AIとサイバーセキュリティ / AI-aware cybersecurity / Secure・Defend・Thwart / NIST『Cyber AI Profile』を読む雑感
0 はじめに
AIの議論は、しばしば「性能」や「倫理」から始まる。しかし、組織にとって刺さり方が一番早いのは、「セキュリティ」である。というのも、AIは“賢い道具”である前に、ネットワークにつながり、データを吸い、権限を持ち、行為を起こす「システム」だからである。AI時代においてサイバーセキュリティ領域は最も脚光を浴びつつある領域であるといえる。政府の力の入れ用からもそれは見て取れる。
（参考）日本におけるサイバー対処能力強化法
AI安全保障と隣接領域として、「サイバー対処能力強化法」およびその整備法も触れておきたい。正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和七年法律第四二号）であり、いわゆる能動的サイバー防御法として報道されているものである。
この法律および整備法は、サイバー安全保障分野における対応能力を欧米主要国と同等以上に向上させることを目指し、次のような要素を中核に据えていると整理できる。
・官民連携の強化
基幹インフラ事業者からのインシデント報告義務や、情報共有・対策のための協議会の設置などを通じて、政府と重要インフラ事業者との間の情報連携を制度化する。
・通信情報の利用
サイバー攻撃の実態把握のため、一定の条件の下で通信情報を機械的に取得・分析し、その運用については独立した監視機関によるチェックを受ける。
・アクセス・無害化措置
重大な危害を防止するため、警察・自衛隊等が攻撃サーバ等に対してアクセスし、必要な技術的措置（無害化）を講じる枠組みを整備する。
・組織・体制整備
サイバーセキュリティ戦略本部の改組、内閣サイバー官の新設など、政府内の司令塔機能を強化する。
この法律自体はAI規制法ではないが、AIがサイバー攻撃の文脈で利用されうること、またサイバー空間における通信情報の収集・分析がAI評価実務とも技術的基盤を共有しうることを考えると、AIガバナンスとの重なりは今後増していくと予想される。
この感覚を、かなり制度的に言語化しているのが、NIST（米国国立標準技術研究所）の「Cybersecurity Framework Profile for Artificial Intelligence（Cyber AI Profile）」初期ドラフトである（注1）。CSF 2.0（NIST Cybersecurity Framework 2.0）を骨格にしつつ、AIが絡むサイバーセキュリティ上の論点を、(i) AIシステム自体を守る（Secure）、(ii) AIで防御する（Defend）、(iii) AIで攻撃される世界に備える（Thwart）の三つの焦点領域に整理している（注1）。コメント期間も明示され、いわば「AI時代のセキュリティ常識」を共同で作る運動になっている（注1）。
National Institute of Standards and Technology『Cybersecurity Framework Profile for Artificial Intelligence (Cyber AI Profile): NIST Community Profile（NIST IR 8596 iprd）』（https://doi.org/10.6028/NIST.IR.8596.iprd）
1 三つの焦点領域は、三つの入口である
Secure・Defend・Thwartという三分法は、分類というより「入口」の整理である。AIは組織に、だいたい三つの経路で入ってくる。
第一に、業務システムにAIが組み込まれる。第二に、SOC等の防御側がAIを使い始める。第三に、攻撃側がAIを使ってくる。NISTが面白いのは、この三つを「並列」に置き、しかも中心に“AI-aware cybersecurity”という重なりを置いている点だ。結局、どの入口から入っても、最後は全部やらされる、という冷静な世界観が透ける。
法的な側面から見ると、この整理は地味に効いてくる。なぜなら、入口ごとに「責任の焦点」が違うからである。Secureは製品・システムの安全（保全）に近い。Defendは統制（ガバナンス）に近い。Thwartはインシデント対応と対外説明に近い。ところが現場では、これが一枚のRACI（責任分担表）に落ちないまま走り始め、事故のあとに責任だけが浮く。入口の整理は、責任の整理の前提であるといえる。
