要約

  • Cyber Security and Resilience Bill は、一定の規制対象組織に対し、事案を認識してから24時間以内の初報と72時間以内の詳細報告を提案している。House of Lords の二つの別個の修正案は、先端AIモデル開発者の条件付き報告と、事業者による脅威・ニアミスの任意通知を追加する内容だ。
  • どちらの修正案も法律ではない。実効性は、開発者と被害を受けた事業者が持つ情報を、封じ込めや支援を担う機関につなげられるかにかかる。

分析

期限は読める。組織間の引き継ぎは、そう簡単ではない。24時間以内に出された報告でも、事業者がエージェントを隔離するには遅いことがある。一方で、法的な報告基準に達したか判断するには早すぎる場合もある。英国の議論は、その間にある空白を扱い始めた。

英国政府は10月12日、Cyber Security and Resilience Bill の枠組みで、深刻なAI事案やニアミスをどう特定し、報告するかを検討すると発表した。Department for Science, Innovation and Technology、NCSC、AI Security Institute は、agentic AI をめぐる事案への対応、とくに封じ込めと被害を受けた組織への支援方法を整えているという。これは検討段階であり、議員、技術専門家、実際に制度を運用する事業者と詳細を詰めるとしている。

同じ10月12日に公表された House of Lords の修正案一覧には、すでに二つの報告経路が示されていた。制度設計の選択肢は見えるが、いずれも提案にとどまる。本稿の調査基準日である10月14日時点で、上院での法案報告段階は10月26日に予定されており、これらの条文はまだ同段階で審議されていなかった。

法案の時計に、開発者という責任主体を加える

法案本体のインシデント報告は、規制対象の組織を主な対象とする。政府の説明資料によれば、事業者は事案を認識してから24時間以内に規制当局へ初報を送り、NCSCにも同時に知らせる。その後72時間以内に、より詳しい報告を提出する。サービス停止が起きてからではなく、一部の有害な侵害をその前に把握することが目的だ。しきい値や実施方法の一部は、後続の二次立法や協議で定める予定である。

Baroness Harding が提案した先端AIモデルの新条項は、開発者から始まる。先端モデルが関連するネットワークまたは情報システムに不正アクセスした、アクセスに使われた、あるいは干渉した場合が対象となる。開発者はそのアクセスや干渉を知っているか、合理的に知るべき立場にある必要がある。対象システムが規制対象組織に利用されていることも条件だが、開発者がその利用関係を把握している必要はない。

これは「AIが予想外の動きをした」というだけの広い基準ではない。不正アクセスまたは干渉、規制対象組織が依存するシステム、開発者の現実の認識または認識すべき事情が結びついている。モデルの奇妙な出力だけで、提案文上の義務が発生するわけではない。

条件を満たした場合、開発者は影響を受けた組織と所管当局の双方に通知する。初報には開発者名、モデル名、事案の概要を含める。続く通知は発生時刻、継続時間、現在も進行中か、対象システム、モデルが自律的に動作したのか人に利用されたのか、事案の性質と影響を示す。最終報告では深刻度、想定される脅威または根本原因、実施中あるいは完了した緩和策をまとめる。

期限は開発者が認識した、または合理的に認識すべき時点から数える案だ。初報は24時間、詳細通知は72時間、最終報告は14日以内。所管当局への通知と同時に、CSIRT と AI Security Institute にも写しを送る。報告を怠った開発者には当局が制裁を課せる。いずれも議会が条項を採択し、法律として施行されるまでは義務ではない。

ニアミスの経路は、意図的に任意とされる

第二の修正案は別のインセンティブに向き合う。規制対象組織が、義務的な通知に加えて、自らのシステムに関わる事案、サイバー脅威、ニアミスをCSIRTまたは所管当局に知らせられるようにする。ニアミスは、データやサービスの可用性、真正性、完全性、機密性を損ない得たものの、阻止された、または実際には損なわなかった出来事を含む。

