官民連携の米 AI × 脆弱性対策の国家戦略「GOLD EAGLE」ほか [Scan PREMIUM Monthly Executive Summary 2026年7月度]

　Scan PREMIUM Monthly Executive Summary は、大企業やグローバル企業、金融、社会インフラ、中央官公庁、ITプラットフォーマなどの組織で、情報システム部門や CSIRT、SOC、経営企画部門などで現場の運用管理にたずさわる方々や、事業部長、執行役員、取締役、経営管理、セキュリティコンサルタントやリサーチャーに向けて毎月上旬に配信しています。

　前月に起こったセキュリティ重要事象のふり返りを行う際の参考資料として活用いただくことを目的としており、分析を行うのは株式会社サイント代表取締役 兼 脅威分析統括責任者 岩井 博樹 氏です。Monthly Executive Summary の全文は昨日朝 6 時 1 分に配信した Scan PREMIUM 会員向けメールマガジンに掲載しています。

＞＞Scan PREMIUM Monthly Executive Summary 執筆者に聞く内容と執筆方針
＞＞岩井氏 インタビュー記事「軍隊のない国家ニッポンに立ち上げるサイバー脅威インテリジェンスサービス」

【1】前月総括

　2026 年 7 月は、サイバー空間における「速度」の変化が鮮明になった月でした。AI は攻撃と防御の双方を高速化し、米国では AI を活用した脆弱性対策が国家規模で始動しました。一方、日本ではニチレイへの攻撃が食品物流や店舗営業へ波及し、サイバーリスクが私たちの日常生活に直結する現実を示しました。

　今回は、AI サービスをめぐる安全性と統制、米国の「GOLD EAGLE」構想、ニチレイと Fairlife の事例を通じて、攻撃と防御の速度が企業活動をどのように変えつつあるのかを考察してみたいと思います。

　夏は、スポーツ大会、縁日、花火大会など、何かとイベントの多い季節です。サイバーセキュリティの世界でも、Black Hat USA、DEF CON、IEEE CSR、HITCON をはじめ、世界各地で国際会議や技術カンファレンスが開催されます。研究者や技術者が国境を越えて集まり、最新の攻撃手法、防御技術、脆弱性に関する知見を共有します。しかし、同じ「夏のサイバーイベント」でも、まったく異なる性格を持つものがあります。

　中国で実施される大規模なサイバー攻防演習です。その代表例が、公安当局の関与の下で行われる「護網行動」です。政府機関や重要企業の実環境ネットワークを対象として、攻撃側と防御側が技術を競い、脆弱性の発見や対応能力を検証します。同演習では、海外のセキュリティカンファレンスで公開された新たな攻撃手法や脆弱性が、こうした演習の場で早期に検証・応用される可能性も否定できません。

　さらに中国では 2026 年、AI による攻撃への防御、ネットワークやソースコードの脆弱性探索、AI エージェントによる悪性操作の検知などを対象とする技術試験も公表されました。既に中国製の自律型 AI エージェントは実戦に導入され、脆弱性の探索、攻撃経路の選定、侵入後の活動に使われていることが確認されており、サイバー攻防の速度と規模は急速に拡大しつつあります。

　世界の技術者が、新たな知見を求めて集まる夏。その一方では、その知見を実戦演習で試そうとする動きが進んでいます。サイバーセキュリティに携わる私たちは、この二つの「夏」を切り離して考えることはできません。

● AI は「安全保障のど真ん中」へ ― Claude Code と AI モデルの想定外の挙動

　そんな熱いシーズンの始まりとなった 2026 年 7 月は、地政学的対立と AI 技術の進展が、サイバー空間の脅威構造を大きく変化させた月だったように思います。特に AI 分野では、攻撃コードの作成や自律的な偵察への悪用だけでなく、AI サービスそのものの安全性、透明性、統制が新たな課題となりました。

　まず話題となったのが、Anthropic の AI 開発支援ツール「Claude Code」です。中国の政府系脆弱性情報機関は、一部の Claude Code に、利用者の位置情報や識別情報を外部へ送信し得る監視機構が組み込まれているとして、「バックドア」の危険性を警告しました。一方、Anthropic は、問題とされた機能について、中国からの無許可利用やモデル蒸留、不正な再販を検知するために試験していた不正利用対策であると説明しています。

　この事案を、直ちに「中国人利用者に対する監視」と断定するのは適切ではありません。しかし、利用者に見えない形で利用環境を識別し、その情報をサービス提供者側へ伝達する設計は、AI 製品の透明性やプライバシー、ソフトウェア・サプライチェーンへの信頼という問題を浮き彫りにしました。AI サービスは、もはや単なる便利な業務ツールではありません。利用者の属性や接続環境を識別し、アクセスを制御し、場合によっては国家間の技術競争を反映する存在になりつつあります。