カリフォルニア州のAIサイバー防衛プログラム、真価は実行段階で問われる
カリフォルニア州は2026年8月10日、ギャビン・ニューサム知事が全米初と位置付ける州のAIサイバー防衛プログラムを立ち上げた。この発表はGoogle Newsでも速やかに取り上げられ、機械の速度で進む攻撃と、人間の対応時間を前提に設計された行政機関との対立が深まるなかで注目を集めた。
同プログラムは、California Cybersecurity Integration Center、通称Cal-CSICに置かれる。州のシステムと重要インフラ全体で、脆弱性の検出、ネットワーク強化、インシデント対応に人工知能を活用する。
この任務は一見明快に聞こえる。より難しいのは、ブラックボックス化した判断、ベンダー依存、あるいは機微なシステムへの新たなアクセス経路を増やさずに、カリフォルニア州がAIを導入できるかどうかだ。
州はゼロから始めるわけではない。カリフォルニア州にはすでに州全体のサイバーセキュリティ戦略、インシデント対応チーム、Anthropicとの最近の提携がある。また、AIサイバーセキュリティに関する情報共有プレイブックを策定する法的期限も抱えている。
変化したのは運用モデルだ。カリフォルニア州は、調達実験や従業員の生産性向上から、能動的なサイバー防衛へとAIを移行させつつある。これにより、州機関、地方自治体、公益事業者、テクノロジーベンダーが同じ運用上の試験に置かれることになる。
カリフォルニア州のAIサイバー防衛プログラムが変えるもの
カリフォルニア州は、AIを活用したサイバー防衛を、個々の機関が孤立して行う実験の集合ではなく、州全体で共有するインフラとして扱っている。
ニューサム知事の指令は、サイバー脅威情報とインシデント調整を担う州の拠点であるCal-CSIC内に同プログラムを設置する。プログラムは、脆弱性の発見、防御の強化、より迅速なインシデント対応を支援することが想定されている。
州はまた、地方自治体と重要インフラのパートナー向けに、高度なサイバーセキュリティ能力を拡充する。これらのパートナーには、水道、電力、交通、緊急通信、その他の不可欠なサービスを担う組織が含まれる。
すべての州機関はAI Cybersecurity Officerを指定しなければならない。カリフォルニア州は、これらの担当者に求める詳細な資格、報告系統、意思決定権限をまだ公表していない。
この未解決のガバナンス問題は重要だ。単にコンプライアンスを追跡する担当者と、安全でない導入を停止したり緊急時の封じ込めを調整したりする権限を持つ担当者とでは、その役割が異なる。
州の発表は、完成済みの技術プラットフォームではなくプログラムを説明している。中央のモデルプロバイダー、調達予算、導入スケジュール、共通の性能基準は示していない。
また、AIが送電網、水道システム、交通ネットワークを自律的に制御するとも述べていない。初期の機能は、産業プロセスの直接運用ではなく、防御的な分析と対応に関するものだ。
この区別は重要である。人工知能という言葉には、いくつかの異なる能力が含まれるからだ。アラートを要約するモデルと、サーバーを隔離したりファイアウォール規則を変更したりする権限を持つエージェントでは、リスクが異なる。
カリフォルニア州が示すユースケースは、過負荷のセキュリティチームがすでに支援を必要としている領域から始まる。アラートの整理、脆弱なコードの発見、修復の優先順位付け、インシデント調査の加速などだ。
機械による支援は反復作業を減らせる。一方で、特に不完全なテレメトリーや曖昧なソフトウェアの挙動が入力を左右する場合には、もっともらしい誤りを生み出す可能性もある。
そのため州は、同時に二つのセキュリティ問題に直面する。AIを使う敵対者からシステムを守るとともに、自らのプログラムで導入するモデル、データパイプライン、認証情報、自動化されたアクションも保護しなければならない。
Google Newsの報道は新プログラムの名称を強調してきた。より深い変化は、重大な結果を招き得るセキュリティワークフローの中で確率的システムを使うための運用ルールを、カリフォルニア州が今や必要としている点にある。
この発表は、州機関と同等の人員を持たない小規模な自治体も結び付ける。州全体のサービスにより、郡や水道区が独自には維持できない能力を利用できる可能性がある。
