6月2日、ホワイトハウスは「高度な人工知能のイノベーションとセキュリティの促進」に関する大統領令を発表しました。AIの能力がかつてない速さで進化する時代において、この大統領令は、AIモデルの開発やリリースに対する強制的なライセンス供与や許可を明確に禁止しつつ、先進的で安全なAIツールを導入することで、連邦政府および重要情報システムの迅速な近代化とサイバー防御を義務付けています。
今回の命令では、イノベーションとセキュリティは相反する優先事項ではなく、表裏一体のものであると認識されており、私たちは勇気づけられています。最近、米国国立標準技術研究所（NIST）のNational Cybersecurity Center of Excellence（NCCoE）が公開したAIエージェントのアイデンティティに関する資料へのコメントで概説したように、AIによるマシン速度の生産性を実現するには、ゼロトラストの原則を自律システムにまで拡張する必要があります。主要なイニシアティブを詳しく見ていきましょう。
Tenancy-as-a-Serviceが重要な理由
この大統領令は、明確なポリシーを表明するものです。米国は、民間セクターと協力して、政府および民間セクターの情報システムを近代化・強化して外部の脅威から保護し、米国の独創性と知的財産を敵対者による盗難から守り、米国の高度なAI対応能力を育成することによって、AIのイノベーションとセキュリティを推進します。
このような官民連携のアプローチは、最も防御能力の高い成果を生み出すコミュニティ主導のモデルです。市場のイノベーションを維持しつつ、連邦政府および重要インフラのサイバー防御の迅速な近代化を優先することで、この命令はAI時代の決定的なセキュリティのチャレンジ、すなわちAIエージェントとエージェント型エンタープライズのセキュリティ確保に対応するものです。
AIの主要なイノベーションとセキュリティイニシアチブ
AIモデルとエージェントがますます強力になるにつれて、アイデンティティが基盤となるレイヤーになっています。従来のアイデンティティは「あなたは誰か」という問いに答えるものでした。しかし、エージェントの時代においては、「あなたは私の代理として何をする権限があるか」という問いに効果的に答えなければなりません。AIにセキュアな「委任状」を付与します。これが、大統領令で概説されている主要な各イニシアチブに当社がもたらすレンズ（視点）です。
セクション2：高度なAIに対応するための米国システムのアップグレード
セクション2では、政府全体で迅速な行動を取るよう指示しています。30日以内に、国家安全保障システム委員会は国家安全保障システムのサイバー防御を、陸軍長官は陸軍省情報システムのサイバー防御を、それぞれ優先的に実施しなければなりません。
同じ30日間の期間内に、国土安全保障長官は、サイバーセキュリティ・社会基盤安全保障庁（CISA）のディレクターを通じて、また行政管理予算局（OMB）、国家安全保障局（NSA）、および国家サイバー長官と協議の上、連邦政府の民間情報システムのサイバー防御を迅速化し、AI対応の防御ツールを強化する連邦プログラムを拡大し、必要に応じて対象となるフロンティアモデルを含むサイバーセキュリティツールやサービスへのアクセスを促進するための、拘束力のある運用指令やその他のガイダンスを発行するよう指示されています。
最後の点には注意が必要です。この命令により、連邦政府機関、州および地方自治体、ならびに地方の病院、コミュニティバンク、地域の公益事業といった重要インフラの事業者がこのアクセスを利用できるようになります。最もリソースが少ない組織は、多くの場合、私たちの社会で最も脆弱なコミュニティに奉仕している組織です。このような人々を放置するのではなく、コミュニティに迎え入れることは、当社が長年にわたって支持してきたセキュリティへのアプローチを反映するものです。
この大統領令は、AIサイバーセキュリティクリアリングハウスの創設も定めています。財務長官は、国家サイバー長官、NSA、およびCISAと協議の上、30日以内に、AI業界や重要インフラ事業者との自発的な連携のもと、脆弱性のスキャン、検証、パッチの優先的な配布を調整するクリアリングハウスを設立するよう指示されています。
Oktaの考え方
アイデンティティは、あらゆる最新の防御態勢の基盤であり、今やエージェント型ワークフローをセキュアにするための基盤でもあります。自律型AIの出現によって生じうる、リスクの高い暗黙的な信頼モデルを防ぐには、組織は継続的かつ動的な認可を実装する必要があります。
