GenAI.milの拡大で高まるペンタゴンのAIセキュリティリスク
GenAI.milの利用者数が170万人に達した後、ペンタゴンは同プラットフォームに企業向けAIシステム2件を追加した。正式な安全対策が講じられているにもかかわらず、ペンタゴンのAIセキュリティリスクは増している。ChatGPT MilとGrok for Governmentは、2026年8月31日に軍の日常的なデジタル環境へ導入された。両サービスは、IL5として知られるImpact Level 5において、Controlled Unclassified Informationの取り扱いを認可された。
これはもはや、一部の技術チームだけを対象にした限定的な実験ではない。GenAI.milは2025年12月に開始され、9カ月以内に同省の300万人規模の職員の半数以上へ到達した。そのツールは、計画立案、政策、調達、物流、管理業務、ファイル分析、継続的なプロジェクト作業を支援できる。
ペンタゴンは、この広がりを運用上の優位性と見ている。批判者は、業務の高速化と規律ある情報管理との間にある、見えにくいトレードオフを指摘する。Foreign Policy in Focusが公表した分析は、企業AIの利用が常態化すれば攻撃対象領域が広がる一方、機微情報の開示が日常的に感じられるようになると論じている。
中心的な論点は、認定済みのチャットボットが軍のファイルを即座に露出させるかどうかではない。GenAI.milが重大な侵害を引き起こしたことを示す公開情報はない。懸念されているのは、何百万件もの日常的なやり取りが、より多くの認証情報、保存されたプロジェクト、ソフトウェア接続、そして人的ミスの機会を生み出すかどうかだ。
この区別は重要である。認定は安全な技術的境界を設定できるが、その境界内で行われるすべてのプロンプト、アップロード、推論、意思決定を予測することはできない。したがって、ペンタゴンのAIセキュリティリスクは、モデルのセキュリティラベルだけでなく、人間の行動とシステムアーキテクチャに左右される。
GenAI.milは軍の日常インフラになった
8月の拡大により、GenAI.milは急成長中のサービスから、防衛部門の大部分を支えるマルチモデルの業務環境へと変わった。
同省は同日、ChatGPT MilとStarshield AIのGrok for Governmentを開始した。両製品は、政府プラットフォームを通じて複数の商用フロンティアモデルへ軍関係者がアクセスできるよう設計された環境に加わった。
ChatGPT Milの開始では、チャット、ファイル、プロジェクト、カスタムGPTsが中核的な体験として説明された。同省によれば、追加機能は今後順次導入される。
この組み合わせは、単なるチャットボット画面以上の意味を持つ。ファイル機能により、利用者は会話へ資料を持ち込める。プロジェクトはセッションをまたいで文脈を保持できる。カスタムGPTsには、反復可能な指示や業務手順を組み込める。
各機能は反復作業を減らし得る。同時に、それらが組み合わされば、AIサービスは発展していく組織知識の保管庫にもなり得る。システムはもはや、孤立した質問に答えるだけではない。チームが文脈を保存し、文書を解釈し、ワークフローを繰り返す方法の一部になり得る。
Grokの導入では、継続的なプロジェクト、カスタマイズ可能なワークスペース、推論モード、再利用可能なプレイブックが追加された。同省は、これらのプレイブックが組織の知識を取り込み、拡張できるとしている。
当局者は、マルチモデル設計をベンダーロックインへの対策として提示した。利用者は、同省の業務フロー全体を単一の商用プロバイダーに依存させることなく、異なるAI機能にアクセスできる。
このアプローチは、調達面でのレジリエンスを生む。一方で、監督を必要とするモデルインターフェース、統合ポイント、権限構造、更新サイクルの数も増加する。
GenAI.milの規模は、事態の重要性を高めている。同省は9カ月以内に170万人超のユニークユーザーを報告した。ChatGPT Milは300万人超の職員を支援できるよう設計されており、さらなる普及が目標であることを示している。
