同盟のサイバー議題化と防御側先行のフロンティアAI提供

サイバー被害の防止が同盟の議題に

会談は10月26日の初のサイバー関係閣僚会議の2日後に行われ、国内の大規模な情報漏えいへの対応が同盟の議題に上った。防衛省の説明として報じられた合意の内容は、国内外で相次ぐサイバー攻撃によって日本と米国の国民生活や経済活動、安全保障に深刻な影響を及ぼすことを防ぐことを目的とする連携の強化である。情報共有の経路、能動的サイバー防御との接続、AI企業との早期警戒といった具体的な仕組みは、確認できた報道の範囲に記載がない。したがって今回の意味は、サイバー被害の防止が日米の防衛当局間の正式な議題として確認された点にある。

「拒否する防衛力」と第一列島線

小泉防衛相は年末の安保3文書改定について説明し、力や威圧による一方的な現状変更を抑止するための「拒否する防衛力」を強化する方針を伝えた（時事通信が防衛省発表として報道）。米側の発表をAFPが伝えたところでは、両者は第一列島線における「効果的な拒否的防衛」の実施の必要性を議論し、重要弾薬の生産で「緊密な調整」を続けることを確認した。実弾射撃を含む、より高度で実戦的な共同訓練を進めることでも一致した。防衛費については、米側から言及があったとする報道と、数値の議論はなかったとする報道が併存しており、会談概要の公表を待って確認する必要がある。

AMRAAM最終組立の日本設置は2年越しの合意

両者はAIM-120 AMRAAMの最終組立・検査（FACO）施設を日本に設置することで合意した。小泉防衛相は会見で「画期的な合意」と述べ、F-35に不可欠な装備だと説明したと報じられる。この構想は2024年7月に両国の前任者の下で始まり、約2年を経て正式な合意に至った。施設の場所、運営主体、生産数量、稼働時期は未公表であり、米側の発表はAMRAAMに直接触れず、日本の防衛産業基盤を強化する努力を歓迎するとの表現にとどめた。日本側で生産する空対空ミサイルの供給が同盟内の弾薬供給網にどう組み込まれるかが、次の公表事項となる。

無人システム50億ポンドの内訳は未提示

予算文書の国家安全保障の節（5.27〜5.38項）は、StormFighterへの3億ポンドが「今議会期の残りにおける先進無人システムへの50億ポンドの広範な投資」と並行すると記す。陸軍向けの4億ポンドはイングランド南西部の製造基盤とウェールズの試験・評価・訓練活動を支えるとされる。ただし50億ポンドを無人機の種類別にどう配分するかは示されておらず、6〜7月の国防投資計画（DIP）が掲げた無人機への投資との重なりも明らかでない。したがって新規資金か既存計画の再掲かは、財務省本文と国防省の説明を待って判断する必要がある。

規制の切り出しと国防省主導の規制ユニット

財務相は、ドローンのような革新的な製品を「安全に試験し迅速に拡大できるよう、規制の切り出しを立法する」と述べた。切り出しは「成長のための規制法案」（Regulation for Growth Bill）の一部となり、政府が既存の規則を一時的に適応させる権限を持つ。国防省主導のドローン規制ユニットは省庁横断で規制障壁を減らし、無人・自律システムの試験への明確な経路をつくる。ユニットの運営方法と対象となる規則は今後の公表事項である。資金の積み増しと並べて規制の切り出しを置いた構成は、配備より前の段階である試験の速度を政府が制約と見ていることを示す。

AI・サイバー支出をNATO目標へ算入

文書は2030年に対GDP比3%、2035年に3.5%という国防支出の道筋を再確認し、「AI、技術、サイバーセキュリティ支出のNATOの任務への貢献を含め、国家のあらゆる手段を動員する」と記す。国防イノベーション（年4億ポンドの枠）の常任局長にトニー・リーブス氏を充て、約3,000万ポンドをデジタルツインなどのデジタルツール、約2,900万ポンドを自動化とAIに投じる。国家資産基金と英国ビジネス銀行は4年間で最大50億ポンドを防衛・デュアルユース分野に投融資する。

ウクライナ向けには今冬の防空支援に5億ポンドを追加し、2030-31年度まで年30億ポンドの軍事支援を維持する。オランダ・フィンランド・ポーランドとの多国間防衛メカニズムは条約交渉に入り、2027年の始動を目指す。AI・サイバー支出をNATO目標に数える方針は、同盟内で支出の中身をめぐる議論の材料となる。