2 Secure：AIが「守るべき資産」になった瞬間の難しさ
NISTは、AIの挙動や脆弱性が、従来の情報システムより「文脈依存で、動的で、不透明で、予測しにくい」こと、さらに発見・検証・診断・文書化が難しいことを率直に書く（注1）。加えて、脆弱性がモデルや訓練データ、機械学習インフラに内在し得るため、見つけてからの緩和も難しいという（注1）。ここが、法務・コンプラにとっても重い。
従来型のサイバー事故であれば、「パッチ未適用」「設定ミス」「アクセス管理不備」という形で落ちることが多い。ところがAIは、「それが仕様なのか攻撃なのか」「ドリフト（環境変化）なのか汚染（poisoning）なのか」「単なる誤答なのか情報漏えいなのか」が曖昧なまま被害が出る。その曖昧さは、過失の認定や説明責任を難しくする。
ここで必要になるのは、結局「台帳」と「境界」である。どのモデルを、どのデータで、どの経路で、どの権限で動かしているのか。さらに、外部モデルやAPIを組み込むなら、供給連鎖（サプライチェーン）の把握が前に出る。CSF 2.0自体が、実務の主要読者として法務や調達担当まで含めているのは象徴的である（注4）。つまり、AIが“資産”になった瞬間、セキュリティは情報システム部門だけの話ではなくなる。
3 Defend：AIが「統制ツール」になったとき、統制が溶ける危険
Defendの焦点領域は、「AIをサイバー防御に使う」ことである。NISTは、アラートの洪水をふるいにかけ、脅威の優先順位を付け、対応を提案する、といった文脈でAIの活用可能性を述べる（注1）。さらに興味深いのは、AIが規制・標準へのコンプライアンス作業の効率化（政策遵守の自動化、評価の支援等）にも使われ得る、と明示されている点である（注1）。
ここには、法的な側面から見ると二つの含意がある。
第一に、コンプライアンスはコストであり、コストである以上、AIはそこに投入される。つまり、AIガバナンスは「倫理の話」というより「省力化の話」としても進む。第二に、省力化の対象になった瞬間、統制が“速く・雑に”なるリスクがある。AIが吐いた監査ログやインシデント報告書が、現場にとって「とりあえず提出できる文章」になり、批判的検証（effective challenge）が抜け落ちる。これは、AIが守る側に入ったときの典型的な落とし穴である。
4 Thwart：AIが「攻撃能力」になった世界のインシデント像
Thwartは、AIが攻撃側の能力を増幅する局面を扱う。NISTは、AI-enabledな攻撃が従来と違う点として、(i) スピードとスケール、(ii) 容易さ、(iii) 動的かつ最適化される性質を挙げる（注1）。例としては、ディープフェイク等を含む高度なスピアフィッシング、AIで作られる新種のマルウェア、そしてAIエージェントが偵察から横展開・窃取までを自律的にオーケストレーションする姿が描かれている（注1）。
法務的に刺さるのは、ここでのインシデントが「原因の確定」に時間を要する点である。攻撃なのか、運用ミスなのか、仕様なのか。さらに、AIが絡むと、事後の説明は“技術説明”では足りない。どのログを残していたか、誰が止める権限を持っていたか、どの時点で対外公表の判断をしたか、という統治（ガバナンス）の説明になる。セキュリティは、いつも最後に説明責任に化ける。Thwartは、その変身速度を上げるといえる。
5 エージェントと「過剰な代理」――権限設計の古典が戻ってくる
DefendでもThwartでも、NISTは「agentic AI」に触れる。防御側では複数エージェントが連携しつつ相互チェックを行う、といった発想が述べられ（注1）、攻撃側でもAIエージェントが攻撃の各フェーズを自律的に遂行し得るとされる（注1）。要するに、エージェントは双方の増幅装置であるといえよう。
ここでOWASPは、LLMアプリの主要リスクとして「Excessive Agency（過剰な代理）」を挙げ、LLMに無制限の自律性を与えて行為させることが、信頼性・プライバシー・信頼を損なうと述べる（注3）。
「過剰な代理」という言葉は、法学的にはほぼそのまま「権限付与の設計ミス」である。誰に、どこまで、何をさせるか。会社法・行政法・金融規制の世界で延々やってきた内部統制の論点が、エージェントの世界で再演される。違いは、人間の代理人よりも、エージェントの方が圧倒的に速く、安く、失敗を大量生産できる点である。
この局面で効くのは、流行の“human in the loop”ではなく、より素朴な統制手法である。最小権限、職務分掌、二重承認、不可逆行為の隔離、許可リスト、レート制限、そして改ざん困難なログ。要するに、権限の設計と証跡の設計である。AIの責任は、AIに押し付けられない。押し付けようとした瞬間、組織の統制が崩れるといえる。