想定される用途は広範だが、大半は非機密業務である。調達担当者は市場調査を比較できる。物流チームは供給制約を分析できる。政策担当者は長大な文書を要約したり、ガイダンスの草案を再構成したりできる。
こうした作業は日常的に見えるため、魅力も理解しやすい。しかし、その情報の機微性は、単一の機密区分表示ではなく文脈から生じることが多い。
単一の供給記録が明らかにすることは少ないかもしれない。だが、複数の記録を展開予定や整備に関する質問と組み合わせれば、パターンが露出する可能性がある。有用な集約が意図しない洞察も生むとき、セキュリティ上の課題が始まる。
元の論評は、GenAI.milにおける侵害や技術的欠陥を見つけたわけではない。その主張は構造的なものだ。継続的なAIワークスペースとのやり取りが増えるほど、蓄積された情報が敵対者にとって価値を持つ機会も増える。
そのため、この拡大はインシデントがなくてもセキュリティ上の問題となる。ペンタゴンは、この規模での長年にわたる利用行動を裏付ける公開証拠が得られる前に、会話型AIを日常業務の一部にした。
利便性とともに高まるペンタゴンのAIセキュリティリスク
安全なプラットフォームは公開チャットボットへの露出を抑えられる一方、集約、アクセス、習慣的な開示を通じて新たなリスクを生み出し得る。
Impact Level 5は、Controlled Unclassified Information、すなわちCUIを扱うシステム向けの米国防総省クラウド分類である。CUIは保護措置を要する機微な政府情報だが、国家安全保障上の機密情報ではない。
ChatGPT MilとGrok for GovernmentのIL5認定には意味がある。これは、それらのシステムが定義された情報環境に必要なセキュリティ要件を満たすことを示す。ただし、考え得るすべての利用方法、接続、人間による判断が安全であることを意味するわけではない。
この違いが、現在の議論の中心にある。技術的認可はシステムを取り巻く統制を評価する。運用上の安全性は、人々が時間をかけてその統制をどう利用するかに依存する。
会話型インターフェースは、設計上、摩擦を減らす。利用者は非公式な質問をし、テキストを貼り付け、文書をアップロードし、自然な対話を通じて出力を改善できる。これらの機能が有用なのは、データベース管理ではなく協働に似ているからだ。
同時に、利用者の開示に対する認識を変える可能性もある。文書を公開する前ならためらう人でも、承認済みの環境内でアシスタントとその内容を議論することには抵抗を感じないかもしれない。
その安心感が直ちに不正行為を意味するわけではない。GenAI.milは、公開AIサービスに代わる承認済みの選択肢を提供する目的も持つ。認可された作業を監視可能な政府プラットフォーム内に留めることは、管理されていない外部利用と比べて安全性を高め得る。
問題は、承認が心理的な安心感を生むことだ。利用者は「CUI向けに認可済み」を、継続的な責任を伴う境界ではなく、包括的な保証と受け取る可能性がある。
セキュリティチームは、職場における無認可のAI利用を「shadow AI」と呼ぶ。これには、従業員が未承認サービスを使うことや、十分な審査なしに組み込みAI機能を有効化することが含まれる。
2026年6月のDefense Counterintelligence and Security Agencyの速報は、shadow AIを、無許可の情報開示、データ流出、運用保全上の失敗につながる主要な経路と位置付けた。同機関は、公開モデルではなくGenAI.milのような承認済みプラットフォームを使うよう職員に求めた。
この勧告は合理的だが、根本的な行動をなくすのではなく、活動を共有のエンタープライズ環境へ移すものでもある。管理者は依然として、プロンプト、ファイル、エージェントの操作、権限、保持されたプロジェクトデータを可視化する必要がある。
最も難しい危険は集約に関わる。個別には非機密の事実の集合でも、組み立てて解釈すれば、機密扱いの能力、脆弱性、作戦を明らかにする可能性がある。
