8月10日、カリフォルニア州政府が「Governor Newsom announces new AI cyber defense program to protect California's critical infrastructure」と題した記事を公開した。ニューサム知事が州の重要インフラを守るAIサイバー防御プログラムを発表した内容だが、政策の中身よりも先に目を引くのは、発表文書に刻まれたある一文だ。
「AIが自律的にサイバー攻撃を実行できる」——公式文書への明記が示す転換点
「主要なAI開発者による最近の開示により、先進的なAIシステムが管理されたテスト環境において、高度なサイバーオペレーションを独立して実行できることが明らかになった」
これは政策文書として異例の表現だ。AIが自律的に洗練されたサイバー攻撃を実行できるという事実を、米国の州政府が公式に認定した形になる。民間企業の警告や研究者の指摘ではなく、行政の公式文書にこの認識が刻まれたこと自体が、一つの転換点を示している。この認識を出発点として、カリフォルニア州は「AIで攻撃されるなら、AIで守る」という方向性を打ち出した。
プログラムの具体的な内容
知事が州機関に指示した内容は以下の3点だ。
- カリフォルニアサイバーセキュリティ統合センター（Cal-CSIC）内にAIサイバー防御プログラムを設置。脆弱性検出、ネットワーク強化、インシデント対応にAIを活用する。
- 地方政府および重要インフラパートナーへのAI対応防御能力へのアクセス拡大。
- 全州機関にAIサイバーセキュリティオフィサーを指定。
Cal-CSICはもともとカリフォルニア州のサイバー脅威インテリジェンスとインシデント調整の中枢機関として機能してきた組織だ。今回その役割にAI特化の防衛機能が加わることで、州全体の防衛態勢の神経中枢としての位置づけがさらに強まる。政府運営局長官のNick Maduros氏は「AIは政府のサイバーセキュリティにおける機会とリスクの両方を変えている」と述べ、州機関・地方政府・重要インフラパートナーがサイバーインシデントをより早く検知・防止・対応できるようにすることを目指すとしている。
背景：連邦支援の縮小という現実
このプログラムが急がれる背景には、連邦政府によるサイバーセキュリティ支援の大幅な縮小がある。トランプ政権のFY2027予算案では、**CISA（サイバーセキュリティ・インフラセキュリティ庁）の予算を約7億700万ドル（約30%）削減する方針が示されており、フィールドサポートやインシデント対応能力の低下が懸念される。並行して、MS-ISAC（マルチステート情報共有・分析センター）への連邦資金が2025年末に終了した。20年以上にわたり、州・地方・部族・準州政府に対して24時間365日の脅威監視やインシデント調整を無償提供してきたが、有償モデルへの移行で財政規模の小さい自治体への影響は特に大きい。さらに、超党派インフラ法に基づく10億ドル規模の州・地方サイバーセキュリティ補助金プログラム**も現在の資金フェーズが終了に近づいており、長期的な財源が不透明な状況だ。
連邦の「傘」が縮む中、脅威は実際に顕在化している。直近では、イランが関与したとみられるサイバー作戦によってミネソタ州の水道システム30以上の事業体が標的となったことが連邦当局から警告されており、電力・水道・交通・緊急通信といった基幹サービスが現実の攻撃対象となっていることが改めて示された。連邦の支援が細る一方で脅威が高度化するという構図が、今回の州独自プログラム始動の直接的な動機となっている。
一連のAI政策の流れ
今回の発表は単独の施策ではなく、ニューサム知事が2023年以降進めてきたAIガバナンスの枠組みの延長線上にある。2025年には**SB 53（フロンティアAI透明性法）**に署名し、大規模フロンティアAI開発者に対して安全フレームワークの公開開示と重大インシデントの報告を義務付けた。これにより、冒頭の「AIが高度なサイバーオペレーションを自律的に実行できる」という公式認定の根拠となる情報開示が、法的義務として制度化された形でもある。
2026年7月には州全体のサイバーセキュリティロードマップを**Cal-Secure 2.0**として更新し、AIを活用した防御ツールの積極導入を明示した。今回のAIサイバー防御プログラムはその具体的な実装の第一歩と位置づけられる。SB 53で「AIの危険性を把握する」仕組みを整え、Cal-Secure 2.0で「AIで守る方針」を示し、今回のプログラムで「実際に動かす」という三段階の流れが見えてくる。
詳細はGovernor Newsom announces new AI cyber defense program to protect California's critical infrastructureを参照していただきたい。