集中化はレバレッジを生むが、リスクも集中させる。共有ツール、統合レイヤー、脅威フィードは、多くの組織のカバレッジを改善できる一方で、共通の障害点を生み出しかねない。
カリフォルニア州は、プログラムがテナントをどのように分離し、機微なテレメトリーを保護し、ベンダーのアクセスを制限し、一つの侵害アカウントが複数の参加組織に影響するのをどう防ぐかを示さなければならない。
こうした統制が、これが持続可能なインフラとなるのか、未解決のセキュリティ上の穴の上にダッシュボードを重ねるだけの仕組みになるのかを決める。
カリフォルニア州が今動く理由
このプログラムは、脆弱性の発見、悪用、検知、封じ込めの間隔が短縮していることへの対応である。
California’s Office of Information Securityは、AIによってこの間隔が一部の脅威シナリオでは数週間から数時間へと短縮されたと主張している。同局の2026年実装ガイドは、この加速を一時的なものではなく恒久的なものと位置付けている。
実装ガイドは、より強力なアイデンティティ管理、セグメンテーション、ログ取得、復旧計画、エクスプロイト防止、AI支援型防御を推奨している。また、こうした基盤を整える前に高度なツールを導入しないよう、各機関に警告している。
この警告が、プログラムの背後にある中心的な緊張関係を示している。AIは分析を加速できるが、資産インベントリーの欠如、弱い認証、露出した認証情報、検証されていない復旧手順を補うことはできない。
機関が保有するデバイスを把握していなければ、AIシステムは脆弱性を信頼性高く優先順位付けできない。ログが不完全、または保持期間が短すぎれば、インシデントを再構成することもできない。
それでも印象的なリスク要約を作成することはできる。そのため、流暢な出力が証拠の欠落を覆い隠し得るという点で、弱いデータ基盤はとりわけ危険だ。
ニューサム知事の発表は、この取り組みを連邦レベルの不確実性とも結び付けている。同知事室は、Cybersecurity and Infrastructure Security Agencyに影響する提案済みの削減と、主要な複数州支援組織への連邦資金終了を挙げた。
州政府は、提案された連邦予算によりCISAの資金が従来水準から約7億700万ドル、約30％減少すると述べた。この提案は、成立済みの歳出ではなく、政治的な予算プロセスの一部にとどまっている。
カリフォルニア州はまた、Multi-State Information Sharing and Analysis Centerへの連邦資金が2025年後半に終了したことにも言及した。MS-ISACは公共部門の組織に、監視、脅威インテリジェンス、インシデント調整を提供してきた。
こうした変化により、州の責任は重くなる。小規模な自治体が、共有監視を容易に置き換えたり、競争の激しい労働市場で専門的なインシデント対応要員を採用したりすることは難しい。
現在のState and Local Cybersecurity Grant Programも、別の不確実性を抱えている。議会は10億ドルの予算でこれを創設したが、現在の資金提供フェーズは終わりに近づいている。
連邦の支援が予測しにくくなるなか、カリフォルニア州は事実上、州独自のレイヤーを構築している。だからといって、連邦レイヤーが不要になるわけではない。
国家支援型のキャンペーン、ソフトウェアサプライチェーンの侵害、広く導入された製品の脆弱性は州境を越える。これらには依然として、国家レベルの情報、協調的な開示、テクノロジープロバイダーへのアクセスが必要となる。
州のプログラムは、カリフォルニア州内の運用上のギャップを埋めることができる。しかし、CISA、連邦法執行機関、情報機関、全国的な情報共有組織が持つすべての能力を、単独で再現することはできない。
このタイミングは、最先端モデルが実行できることの変化も反映している。AI開発企業は、管理された環境で複雑なサイバーセキュリティ業務を完了する能力が高まっているシステムを報告している。
管理されたテストは、実際に稼働している重要インフラへの攻撃成功と同じではない。それでも、セキュリティチームがより高速な偵察、コード分析、脆弱性発見、フィッシング準備に備える必要があることを示している。
一部の攻撃的作業のコストも低下している。攻撃者はモデルを使ってメッセージを翻訳し、マルウェアの構成要素を書き換え、ドキュメントを分析し、反復的な調査を自動化できる。