Okta for AI Agentsや、OpenID FoundationのInteroperability Profiling for Secure Identity in the Enterprise（IPSIE）、新しいCross App Access（XAA）プロトコルといった基本的なアイデンティティ標準を活用することで、Oktaは公共部門や、地域の銀行から地方のヘルスケアネットワークに至るまで、重要インフラの事業者が高度なAIツールを安全に導入できるよう支援します。
政府機関がシステムの強化を急ぐ中、フィッシング耐性のある認証と強力なアクセス制御は、この命令が対処しようとしているまさにその脅威に対する第一の防御線となります。CISAおよび米国財務省と連携し、これらの新しいイニシアチブの中核にアイデンティティ中心のセキュリティを組み込むことを楽しみにしています。
セクション3：最先端モデルのセキュアなデプロイ
セクション3では、自主的なフレームワークを定めています。財務長官、NSA、CISAは、国家サイバーディレクターを通じてホワイトハウス首席補佐官、科学技術担当大統領補佐官、およびNISTを通じて商務長官と協議の上、60日以内に、AIモデルの高度なサイバー能力を評価し、モデルを「対象フロンティアモデル」に指定すべき時期を判断するための、機密扱いのベンチマークプロセスを策定するよう指示されています。
このフレームワークは、開発者が早期に政府と連携するための道筋を示すものです。これにより、信頼できるパートナーへのリリース前に最大30日間、適切な機密保持およびサイバーセキュリティ保護の下で、対象となるフロンティアモデルへのアクセスを提供し、信頼できるパートナーの選定において協力することが可能になります。重要な点として、この命令では、本セクションのいかなる規定も、フロンティアモデルを含む新しいAIモデルの開発、公開、リリース、または配布に対して、政府による義務的なライセンス、事前承認、または許可の要件を設けることを認めるものではないと明記されています。
Oktaの考え方
義務ではなく、自主的なフレームワークを重視している点が重要です。これは、民間セクターへの信頼を示すとともに、これらのモデルを構築している人々こそが、その安全確保を支援するのに最も適した立場にあるという認識を示すものです。セキュリティと緩やかな規制のバランスは、Oktaが歓迎するものであり、お客様と開発者が当然持つべき選択肢を維持するものです。
セクション4：犯罪者からの保護
第4条は、AIを使用してコンピューターに不正にアクセスしたり損害を与えたりする者、または犯罪目的で後で使用されるデータを不正にアクセスするためにAIエージェントを使用する者に対し、合衆国法典第18編第1028条、第1030条、第1343条、およびその他の適用される連邦刑法を優先的に執行するよう司法長官に指示しています。
Oktaの考え方
AIエージェントの能力が向上し、より一般的になるにつれて、誰がアクションを実行しているのか、そしてそのアクションが承認されているのかという問題が中心的な課題になります。AIは1分間に何千ものオペレーションを実行して攻撃対象領域を拡大させるため、厳格なアカウンタビリティが不可欠です。悪意のある攻撃者の責任を問うことは必要ですが、それと同時に強力なアイデンティティコントロールを組み合わせることで、そもそも機密システムにアクセスできるのが、承認されたユーザーとエージェントのみに限定されるようになります。
Oktaが連邦政府のAIガバナンスの次のフェーズをどのようにサポートするか
連邦政府機関、州政府、民間Organizationsがこの新しい大統領令への準拠を進めるにつれて、実用的な実装ガイダンスへの需要が急増する可能性があります。官民連携によって、オープンスタンダードと防御可能な実装ガイドラインを策定するコミュニティ的アプローチがもたらされることを期待し、歓迎します。
Oktaの中立性により、お客様は自社のミッションに合わせて、主要なセキュリティ製品、アプリケーション、ツールを選択できます。当社は、議会、政策立案者、政府機関と協力してこれらの取り組みをサポートし、AIにおける米国の継続的なリーダーシップを推進していきたいと考えています。
これらの新しいセキュリティ基準に組織を対応させる準備はできていますか。Okta AI Blueprintでセキュリティ態勢を評価し、ギャップを特定して、自律型システムのための防御可能な戦略を構築しましょう。