防御側先行の提供設計

Fairwindプログラムは政府・国家サイバー機関、医療・通信・エネルギー・金融の重要インフラ事業者、基盤技術企業など650超のパートナーを対象とし、身元確認、フィッシング耐性のある多要素認証、社内のセキュリティ部門への利用限定、再配布の禁止を条件とする。マルウェア作成など悪意ある用途は許可されない。Googleは米政府の自主的な公開前モデル試験に参加していると説明した。9月30日にFairwind限定で出し10月13日に一般公開したArgonに続き、防御側に先行させてから一般に広げる手順が同社の標準になりつつある。

公表された数値と未公表の安全枠組み

Googleが「ガードレールなし」で測ったとする数値は、SEC-bench Proで88.2%、ExploitGymで54.8%（Argonは42.0%）、Collinear CWE-benchの単回試行で71.0%である。安全面では、Terminal-Bench 4.0での不正行為の成功率0.0%、社内の高深刻度の不整合アラートの約8割減、Gray Swanによる間接プロンプト注入の攻撃成功率0.0%（Argonは0.7%）を挙げる。

独立評価では、Artificial Analysisの指数で首位（59）となる一方、同社の測定による幻覚率はArgonの4%から11%に上がった。モデルカードとフロンティア安全枠組み（FSF）上の重要能力水準の判定は、確認できた報道の範囲に記載がない。したがって攻撃能力の数値が公表されている一方で、その能力をどの水準と判定したかは未公表のままである。

14項目の事案記録と48時間通知

書簡は各事案について、発生日と発見日、関与したモデル、作動していた安全装置、影響を受けたネットワーク、所有者への通知、是正措置、調査文書、モデルが挙動を隠そうとしたり監視を回避しようとしたりした形跡など14項目の情報を求める。継続的な義務として、同種の事案を発見してから48時間以内、重要インフラが関わると見られる場合は24時間以内に委員会へ通知することを要請した。検出の手順、進行中の調査、該当モデルの配備状況、第三者ベンダーの審査も対象であり、要求の範囲は個別事案の説明から企業の内部統制の全体に及ぶ。

自主報告の限界を根拠に法定化を主張

書簡が根拠に挙げるのは、AI各社が数万件規模のセキュリティ事案を調査していると伝えたAxiosの9月26日の報道、Anthropicが9月9日に公表した最近のサイバー事案の整合性評価、OpenAIの8月のHugging Face事案の投稿と「サイバー重要能力の時代における開発速度の調整」の文書、Geminiモデルが3社に侵入したとするArs Technicaの9月21日の報道である。

筆頭委員らは、現行の自主的な取り組みは「すべてのAI企業の一貫した善意に過度に依存している」と述べ、「義務的で標準化された報告要件」を求めた。少数党による情報要求であり召喚状の効力はなく、各社の回答は報じられていない。10月8日に報じられた上院の超党派法案（国防総省による商用フロンティアモデルの監督拡大）と合わせ、事案報告の法定化が両院で議題に上がった。

検知から自律的対処への移行

事業はサイバー戦プロジェクトマネージャー（デービッド・バーグマン大佐）が情報・電磁波戦ポートフォリオの下で運営し、陸軍サイバー軍が関与する。8月の商用ソリューション公募「知的対応・統制ノード（IRON）」には108件の応募があり、10社に絞られていた。陸軍の首席サイバー顧問ブランドン・ピュー氏は10月のAUSA年次大会で、既存のPanoptic Junctionが悪性活動を約9割検知する一方で修復能力が不足しており、今回の契約は人間が設定した範囲内で自律的に対処する「行動を取る要素」だと説明していた。

実ネットワーク投入は段階的

エージェントを直ちに政府の実ネットワークで動かすことはせず、実証を経て段階的に進める。ピュー氏は「SI（スーパーインテリジェンス）対応のサイバーツールで脅威主体を検知・迂回・欺瞞する」と述べ、バーグマン大佐は商用産業との連携を「陸軍にとっての国家安全保障上の要請」と位置づけた。AWSとWWTは取材に回答しておらず、WWT幹部の投稿によれば同社はCroglと組み、APIとMCPを介してエージェントをサイバーツールに接続する構成を、空軍での取り組みと同様に用いる。