高度な作戦には依然として人間の専門知識が必要だ。AIは、一人が試みられる作業量と、チームが攻撃経路の可能性を検証できる速度を変える。
カリフォルニア州の対応は、同じ加速を防御に適用することだ。課題は、機械が生成する推奨事項が人間の検証能力を上回る速度で届くとき、人間の説明責任を維持することである。
Google Newsの注目が覆い隠す、より長い政策構築
AIサイバー防衛プログラムは新しいが、その法的、組織的、商業的な基盤は数年かけて整えられてきた。
カリフォルニア州は、州のサイバーセキュリティ活動を統括する中心拠点としてCal-CSICを設立した。その法定任務には、経済、重要インフラ、公共・民間ネットワークを脅かすインシデントの削減が含まれる。
同センターは、政府機関、部族政府、公益事業者、学校、大学、サービスプロバイダー、非政府組織と連携している。また、Cyber Incident Response Teamも運用している。
この構造により、新プログラムには脅威情報を受け取り、インシデントを調整する場が与えられる。ただし、すべての参加者が互換性のあるツール、人員、権限を備えていることを保証するものではない。
2025年10月、ニューサム知事はAssembly Bill 979を承認した。この法律は、Cal-CSICに対し、2027年1月1日までにCalifornia AI Cybersecurity Collaboration Playbookを策定するよう求めている。
カリフォルニア州の法案は、Office of Information SecurityおよびGovernment Operations Agencyとの協議を義務付けている。また、契約に基づくAIサービスを提供する州のベンダーに対し、脅威共有の義務的な仕組みを設けるよう求めている。
このベンダーに関する規定は重要だ。プロバイダーは、サービスを利用する州機関が事象を認識する前に、脆弱性、モデル抽出の試み、侵害されたアカウント、悪意あるプロンプトのパターンを発見する可能性がある。
義務的な報告は、この情報格差を短縮できる。その有効性は、定義、報告期限、検証ルール、機微な情報を保護する仕組みに左右される。
同法は、連邦Joint Cyber Defense Collaborativeモデルを検討するようカリフォルニア州に指示している。CISAは2025年1月、AI Cybersecurity Collaboration Playbookを公表した。
連邦のプレイブックは、AI関連の脆弱性とサイバーセキュリティインシデントに関する自発的な情報共有を対象としている。情報カテゴリー、保護措置、共有方法、CISAの対応プロセスを説明している。
カリフォルニア州版は、州が機関や委託事業者と直接的な関係を持つため、より実務的なものになり得る。一方で、共有に重要インフラの運営者が関与する場合、より難しい信頼の問題にも直面する。
公益事業者とベンダーは、機微な技術的詳細が保護され続けるという確信を必要とする。州の防御担当者にはなお、複数の組織に影響するパターンを特定するための十分な可視性が必要だ。
同法は、要件を満たす脅威指標と防御措置の機密性に対応している。その保護が迅速な報告を促すほど明確なものとなるかは、実装次第である。
カリフォルニア州は政策文書の段階を越え、ベンダー導入にも踏み出している。2026年6月、州はAnthropicのClaudeを州政府機関および地方自治体で利用可能にする包括的な契約を発表した。
そのAnthropicとの提携の下、Department of TechnologyとCal OESは、コードスキャン、トリアージ、パッチ適用にClaude SecurityおよびClaude Codeを使い始めた。
この取り組みは、AI Cyber Defense Programにとってもっともらしい技術的出発点となる。ただし8月の発表では、Anthropicを独占的な提供者とはしておらず、最終的なアーキテクチャも定義していない。
マルチモデルのアプローチなら、特定ベンダーへの依存を抑え、各機関が用途に応じてツールを使い分けられる。一方で、統合、評価プロセス、契約、セキュリティ境界の数も増える。
単一プロバイダー方式なら、運用管理や共同トレーニングを簡素化できる。ただし、その提供者の可用性、モデルの挙動、製品変更、商業上の判断へのエクスポージャーは高まる。