6 雑感
Cyber AI Profileの良さは、AIの議論を“倫理原則”から、もう一段「運用」に引きずり下ろす点にある。Secureは資産管理と供給連鎖管理に戻る。Defendは統制と監査に戻る。Thwartはインシデント対応と説明責任に戻る。どれも派手ではないが、法が最後に問うのはだいたいそこであるように思える。
そして、CSF 2.0が「法務」や「調達」まで読者として明示しているのは示唆的である（注4）。AIの時代において、サイバーセキュリティの言語は、経営・調達・法務・監査の共通語になっていく。逆に言えば、AIガバナンスを“技術チームの倫理的自助努力”として片付けると、最後に残るのは「説明不能」という状態である。
結局、AI-aware cybersecurityとは、「AIが混ざった瞬間に、既存のセキュリティと統制の前提が変質する」ことを、やや乱暴に認める態度であるように思える。それを認めた上で、台帳を作り、境界を引き、ログを残し、止める権限を配る。大変、地味な作業である。しかし、こうした地味で地道な取り組みが重要になってくるように思える。
（その他参考）
参考文献
（注1）National Institute of Standards and Technology『Cybersecurity Framework Profile for Artificial Intelligence (Cyber AI Profile): NIST Community Profile（NIST IR 8596 iprd）』10-14頁（2025年12月）（https://doi.org/10.6028/NIST.IR.8596.iprd, 2025年12月22日最終閲覧）。
（注2）National Institute of Standards and Technology「Draft NIST Guidelines Rethink Cybersecurity for the AI Era」（2025年12月）（https://www.nist.gov/news-events/news/2025/12/draft-nist-guidelines-rethink-cybersecurity-ai-era, 2025年12月22日最終閲覧）。
（注3）Open Worldwide Application Security Project「OWASP Top 10 for Large Language Model Applications version 1.1」（https://owasp.org/www-project-top-10-for-large-language-model-applications/, 2025年12月22日最終閲覧）。
（注4）National Institute of Standards and Technology『The NIST Cybersecurity Framework (CSF) 2.0（NIST CSWP 29）』i頁（2024年2月26日）（https://doi.org/10.6028/NIST.CSWP.29, 2025年12月22日最終閲覧）。
（注5）European Union Agency for Cybersecurity (ENISA)『Multilayer Framework for Good Cybersecurity Practices for AI』（2023年6月7日）（https://www.enisa.europa.eu/publications/multilayer-framework-for-good-cybersecurity-practices-for-ai, 2025年12月22日最終閲覧）。
（注6）National Institute of Standards and Technology『Artificial Intelligence Risk Management Framework (AI RMF 1.0)（NIST AI 100-1）』1-2頁（2023年1月）（https://doi.org/10.6028/NIST.AI.100-1, 2025年12月22日最終閲覧）。
（マガジン）「AIと法-雑感」
※目次は以下を参照
note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。