Government Accountability Officeは、GenAI.milが現在の規模に達する前からこの懸念を記録していた。連邦政府におけるAIのレビューで国防総省当局者は、生成モデルが非機密の学習情報を組み合わせ、意図せず機密出力を生成する可能性があると述べた。
同じレビューでは、もう一つの人的要因も明らかになった。国防総省とNASAの当局者によれば、一部の政府利用者は、生成システムがどのように回答を生み出すかを理解する専門知識を欠いていた。このギャップは、もっともらしい出力に対する誤った確信を生み得る。
この二つのリスクは互いを強め合う。集約された情報は利用者の予想以上の内容を明らかにする可能性があり、流暢な回答はその来歴が保証されないまま、より強く信頼される可能性がある。
プロジェクトが文脈を保持する場合、この問題は特に難しくなる。永続性は、利用者が毎回プロンプトを作り直さずに複雑な作業を続ける助けになる。一方で、ファイル、指示、導き出された結論を、価値の高い一つのアカウントに集中させる可能性がある。
攻撃者がネットワーク全体を侵害する必要はないかもしれない。盗まれた認証情報、不適切な権限範囲の統合、露出したプロジェクト、過剰な権限を持つアカウントがあれば、被害を引き起こすのに十分な文脈が得られる可能性がある。
マルチモデルへのアクセスは、さらに別の層を加える。ベンダーごとにアーキテクチャ、安全対策、更新スケジュール、データ取り扱いの取り決めが異なる。共有プラットフォームは、こうした違いをまたいで一貫したセキュリティ成果を確保しなければならない。
これはGenAI.milが安全でないことを証明するものではない。各製品が認定された経路で導入される場合であっても、普及に伴ってセキュリティ上の負担が増す理由を説明するものだ。
ペンタゴンは迅速性を求めるが、セキュリティは摩擦に依存する
主な対立は、AIファーストの運用モデルと、機微な軍事情報を守るために意図的に設けられた摩擦との間にある。
同省が迅速な導入を求める理由は理解しやすい。商用AIは文書を要約し、定型的な資料を作成し、サプライチェーン分析を支援し、管理業務を減らせる。迅速な統合は、意思決定者により価値の高い業務へ割く時間を与え得る。
軍事組織には、競争相手が持続的な優位性を得る前に技術を導入しなければならないという圧力もある。中国とロシアは、情報活動、サイバー作戦、影響工作、戦場システム向けのAIに投資している。
無期限に待つことにもリスクがある。有用なAIを阻む組織は、職員を未承認のツールへ向かわせる可能性がある。また、運用上の対応力を制限する遅いプロセスを維持することにもなり得る。
ペンタゴンはGenAI.milに先立って、この圧力への対応を始めていた。2024年12月、Chief Digital and Artificial Intelligence OfficeとDefense Innovation UnitはAI Rapid Capabilities Cellを設立した。
この組織には、パイロット事業と基盤インフラのため、2024年度と2025年度に約1億ドルが配分された。初期のユースケースには、指揮支援、計画立案、物流、情報活動、サイバー作戦、調達、医療管理、ソフトウェア開発が含まれた。
この方針は、実験から展開への意図的な転換を反映している。GenAI.milは、その戦略を日常業務へ持ち込むためのエンタープライズ経路を同省に提供する。
従来、セキュリティシステムは摩擦に依存してきた。機密区分表示、区画化されたアクセス、ログ記録、承認、分離されたネットワークは、人々が情報を移動させる前に立ち止まることを求める。この遅延はしばしば意図的なものだ。
会話型AIは逆方向に機能する。その価値は、質問から有用な結果に至るまでの手順を減らすことにある。継続的なワークスペースは文脈を繰り返し説明する必要をなくし、ファイルのアップロードは手作業での抽出を不要にする。
したがってペンタゴンは、同じインターフェースに相反する二つの性質を求めている。商用サービスの利便性と、軍事情報に求められる規律である。