これがGoogle Newsの見出しの背後にある主要なトレードオフだ。カリフォルニア州は、アクセス、証拠、緊急時の意思決定に対する公的統制を維持しながら、商用AIの速度と到達範囲を求めている。
AI防衛は依然として基本的なセキュリティ統制に依存する
各機関がモデルへのアクセスをアイデンティティセキュリティ、セグメンテーション、資産インベントリ、復旧の代替と見なすなら、カリフォルニア州のプログラムは失敗する。
AIは信頼できるコンテキストを受け取るときに最も効果を発揮する。サイバー防衛におけるコンテキストには、資産の所有者、ソフトウェアのバージョン、ネットワーク上の関係、ユーザー権限、脆弱性データ、ログ、インシデント履歴が含まれる。
多くの公共組織は、レガシーシステムや外部委託サービスにまたがって、こうした記録を維持することに苦労している。重要インフラの事業者は、通常のパッチ適用スケジュールに耐えられない運用技術と情報技術も組み合わせている。
運用技術には、物理プロセスを監視または制御するハードウェアとソフトウェアが含まれる。誤った操作は、ポンプ、交通システム、製造設備、エネルギー運用に影響を及ぼしかねない。
この影響により、許容できる自動化の水準が変わる。ノートPCを隔離するというAIの提案は、不可欠な物理サービスを支える設備を切断する提案とは異なる。
カリフォルニア州には明確なアクション階層が必要だ。低リスクの作業には、アラートの要約、インジケーターの照合、調査クエリの下書き、パッチの推奨などを含められる。
より高リスクな操作では、検証済みの証拠と指名された承認者を求めるべきだ。これには、特権アクセスの取り消し、本番トラフィックのブロック、制御システムの隔離、産業用構成の変更が含まれる。
人間による承認があらゆる問題を解決するわけではない。特に数百件のアラートが同時に発生するインシデントでは、レビュー担当者が自動化された提案をあまりに早く受け入れてしまう可能性がある。
したがって州は、単に誰かがボタンを押すことを求めるのではなく、意思決定の品質を測定しなければならない。有用な統制には、独立した検証、信頼度の閾値、ロールバック計画、完全なアクションログが含まれる。
モデルは敵対的な操作にも直面する。攻撃者は、AIセキュリティツールが後に分析するファイル、チケット、リポジトリ、ウェブサイト、システムログに、誤解を招く内容を埋め込むことができる。
これはプロンプトインジェクションであり、信頼できないデータに埋め込まれた敵対的な指示にモデルを従わせようとする試みだ。セキュリティエージェントには、検査するデータと実行できるコマンドの厳格な分離が必要である。
認証情報も別の懸念を生む。広範なアクセス権を持つエージェントは人間より速く動けるが、侵害されたエージェントも同様に、そのアクセスをより速く悪用できる。
カリフォルニア州は、短命な認証情報、最小権限のアクセス許可、隔離された実行環境、承認ゲートを採用すべきだ。各エージェントの操作は、ユーザー、モデルバージョン、ツール、入力セットに帰属できる状態を維持しなければならない。
データの取り扱いにも精査が必要だ。セキュリティテレメトリーには、個人情報、認証情報、機密の事業詳細、インフラの構成情報が含まれうる。
各機関には、強制可能な保存およびトレーニングに関するルールが必要だ。送信されたデータがモデル学習の材料になるのか、どこで処理されるのか、どの下請け業者がアクセスできるのかを把握しなければならない。
モデル評価は一般的な精度スコアに依存できない。カリフォルニア州には、誤検知、見逃し検知、安全でない修復、捏造された証拠、敵対的入力下での性能に関するタスク別テストが必要だ。
より多くの脆弱性を発見するシステムでも、価値の低いアラートでチームを圧倒するならリスクを生みうる。要約ツールは時間を節約できる一方で、侵入を理解するために必要な唯一の詳細を省いてしまうこともある。
初期段階で最も有効な用途では、権限を限定したままにする可能性が高い。AIは証拠を収集し、シグナルを相関付け、対応策を提案できるが、重大な変更は経験豊富な対応担当者が管理する。
時間の経過とともに、テストで一貫した安全性が示された作業には、より多くの自動化を認められる。この段階的なアプローチは広範な導入より遅いが、各機関が監査できる証拠を生み出す。
