より高度な人工知能（AI）を開発するグローバル競争は、これまで主に能力をめぐる勝負として捉えられてきた。すなわち、誰が最も優れたモデルを作り、最も有能なエージェントを展開し、次のフロンティアに最初に到達するかという競争である。しかし、サイバーセキュリティの現状は、能力が方程式の一部にすぎない理由を示している、とGovWareのCEOであるRichard Ireland氏がBusinessWorldへの寄稿で論じている。

AIは、脆弱性の特定、攻撃の開始、防御行動の実行にかかる速度を高めており、多大な投資を行ってもリスクへの露出はなくならない。最近の調査によれば、サイバーセキュリティのリーダーの83%が支出を増加させている一方で、過去1年間にほぼ10組織中9組織がサイバー攻撃を経験していた。

この課題は、個々の組織の防御を超えて、組織間の接続へと拡大しつつある。企業は自社の防御に多額の投資を行い、政府は国家レベルの安全策を強化し、テクノロジー事業者はより強固な管理策を導入することができる。しかし、現代のデジタルシステムは、単一の組織や管轄区域に収まることが少ない、相互接続されたインフラ、サプライヤー、クラウドプラットフォーム、サービスに依存している。サイバー活動が加速し自律性を増すにつれ、こうした境界を越えて協調する能力は、境界内で防御する能力と同等に重要になる可能性がある。

マシン速度が組織の境界とぶつかるとき

エージェント型システムは、より少ない人間の介入でシグナルから決定、行動へと移行できるため、リスクを高めている。課題は、組織がAIエージェントにどれだけの権限を与えるかだけでなく、その行動が組織の境界を越え、他者が管理するシステム、データ、インフラに及んだ場合に何が起きるかにもある。

AIエージェントはまた、アプリケーションや自動化サービスから、デジタル環境を横断してやり取りするマシンアカウントに至るまで、拡大し続ける非人間アイデンティティの世界の一部でもある。自律性が増すにつれ、組織は、エージェントが何にアクセスできるか、どのような行動を取れるか、どこで人間の介入が依然として必要かについて、より明確な境界線を設ける必要がある。

活動が組織の境界をまたぐと、説明責任の所在はより不明確になる。システムが互いに依存していても、異なる組織は異なる管理策、規制、リスク許容度のもとで運用されている場合がある。マシン速度では、問題の検知は対応の一部にすぎない。どれだけ迅速に情報共有が行われ、責任が確定し、協調した行動が取れるかが、それと同じくらい重要になる。

AI競争そのものが有益な教訓を示している。Anthropicは、競合他社も同様に行うのであれば、高度なAI開発の協調的な世界的停止に開放的な姿勢を示している。同様に、OpenAIの最高科学者は、AIが人間には理解・制御がますます困難になるほど急速に進歩していると警告し、安全性の理由から主要なAI研究所が自主的に開発を減速させると予想している。これらのシグナルを総合すると、課題は一企業にとどまらないものだと分かる。競争環境では、他社が前進を続ける中で、より大きな慎重さを発揮することは難しくなる。

サイバーセキュリティも同様の課題の変種に直面している。個々の組織は自らの防御態勢を強化できるが、共有されたリスクには共有された準備態勢が必要である。

サイバーリスクは組織の境界で止まらない

サイバーセキュリティは、専門的な技術的関心事から、事業継続、重要インフラ、サプライチェーン、金融システム、公的信を結び付ける経済全体の課題へと進化しており、エージェント型AIはその進化を加速させている。強固な組織的防御は依然として不可欠だが、共有インフラ、第三者、国境を越えるテクノロジーエコシステムを通じて波及するリスクには十分に対処できない。侵害されたサプライヤー、共有クラウドサービス、重要なテクノロジー事業者は、インシデントの発生源を直接管理していない組織に影響を及ぼし得る。こうした依存が深まるにつれ、レジリエンスは、組織がどれだけ迅速に情報を交換し対応を協調できるかにますます左右されるようになる。

同じことが国家レベルにも当てはまる。シンガポールのデジタル開発・情報大臣であるJosephine Teo氏は、本年早くに、最も先進的なAIモデルはわずかな数の国で開発されている一方、AIの安全性に関する協力は依然として限定的であると指摘した。しかし、テクノロジーとその潜在的リスクは国境を越える。

アジアにとって、この協調の課題はとりわけ重要である。この地域は、異なる規制環境、デジタル成熟度、インフラ、サイバー準備状況を持つ経済圏にまたがっている。単一の運用環境は存在しないが、ある市場やサプライチェーンの一部で発生したインシデントは、他の場所に影響を及ぼし得る。

危機に備えた準備態勢を事前に構築する

シンガポールには、こうした交流を促進する上で重要な役割がある。政府、グローバルテクノロジー企業、企業、実務者を一堂に集める同国の力により、通常は同じテーブルを囲むことのない視点に耳を傾ける機会が生まれる。Singapore International Cyber WeekとGovWareは、AIセキュリティ、説明責任、越境リスクが公共・民間両セクターの視点をますます必要とする中、こうした対話の機会を提供している。

会合の意義は、どれか一つのフォーラムがすべての答えを持っているからではなく、集合的な準備態勢が危機が求める前に構築されなければならないからである。政府、企業、テクノロジー事業者は、リスクがどのように分担されるべきか、どの時点で情報が組織の境界を越えて動くべきか、どこで協力が競争に優先されるべきかについて、より大きな足並みの一致を図る必要がある。同じアジェンダは、注視すべき具体的な指標も示している。すなわち、インシデント発生時に情報が組織の境界を越えてよりスムーズに動くかどうか、AIエージェントが何にアクセスでき、どのような行動を取れ、どこで人間による監督が必要かについての共通認識が、産業界や管轄区域を越えて形成されるかどうか、そして主要AI研究所が示した共同開発減速の意思が声明から実践へと進むかどうかである。

競争は依然としてAIイノベーションの重要推進力であるが、能力の進歩には、それらの能力を責任を持って展開するために必要な安全策、関係構築、協力の仕組みの進歩が伴わなければならない。サイバー活動がエージェント並みの速度で動く中、協調は問題が起きてから始めてよいものではない。

次のAI競争は、単に誰が最も有能なシステムを作れるかを試すものではない。そのシステムを取り巻く制度や関係が、十分な速度で歩調を合わせられるかどうかをも試すものとなる。

Richard Ireland氏はGovWareのCEOである。この解説記事は、BusinessWorldで初めて公開された。