利便性か安全性かを絶対的な二者択一として選ぶだけでは、この緊張関係は解消できない。有用な軍事ツールは実際の業務を支援しなければならない。一方で安全なツールは、文脈、権限、データの組み合わせが危険を生む場合、その業務に制約を設ける必要がある。
セキュリティ上の弱点に関する議論は、常態化に焦点を当てている。Michael Aaron Codyは、日常的な対話型利用が、従来のシステムに対してユーザーが払うべき慎重さを徐々に損なうと主張している。
これは分析上の主張であり、確認済みの失敗を示す証拠ではない。ただし、規模の拡大によって行動のばらつきも増すため、ユーザー数の増加に伴って説得力を増す。
パイロット導入では、選ばれた参加者、密接な監督、限定的なシナリオに依拠できる。全軍種にまたがるエンタープライズサービスは、新しいユーザー、地域ごとの慣行、変化する任務、ばらつきのある技術知識に直面する。
研修はルールの定着に役立つが、ミスをなくすことはできない。人は手順を忘れ、表示を読み違え、モデルの出力を過度に受け入れたり、締め切りを優先したりする。敵対者は、こうした予測可能な行動を軸にフィッシングやソーシャルエンジニアリングのキャンペーンを設計する。
AIは新たな操作経路も生み出す。たとえばプロンプトインジェクションでは、モデルが読み取るコンテンツの中に悪意ある指示を隠す。ユーザーが気付かないままでも、AIシステムがその指示に従う可能性がある。
検索・取得システムも同様の問題を招きうる。取得機能により、AIアシスタントは質問に答える前に承認済みの情報源を検索できる。権限管理やソース検証に失敗すれば、モデルはユーザーが意図したアクセス範囲を超えるコンテンツを表示するおそれがある。
永続的なプロジェクトにはライフサイクル管理も必要だ。管理者は、誰がプロジェクトを作成したか、どのデータが含まれるか、誰がアクセスできるか、いつ削除すべきかを把握しなければならない。
これらはよく知られたナレッジマネジメント上の問いだが、AIは保存された資料を対話的なものにする。モデルが数千件の記録にまたがる関係性を迅速に推論できるようになると、検索可能なリポジトリの機密性は高まる。
民間組織も、検索可能なナレッジベースを構築する際に、関連する課題に直面する。取得が容易になるほど、アクセス境界と来歴の重要性は増す。
国防総省が直面する影響ははるかに大きい。一見軽微な情報開示でも、情報収集手法、部隊防護、調達交渉、同盟国の情報共有意欲に影響を及ぼしうる。
したがって、スピードは無償ではない。自動要約によって節約される1分ごとに、ログ記録、監視、アクセスレビュー、モデル評価への対応要件が伴う。
GenAI.milのセキュリティリスクはデータ漏洩にとどまらない
このプラットフォームは、侵害されたアクセス、操作された知識、信頼できない回答、過剰な権限を持つ自動化に同時に対処しなければならない。
データ漏洩は想像しやすいため、最も注目を集める。ユーザーが機密資料をアップロードし、その後に権限のない第三者がそれを入手する。しかし、国防総省のAIセキュリティリスクはそれだけにとどまらない。
一つのリスクは完全性だ。敵対者は、モデルが取得する情報や訓練時に使用されるソースに影響を与えようとする可能性がある。狙いは、システムを目に見えて破綻させずに回答を誘導することだ。
研究者たちはすでに、国家支援の情報工作が商用チャットボットの出力にどのように現れるかを研究している。2026年4月のNational Defenseの報告は、ウクライナ戦争に関する質問を対象に、ChatGPT、Grok、Gemini、DeepSeekで行ったテストを取り上げた。
研究者は、テストした質問の5件に1件がロシア国営メディアを引用していたと報告した。結果はモデルやプロンプトの枠組みによって異なっており、この知見をGenAI.milの直接的な評価として扱うべきではない。
それでも、重要な問題を示している。モデルは利用可能で、流暢かつ応答性を維持したまま、敵対的なナラティブの影響を受けた情報を提供する可能性がある。