州独自のガイダンスもこの順序を支持している。現代的なツールでは欠けたセキュリティアーキテクチャを修復できないため、エクスプロイト防止やAI支援防衛より前に、基盤的な統制を置いている。
地方自治体は最も大きな実装格差に直面する
プログラムの公共的価値は、カリフォルニア州で最も装備の整った機関の中で何が成功するかではなく、小規模な管轄区域に何が届くかに左右される。
大規模な機関はセキュリティチームを雇い、契約を交渉し、専任の監視体制を維持できる。小規模な市、特別区、地方の公益事業者は異なる制約の下で運営されている。
その技術スタッフは、ユーザーアカウント、公共ウェブサイト、ネットワーク、調達、バックアップ、インシデント対応を同時に支えている可能性がある。専門的なAIセキュリティ評価は、現在の能力をはるかに超える場合がある。
州のサービスは、人材と購買力を集約できる。また、単独では維持できない組織に対し、共通のアラート、プレイブック、評価、対応支援を提供できる。
カリフォルニア州は、この提供をさらに複雑な調達要件に変えてはならない。地方のパートナーには、明確な利用資格、導入手順、サポート、インシデントのエスカレーションを備えた利用しやすいサービスが必要だ。
州はこれらの詳細を公表していない。アクセスを拡大すると述べているが、どのツールが利用できるのか、参加費用をどのように賄うのかは説明していない。
統合は一様ではない。一部の組織は豊富なログを備えた最新のクラウドシステムを持つ一方、他は古いアプリケーション、サポート対象外のデバイス、専門的な産業設備に依存している。
AIツールは、利用可能なテレメトリーを出力しないデバイスを監視できない。ベンダーがテストされていないソフトウェア変更を禁じる場合、その設備に安全にパッチを適用することもできない。
カリフォルニア州は、準備態勢の整備とAI導入を区別すべきだ。一部の参加者はまず、資産の発見、安全なバックアップ、多要素認証、ネットワークセグメンテーション、信頼できるログ取得を必要とする。
ここには潜在的な測定上の罠がある。州は多数の組織が登録したと報告できる一方、最大のリスクに直面する組織にはほとんど改善をもたらさないかもしれない。
登録はレジリエンスではない。より良い指標には、公開されたサービスの削減、修復時間の短縮、復旧のテスト、検知カバレッジの向上、インシデント支援へのより迅速なアクセスが含まれる。
プログラムは地方の運用知識も維持しなければならない。州の分析担当者は不審なイベントを特定できるかもしれないが、どのシステムが不可欠なサービスを支え、いつ停止が物理的な危険を生むかを理解しているのは地方の担当者だ。
対応計画は、中央の技術的専門性と地方の権限を組み合わせるべきだ。また、影響を受けた組織が通常の通信経路で連絡できない状況に向けた手順も必要である。
地域演習は、こうした格差を明らかにする助けになる。水道、交通、医療、通信、エネルギーの組織は、同じソフトウェア脆弱性を共有していても、異なる運用上の制約に直面する。
カリフォルニア州は、洗練されたデモではなく、現実的な混乱を想定してプログラムを試験すべきだ。演習には、不完全なログ、不在のベンダー、相反する提案、劣化した通信を含めるべきである。
州は誤報についても計画しなければならない。攻撃者が存在しない場合でも、不必要な停止は不可欠なサービスを損ないうる。
成熟したプログラムでは、モデルがなぜアラートを出したのか、どの証拠がそれを裏付けたのか、どの人間が対応を承認したのか、結果が混乱を正当化したのかを記録すべきだ。
地方自治体には、監査、保険、公共への説明責任、将来の改善のためにこうした記録が必要だ。中央集権的なシステムからの説明のない指示を受け入れる必要があってはならない。
Google Newsでの可視性は、この取り組みへの注目を集めることができる。信頼は、実践的な支援、透明な限界、そしてサイバーセキュリティ資源が最も少ない地域社会における測定可能な改善から生まれる。
真の試験はマシン速度での説明責任
AIシステムが誤りを犯したとき、より迅速な防衛が観測可能で、可逆的で、説明責任を果たせることを、カリフォルニア州は証明しなければならない。
Newsomは、次の危機を待つか、今すぐ防衛を構築するかという選択としてこの問題を位置付けた。その緊急性は妥当だが、緊急性は評価と調達の規律を弱めることもある。