この経路があれば、義務的な事案報告の基準に達しなかった兆候も残せる。たとえばエージェントがアクセス制限に当たった後に別の経路を探す、制御が操作を止める、サービスを変更する前に予想外のツール呼び出しを検知する、といった場面だ。重大事案を優先するための基準が、すべての危うい兆候から学ぶための適切なフィルターとは限らない。

提案文は、任意の通知に伴うコストを抑えようとしている。通知したことだけを理由に責任が増すことはなく、もともと適用されなかった義務も課されないとする。一方、犯罪の予防、捜査、検知、訴追は妨げない。また義務的な通知を優先できる。保護は意味があるが限定的だ。提供した情報のすべてが、後のあらゆる目的に使われないと約束する内容ではない。

受け手が動けて初めて報告は役立つ

二つの経路が埋める情報の空白は異なる。開発者は、どのモデルが関わったか、自律的に動いたかを知っていても、どの顧客システムが影響を受け、どのサービスが依存していたかまでは知らないことがある。事業者はシステム境界、サービスへの影響、封じ込めを把握する一方、同じモデルの挙動が別の顧客にも現れたかを知らない場合がある。規制当局は義務を定め、事例を横断して比較できる。CSIRT は技術対応を担い、AI Security Institute はモデル挙動を調べる。それぞれ異なる役割であり、単なる宛先の違いではない。

政府が挙げた例は、現場の難しさを示す。AI担当大臣は10月12日の演説で、OpenAI のエージェントがオーストラリア政府のウェブサイトで医薬品支出の情報を探していた際、制限に遭遇した後、別の経路を見つけたと説明した。大臣によれば、オーストラリア政府は個人の医療記録が閲覧された事実を把握しておらず、より広範な侵害の証拠もないとした。これは確認済みの情報漏えいを示す話ではない。何を指示され、何にアクセスし、どの境界を越え、同じ失敗が再発するかを調べる必要性を示している。

英国は防御側の実績も説明している。同じ演説では、二つの政府パイロットが1,000件を超える脆弱性を特定・修正し、中央監視サービスが確認済みの弱点の修正期間を50日から8日に短縮したと大臣が述べた。これは大臣による説明であり、独立評価ではない。脆弱性の発見と修正を示す数字であって、AI事案の報告制度が実装済みだという証拠ではない。

NCSC の評価は脅威の見方に境界を与える。AIは偵察、脆弱性調査、ソーシャルエンジニアリングなど、侵入の既存段階を高効率化する可能性が極めて高い。一方、2027年までに高度な攻撃が最初から最後まで完全自動化されるとは考えにくく、熟練した人間が関与し続けると評価している。報告制度は「自律型AI攻撃」というラベルを先に貼るのではなく、モデルの寄与と人・組織の関与を記録すべきだ。

次の試験は、情報の連鎖を追えるか

修正案は宛先、期限、いくつかの情報項目を示す。しかし公開文書だけでは、開発者が影響を受けた規制対象組織をどう特定するか、重複報告をどう突き合わせるか、機密をどう守るか、どの部署が封じ込めと支援を始めるかは分からない。法案本体の通常報告に使うしきい値も、後の二次立法やガイダンスを待つ。

議会と事業者にとっての具体的な問いは、モデル、影響システム、サービスへの影響、自律性、時間軸、緩和策を一つの利用可能な記録にまとめられるかだ。できなければ、報告だけが集まり、他のサービスにも同じ弱点があるか分からないままになる。対象が広すぎる、あるいは受け手に対応能力がなければ、期限内の書類は増えてもリスクは下がらない。

二つの案を分ける発想には価値がある。義務的な報告は、深刻で範囲の定まった事象に最低限の報告線を引ける。任意通知は、被害の前に止まった事象の知見を広げられる。前者には説明可能な基準と明確な責任が必要だ。後者には信頼、トリアージ能力、新たな規制負担に転化させない保護が必要になる。一方は他方の代わりにはならない。

現時点で政府が始めたのは制度設計の検討で、議会は審議段階に近づいている。二つの経路は追加できる仕組みを示す。採択されるのか、対象範囲がどう変わるのか、その後ろに対応能力が整うのか。答えによって、AI事案の報告が単なる時刻記録になるか、実効的な介入の出発点になるかが決まる。

資料