二つ目のリスクは、信頼性の低い推論に関わる。生成モデルは検証済みの結論ではなく、確率的な出力を生成する。引用を捏造したり、留保条件を省いたり、矛盾する事実を混在させたりすることがある。
一般文書の誤った要約であれば時間の浪費にとどまるかもしれない。同じ挙動が兵站計画や情報支援の内部で起きれば、意思決定を歪める可能性がある。
人によるレビューは依然として不可欠だが、その質は専門性と業務負荷に左右される。ユーザーがシステムはすでに難しい分析を済ませたと考える場合、自動化は監督を弱める可能性がある。
三つ目のリスクは過剰な権限に由来する。エージェント型AIは、標準的なチャットボットよりも即時の人間による指示が少ない状態で、行動を起こし、ツールを使い、目標を追求できる。
GenAI.milの8月の発表は、主に対話機能とワークスペース機能に焦点を当てていた。しかし、両方の発表は追加機能や高度なワークフローを約束しており、権限設計は今後の重要な懸念事項となる。
National Security Agencyが2026年4月に公表したエージェント型AIに関するガイダンスは、過剰な権限を持つエージェントが単一の侵害を増幅させる可能性があると警告した。また、攻撃対象領域の拡大、複雑な相互接続、不透明な挙動、弱い説明責任を主要なリスクとして挙げている。
同ガイダンスは、段階的な導入、継続的に更新される脅威評価、厳格な監視、明確な説明責任、人間による監督を推奨している。これらの提言は、ユーザー増加を中心とする単純な導入指標に疑問を投げかける。
ユーザー数の増加が、必ずしも軍事的価値の向上を示すわけではない。それが示すのは到達範囲だ。意思決定の質、節約された時間、エラー率、セキュリティ事案、任務成果の方が、より意味のある証拠となる。
四つ目のリスクはベンダーに関するものだ。マルチモデルプラットフォームは一社への依存を減らすが、政府は依然としてモデル開発と更新を商用プロバイダーに依存している。
プロバイダーはモデルの挙動を変更したり、あるバージョンを廃止したり、脆弱性を発見したり、機能を変更したりする可能性がある。国防総省は、イノベーションを完全に止めることなく、重大な変更を検証しなければならない。
そのためにはバージョン追跡が必要だ。セキュリティチームは、どのモデルが出力を生成したか、どの設定がそれを統制していたか、調査担当者が事案をレビューする前にモデルが変更されたかどうかを把握する必要がある。
議会もその必要性を認識している。2026会計年度の国防法は、セキュリティテスト、データポイズニング、ジェイルブレイク、不正アクセス、調達リスク、モデル評価を対象とするAIガバナンスを国防総省に整備するよう指示した。
同法はさらに、バージョン履歴、性能、セキュリティ状態、コンプライアンスを追跡するレジストリシステムも求めている。これらの措置は、既存のサイバーセキュリティ管理にAI特有の拡張が必要であることを示している。
この法律は懐疑的な見方を補強する一方で、その一部への答えにもなっている。国防総省は、ガバナンス構造がまったくない状態でGenAI.milを拡大しているわけではない。議会とセキュリティ機関は、関連するリスクの多くを特定している。
依然として不確かなのは、エンタープライズ規模での実行だ。公表された発表ではユーザー総数と機能説明が示されるが、インシデント率、権限設定のエラー、保持慣行、敵対的テストの結果についてはほとんど明らかにされていない。
IL5認定だけでは、これらすべての疑問に答えることはできない。これはCUIに対するセキュリティの基準線を定めるものであり、すべてのモデル更新とユーザーワークフローが恒久的に許容可能なリスクの範囲内にとどまることの証明ではない。
したがって最も強い批判は、プラットフォームに防御策がないということではない。導入が、日常的な負荷の下でそれらの防御策がどのように機能するかを外部者が評価できる速度よりも速く進んでいる、という点にある。
国防総省が適切な均衡を実現していることを示すもの
次の試金石は、国防総省が導入状況と同じ明確さでセキュリティと性能の証拠を報告できるかどうかだ。
