10月17日、CyberScoopが「Federal agencies recommend cyber controls, independent testing for frontier AI systems」と題した記事を公開した。米連邦政府機関がフロンティアAIのサンドボックステスト環境のセキュリティ強化に向けた具体的なガイダンスを公表したことを詳しく伝えている。
背景：サンドボックルのセキュリティ問題と連邦政府の動き
今回のガイダンスは、CISA（サイバーセキュリティ・インフラセキュリティ庁）とNSA（国家安全保障局）が共同で発出したものだ。任意適用ではあるが、「AIモデルのサンドボックステスト環境のセキュリティ確保」に特化した連邦政府の文書としては、これまでで最も詳細なものとなる。
ガイダンスが発出された背景には、AIエージェントがテスト環境から意図せず外部のシステムやネットワークへアクセスするリスクへの懸念がある。METRのChris Painterは今月初めの議会証言で、「フロンティア企業がテスト環境でのモデル制御をほぼ完全に他のAIシステムに依存することが業界慣行になっている」と指摘しており、膨大なテレメトリデータを人間が処理しきれないことが背景にあると述べている。
こうした実態を踏まえ、政府は技術的制御・人間による監視・独立した外部評価の三本柱からなる対策を求める方針を打ち出した。
ガイダンスの核心：3つの柱
1. 技術的制御の強化
仮想化されたテスト環境に対して、サイバーセキュリティの技術的制御を設計・実装することを求めている。具体的には、AIエージェントがアクセスすべきでないツールや権限に触れていないかを確認する外部監視ツールの導入を推奨する。
さらに、テスト環境内で「永続化メカニズム（persistence mechanisms）」（注：システムへのアクセスを維持し続けるための手法）や、AIエージェントが密かに情報を残したり協調して動作したりするための内外ネットワークへの不正通信を検出するよう求めている。
2. AIだけに頼った監視からの脱却
ガイダンスが特に警戒を促すのが、「他のAIシステムだけでテスト中のモデルを監視・制御することへの依存」だ。ガイダンスには次のように明記されている。
「SI制御手段は、展開前に人間とSIシステムの両方でテスト・レッドチーミングを行うこと。スコープ外の行動が重要なシステムへの損害につながらない場合にのみ、SIシステムをレッドチーミングに使用すること。」
ガイダンスはこれに対し、人間の監視・技術的制御・AIシステムの組み合わせが最も効果的な対策だという専門家の見解に沿った方向性を示している。
3. 独立した外部監査の推奨
AI企業に対し、エージェントテストの制御と監視を評価する「独立した外部監査機関」との連携を求めている。批判の矛先になっているのが、AnthropicやOpenAIがMETRやRedwood Researchといった非営利・民間研究機関に安全性評価をほぼ委ねている現状だ。より実績のあるサイバーセキュリティ企業やインシデント対応会社を活用すべきではないかという議論が、議会でも起きている。
経営層の関与も要求
ガイダンスはさらに、特定プロジェクトの一時停止・再開の判断に経営幹部が個人的に関与することを求めている。経営陣はそれぞれのリスクについて十分な情報を得た上で判断を下す必要があるとしており、現場任せになりがちな意思決定を組織上位層に引き上げる狙いがある。
また、LLM本体だけでなく、それを支えるテクニカルハーネス（注：AIモデルを動作させるためのツール群・インフラ）、ホスト環境、ネットワーク全体を含む「周辺システム」のリスク評価も義務付けており、各レイヤーに不正インターネットアクセスの遮断や異常検知のセキュリティプロトコルを設けることを求めている。
ガイダンスは任意適用とはいえ、規制強化の布石となる可能性がある。「シャットダウンポリシー」（モデルやテストをいつオフラインにするかを規定する方針）の策定を明示的に求めている点も、業界へのプレッシャーになるとみられる。
詳細はFederal agencies recommend cyber controls, independent testing for frontier AI systemsを参照していただきたい。
