名は8月28日の確認時点で117団体に上る。署名団体は、AI支援攻撃が今後数カ月で広がり、高度になると予測する。GoogleやMicrosoftも署名し、参加企業は半導体・通信から金融とセキュリティまで広がった。OpenAIがHugging Face侵害の最終報告を出した翌日に出た書簡は、防御側へモデル、資金、実地支援を行き渡らせる提案であり、モデル開発の停止や封じ込めは扱っていない。
ただし、117という署名数を共同防衛網の完成と受け取るのは早い。書簡は各主体の役割を詳しく示す一方、いつまでに、誰がいくら拠出し、共通の仕組みを誰が監査するのかを決めていない。AIで脆弱性を見つける能力を、検証済みの修正と現場の運用へ変えられるかが問われる。
117団体が4者へ割り振った仕事
署名欄にはAWSやOracleなどのクラウド企業、AMDやArmなどの半導体企業が並ぶ。Akamai、Cloudflare、Equinixといったインターネット基盤の企業も加わった。さらにCrowdStrike、Fortinet、Palo Alto Networksなどの防御製品ベンダーから、Capital One、Mastercard、Visaまで参加している。8月28日の確認時点で、公式ページに掲載された団体は117だった。
書簡は参加者を一括りにせず、4種類の主体へ異なる仕事を割り振った。
| 主体 | 求められた行動 | 成果の測り方・対象 |
|---|---|---|
| すべての組織 | 重大な弱点を修正し、最小権限や強いアクセス制御を導入する。AI生成コードも調達・開発基準に含める | 必須業務を止めずに修正できたか |
| セキュリティ企業・技術パートナー | フロンティア級の攻撃能力で防御を継続試験し、AIを既存製品へ組み込む。現場での導入と修正確認まで支援する | 保護できた組織数、封じ込め時間、修正が機能したか |
| 政府 | 脅威情報とインシデント対応を地域・国・国際レベルで調整し、資金不足の重要サービスへ予算を回す | 病院、水道、地方政府が防御AIと認可済みテストを使えるか |
| フロンティアAI企業 | 審査済みのモデルアクセス、資金、訓練、実地支援を提供する。観測ツールと追跡可能なエージェントIDを整える | 非公開報告から検証済み修正までつながったか |
役割分担の中心には、攻撃能力の高いAIを広く公開するのではなく、認可された防御者へ渡す「信頼済みアクセス」がある。低価格モデルで広い範囲を点検し、難しい問題へフロンティアモデルを投入する使い分けも提案した。高性能モデルを全件に使う前提ではなく、費用を抑えながら防御範囲を広げる考えである。
新標準より、修正を届かせる仕組み
書簡が企業へ求める対策の多くは、未知のセキュリティ原則ではない。パッチ適用や最小権限に加え、強い認証と多層防御は、米サイバーセキュリティ・社会基盤安全保障庁（CISA）が重要インフラ向けに示す任意のCross-Sector Cybersecurity Performance Goals 2.0にも含まれる。CISAはこの目標を、中小組織が効果の大きい対策へ投資を絞り、成熟度を測るための基準としている。
今回新しく加わったのは、AIで点検から修正までを速め、その能力を自前で用意できない組織へ配る考えである。書簡は病院や水道施設、地方政府を名指しし、モデルへのアクセスだけで終わらせず、導入作業と修正の検証まで支援するよう求めた。古い設備を止められずパッチを当てられない場合には、代替となる防御策を適用し、実際に機能するか確かめる。
ここで守るべき境界がある。AIが脆弱性の候補を大量に出しても、修正前より安全になったとは限らない。再現試験を行い、パッチを作り、保守担当者が確認して本番へ取り込むところまで進んで、初めて危険を減らせる。書簡が成果指標として「修正が機能したか」を挙げたのは、発見件数の競争から実装へ軸を移すためである。
AIエージェントに「誰が何をしたか」を残せるか
フロンティアAI企業への要請には、エージェントの識別を「追跡可能で責任を結び付けられる」ようにする項目が入った。人間の利用者名や共有APIキーだけをログに残しても、どのモデルのどの実行が操作し、別のエージェントへ何を委任したかまでは分からない。侵入や誤操作が起きた後に権限を止めるには、実行単位のIDと操作履歴をたどれる必要がある。
米国立標準技術研究所（NIST）も2026年2月、ソフトウェアとAIエージェントへ既存のID標準を適用するための概念文書を公開した。検討項目は識別と認可に加え、監査と否認防止にも及ぶ。プロンプトインジェクションへの対策も対象だ。つまり、共同書簡の要求はすでに公的な標準化課題と重なっている。
それでも、書簡は採用する識別子や署名方式を指定していない。親エージェントから子エージェントへの委任をどう記録するか、異なるクラウド間でログをどう照合するかも未定である。117団体が各社独自のIDを実装すれば、事故後の追跡は企業の境界で途切れる。共通仕様と相互運用試験がなければ、「追跡可能」という目標を企業横断の防御へ使えない。
個社の実績を共同枠組みへ変えられるか
OpenAIとAnthropicは、共同書簡より前から審査制のサイバー防御プログラムを運営している。OpenAIのDaybreakは、オープンソースの安全対策などへ1700万ドルのAPIクレジットと直接支援を約束した。同社の8月28日時点の自己報告では、41のコードベースから858件の問題を挙げ、263件のパッチを作成した。保守担当者が上流で採用したのは143件で、作成数の約54.4%に当たる。
この143件は、共同書簡が求める「検証済み修正」を測る一つの型になる。発見件数より採用件数を分けて示せば、AIが出した候補と、実際にソフトウェアへ入った対策を混同せずに済む。ただし、数字はOpenAIの自己報告であり、41件の選定条件や第三者監査の共通手順までは示していない。
AnthropicはClaude Mythos 5を少数の審査済みパートナーへ提供し、Project Glasswingを15カ国超の約150の新規組織へ広げると発表した。先行する約50のパートナーでは、1万件を超える高・重大度の脆弱性を見つけたと説明する。こちらもAnthropicによる集計で、OpenAIの指摘件数やパッチ採用数とは母集団が違う。両社の数字を性能表のように比べることはできない。
現状では、モデルの利用審査と監視方法は企業ごとに分かれている。データ保持と脆弱性の共有手順も統一されていない。共同書簡は各社を同じ方向へ並べたが、既存プログラムを一つの窓口や共通ルールへ統合してはいない。病院や水道事業者が複数社の制度を個別に審査しなければならないなら、導入負担は資源の乏しい側に残る。
署名数より先に測るべきもの
共同書簡は「今後数カ月」でAIを使うサイバー攻撃が広がり、高度になると予測する。しかし、増加率や基準期間、想定地域は示していない。117団体の賛同は危機感の広がりを表すが、攻撃がいつ、どの程度増えるかを測った結果ではない。
実施面の空白も大きい。書簡には法的拘束力がなく、署名団体ごとの義務もない。共同予算の総額と拠出割合は決まっておらず、開始期限も置かれていない。監査主体と未達時の扱いも不明である。フロンティアモデルの開発停止や、制御を失ったモデルを封じ込める共通計画も対象外だ。防御側を強くする提案と、モデル自体を制御する対策は別々に進める必要がある。
次の進展は、署名団体が保護した施設数、修正までにかかった時間、上流へ採用されたパッチ数を同じ定義で公開するかどうかに表れる。共同予算と実施期限を置き、エージェントIDの共通仕様を選び、第三者が成果を検証できれば、117という数は運用可能な防衛網へ変わる。