GenAI.milの拡大が戦力を強化するのか、それとも永続的な弱点を生むのかは、三つの兆候によって決まる。
第一は、運用上のセキュリティ報告だ。国防総省は、データ流出事案、不審なプロンプト、侵害されたアカウント、権限の不備、ポリシー違反をプラットフォーム全体で追跡すべきである。
この環境には機微な活動が含まれるため、公開報告は限定的なままとなる。とはいえ、議会や独立した監督機関は詳細な指標を受け取り、集計結果を公表できる。
利用拡大に伴ってインシデント率が安定または低下すれば、常態化が必然的に規律を損なうという議論は弱まる。インシデントの増加、繰り返されるアクセス障害、隠された侵害があれば、その議論は強まる。
第二の兆候は、2026会計年度のAIセキュリティ義務の実施状況だ。議会は、AIおよび機械学習システムを対象とする省全体のサイバーセキュリティ・ガバナンス方針を求めた。
AIセキュリティに関する規定には、敵対的テスト、サプライチェーン評価、調達要件、管理されたサンドボックス、部門横断のモデル監督チームが含まれる。これらの要件は技術的リスクと組織的リスクの双方に対応する。
決定的な問いは、こうした管理が継続的に機能するかどうかだ。導入前に評価されたモデルも、更新、接続されたツール、取得データ、新たなユーザー設定を通じて変化しうる。
有効な監督は、ライフサイクル全体に及ぶべきだ。モデルのバージョン、データソース、権限、統合、インシデント、廃止判断を対象にする必要がある。
明確なマイルストーンは、国防総省が導入拡大に合わせてガバナンスを拡張しているという信頼を高める。ルールの遅れや一貫性のない実施は、導入が依然として保証に先行しているという懸念を裏付けることになる。
第三の兆候は、GenAI.milが行動実行機能をどのように導入するかだ。チャットと文書支援にも慎重な管理が必要だが、エージェント型システムは接続されたサービスを通じて複数ステップのタスクを実行できる。
モデルが記録を編集し、リクエストを送信し、制限付きリポジトリを照会し、運用ワークフローを起動できるようになると、セキュリティ境界は変わる。その段階では、人間の承認と最小権限アクセスがさらに重要になる。
最小権限とは、特定のタスクに必要なアクセスだけをユーザーやシステムに与えることを意味する。ミス、操作、認証情報の窃取による被害を抑える。
国防総省は、エージェント型機能を段階的に導入し、現実的な攻撃シナリオに照らして測定すべきだ。セキュリティチームは、悪意ある文書、汚染された知識ソース、侵害されたプラグイン、誤解を招く指示をテストする必要がある。
このプロセスは、一部の導入を遅らせることになる。AIシステムが接続されたリソース全体で行動できる場合、その遅れはセキュリティ機能となる。
防衛分野以外の開発者やエンタープライズ購買担当者にとって、教訓は明確だ。プライベートモデル、承認済みプラットフォーム、コンプライアンス認証があっても、運用上のリスクはなくならない。
組織には依然として、アクセス制御、保持ポリシー、ソースの来歴、バージョン追跡、ユーザー教育、インシデント対応が必要だ。また、エラーを隠すことなくAIが業務を改善しているという証拠も必要になる。
GenAI.milは、機微な組織内におけるエンタープライズ生成AIの、最も大規模で目に見える試験の一つになりつつある。その結果は、各国政府がマルチモデルプラットフォーム、永続的なワークスペース、AIエージェントをどう評価するかに影響を与えるだろう。
国防総省はすでに、AIを迅速に配布できることを示した。今後は、監視、評価、情報規律も同じ速度で拡張できることを示す必要がある。
この証拠は、次のユーザー数達成よりも重要であるべきだ。国防総省のAIセキュリティリスクを管理可能な状態に保てるのは、拡大のたびに測定可能な統制、透明性のある監督、ユーザーが気軽に回避できない制限が導入される場合に限られる。
今後数か月の問いは単純だ。国防総省は、セキュリティ性能が向上していることを示す信頼できる兆候を公表するのか。それとも、より多くの人がツールを使えるようになったと発表するだけなのか。