プログラムには、防御目的のAIユースケースすべてを明確にインベントリ化する必要がある。各項目では、責任者、モデル、データソース、権限、人間のレビュアー、期待される便益、失敗した場合の影響を特定すべきだ。
各機関のAI Cybersecurity Officersが、そのインベントリを維持できる。カリフォルニア州は依然として、彼らが最高情報責任者、セキュリティ責任者、機関の長、または州全体の権限組織の誰に報告するのかを定義する必要がある。
機関の指導部や大手テクノロジーベンダーが支持する導入に異議を唱える必要がある場合、独立性は重要になる。モデル固有のリスクを評価する際には、技術的な能力も同様に重要だ。
詳細な防御情報は攻撃者を利する可能性があるため、公開の透明性には限界がある。それでもカリフォルニア州は、ガバナンス規則、集計されたパフォーマンス、インシデント分類、調達基準、監査結果を開示できる。
州はベンダーの主張と検証済みの結果を分けるべきだ。提供者は、自社モデルがより多くの脆弱性を発見する、または調査をより速く完了すると報告するかもしれない。
カリフォルニア州には、確立されたツールや人間のチームとの統制された比較が必要だ。テストでは、検知の成功だけでなく、誤った提案のコストも測定すべきである。
同じ原則はインシデント対応にも適用される。対応者が正しいシステムを隔離し、復旧と調査に必要な証拠を保全して初めて、より迅速な封じ込めに価値がある。
カリフォルニア州には、モデル更新のためのプロセスも必要だ。AIサービスは、提供者がモデル、安全統制、コンテキストの制限、基盤インフラを変更した後に挙動を変える可能性がある。
評価に合格したモデルバージョンが、その後継モデルを自動的に承認すべきではない。高リスクのワークフローでは、更新されたシステムに同等のアクセスを与える前に回帰テストが必要だ。
ベンダーの障害もテストに含めるべきだ。大規模なインシデント中にクラウドモデルが利用できなくなったからといって、州の防衛プログラムが機能停止してはならない。
フォールバック計画には、従来のセキュリティツール、手動手順、代替通信チャネル、訓練を受けた対応者を含めるべきだ。AIは、代替不可能な依存関係になることなく、防衛能力を高めるべきである。
プログラムは、自動化された提案同士の衝突をどのように扱うかも開示すべきだ。2つのモデルが異なる優先順位を割り当てたり、両立しない封じ込め手順を提案したりする可能性がある。
文書化された意思決定フレームワークは、意見の不一致を可視化し続けることができる。それを単一のリスクスコアの背後に隠せば、誤った確実性を生むことになる。
カリフォルニア州が信頼できるプログラムを構築しているかどうかは、3つのシグナルで示される。
第一に、各機関のAI Cybersecurity Officersに割り当てられる詳細な運用ルールに注目したい。明確な権限、最低限の資格要件、エスカレーションの責務があれば、説明責任は強化される。
次に、2027年1月1日までに策定予定の「California AI Cybersecurity Collaboration Playbook」に注目すべきだ。その報告期限とベンダー要件が、脅威情報共有を実運用へ移せるかどうかを左右する。
第三に、公開されるパフォーマンスの証拠を見極める必要がある。Californiaは、機微なシステムを露出させることなく、検知、是正、復旧テスト、地方政府のカバレッジにおける測定可能な変化を報告すべきだ。
こうした兆候が現れれば、このプログラムは公共サイバー防衛を本格的に近代化する取り組みに見えるだろう。現れなければ、このイニシアチブは既存ツールに付けられた認知度の高い名称にとどまるリスクがある。
だからこそ、現在のGoogle Newsでの注目は重要だが、勝利を祝う段階ではない。Californiaは任務を定義し、その制度上の拠点を定めた。
困難な作業は、アクセス制御、評価、報告ルール、地方支援、障害時の計画から始まる。AIがリスクを低減するのか、それとも単にリスクの形を変えるだけなのかは、こうした詳細によって決まる。
セキュリティ責任者は今、実務的な問いを投げかけるべきだ。AIが安全に加速できる防御上の判断はどれか。そして、依然として人間による直接的な統制を必要とする判断はどれか。
Californiaの答えは、一つの州にとどまらず重要な意味を持つ。他の政府機関はその結果を用いて、集中型AI防衛が現実の運用上の圧力の下で基幹サービスを改善するかどうかを判断できる。