エージェント間の受け渡しが検証課題

同日に公開された論考（RealClearDefense）は、複数のエージェントが任務を達成しながらデータ権限の境界を破る可能性を指摘し、調達段階で各エージェントの権限を事前に宣言した上で引き継ぎを試験し、最小権限とツール権限をエージェントの会話の外側で強制することを提案する。根拠として挙げるのは、エージェント同士が事前共有鍵なしに秘匿通信を確立できるとしたカーネギーメロン大学の10月8日の研究である。陸軍の実証が「行動を取る要素」に踏み込む以上、評価項目には任務達成度と並んで権限逸脱の有無が入ることになる。

通過地としてのマレーシア

関税局は「組織はマレーシアを通過先として利用している」と述べ、クアラルンプール国際空港の税関局長アスパリラ・アグ・トゥア氏は、同一組織が6月5日に同じ区域で押収されたサーバー72台（約5,290万リンギ、約1,300万ドル）を含む少なくとも5件、累計2,500万ドル超の案件に関与していると説明した。6月の案件では貨物が「コンピュータ部品」と申告され、戦略貿易法に基づく許可が必要とされていた。仲介したマレーシア企業が召喚されたが、逮捕は報じられていない。チップの型式とメーカー、原産国、仕向地、最終的な受け手が軍事目的かどうかは未公表であり、米商務省産業安全保障局の関与も確認できない。

域内の許可制と執行の試金石

米国の対中半導体規制に対応して、マレーシア、シンガポール、台湾は米国の要請を受けて米国製AIチップの再輸出に独自の許可制を導入してきたと報じられる。今回の案件は、規制の存在と執行の実効性を同時に示す事例であり、同じ組織が5回にわたって同じ空港を使ったという当局の見立ては、迂回ルートの需要が続いていることを示す。押収品の処理、関係企業への戦略貿易法に基づく処分、仕向地の公表の有無が、域内の輸出管理の抑止力を測る指標となる。

先端AIチップの迂回輸出は、米国の輸出管理の実効性が同盟国・パートナー国の執行に依存する構造を示す。マレーシアは2025年に米国製高性能チップの輸出・通過・積み替えを許可制とし、今回は申告の虚偽と許可の欠如を根拠に押収した。したがって域内の執行の積み重ねが、規制の抜け道をどこまで狭めるかを示す指標となる。

5つの攻撃チェーンの中身

Chromeでは、V8のヒープ破損、V8メモリサンドボックスの脱出とASLR回避、CacheStorageの競合状態によるブラウザプロセスのメモリ配置の漏えい、FedCMの解放後使用を連鎖させたワンクリックのサンドボックス脱出（macOS）を構築した。Googleは62件（サンドボックス脱出13件、レンダラー侵害21件を含む）をすべて重大または高と評価し、Chrome 156で修正した。

SafariではJavaScriptCoreのTypedArrayの解放後使用からGigacageを回避しWebContentのIPCの弱点に至る経路を示し、Appleは同日に認めて修正を出した。Androidでは3件のバグを連ねてUSB経由でロック中のPixel 9から写真を取り出す経路を示した。いずれも利用者側の操作をほとんど要しない経路であり、ブラウザと端末の防御層を順に崩す構成になっている。

サーバー側の2件と検証の留保

WindowsではGhidraによるバイナリ解析でカーネルのQUIC実装に境界外読み取りを見つけ、HTTP/3サーバーをリモートで停止させられるとしてCVE-2026-33096として修正された。LinuxではマルチパスTCPの待ち受けを持つサーバーに対し、ネットワークスタックの競合状態を突いて48分でカーネルポインタを漏えいさせ、5分でルートシェルを得たとし、CVE-2026-98432として修正・バックポートされた。

一方で、NVDのCVE-2026-33096の記載がHTTP.sysを名指しし、TenableのCVE-2026-98432の説明がIPv4 TCPの解放後使用としてマルチパスTCPに触れていないという指摘があり、連鎖の詳細はAnthropicの記述に依拠する。攻撃コードは非公開で、独立した再現は報じられていない。したがって公表の意味は、個々の脆弱性の重さよりも、未公開モデルが複数の脆弱性を発見し連鎖させる工程を一貫して担ったという点にある。

防御側向けの提供を拡大

同社は自社のコーディングエージェント向けのセキュリティ指針プラグインを公開し、審査を経た専門家に対して遮断分類器を緩和する「サイバー検証プログラム」を拡大した。対象モデルにはOpus 5.5、Sonnet 5.5、Mythos 5.1が含まれる。攻撃能力の公表と防御側への選別提供を同時に進める構図は、GoogleのFairwindプログラムと同じ方向にあり、フロンティアモデルの攻撃能力を誰がどの条件で使えるかが各社の公開設計の中心に移っている。