トランプ政権は、新たに立ち上げたAI強化型クリアリングハウスによって、ハッカーに悪用される前にソフトウェアの脆弱性を分析・修正するプロセスが劇的に高速化すると主張しています。しかし発足から1カ月が経過した今も、このプログラムがどれほどの価値を生み出せるのかは依然として不透明です。
2026年7月中旬に始動した米政府の「Gold Eagle」クリアリングハウスは、AIによって急増するバグ報告の津波を分析し、最も危険な脆弱性を特定して修正を支援するとともに、その対策への認知を高めることを目的としています。しかしセキュリティ専門家によれば、Gold Eagleの限られた規模と任意参加という性質から、膨大な数に上る脆弱性分析をまとめきれるのか、深刻な疑念が持たれています。専門家らはまた、財務省によるクリアリングハウスの監督体制、その中核となる技術システムの資金調達、そして民間セクターの脆弱性調整ハブとの統合方法についても疑問を呈しています。
「ここで政府が介入する必要はありません」と、AIコーディングセキュリティ企業Corridorの最高セキュリティ責任者アレックス・スタモス氏は述べています。「民間セクターはこの分野で立派に機能しています」
とはいえ、ソフトウェア脆弱性問題の規模の大きさを踏まえれば、限られたリソースを賢く使えばGold Eagleにもある程度の有用性があり得ると、ベテランのセキュリティ研究者たちは指摘しています。
「調査結果がソフトウェアの保守担当者に届く前に検証し、重複を排除して、修正を影響を受ける全員に届ける仕組みがあれば、AIが生み出すノイズを防御に役立つシグナルへと変換できます」と、Luta Securityの最高経営責任者(CEO)で脆弱性開示分野に長年携わってきた専門家であるケイティ・ムソーリス氏は述べています。「うまく運用されれば、それは本物の価値になります」
パッチ適用の優先順位付け
クリアリングハウスについて公開されている限られた情報の大半は、トランプ大統領が2026年6月に発した大統領令に基づくものです。この大統領令は、政府に対し立ち上げを指示しました――「AI業界および重要インフラ事業者と自発的に協力し、ソフトウェアの脆弱性スキャンを調整・重複排除し、そうした脆弱性を発見・検証し、脆弱性パッチの修正と配布の優先順位付けおよび調整を行う、AIサイバーセキュリティ・クリアリングハウス」を。
2026年8月14日付のサイバーセキュリティ・インフラセキュリティ庁(CISA)のファクトシートは、Gold Eagleを「AIを活用した脆弱性報告の取り込み、検証、重複排除を大規模に可能にするソフトウェア機能」と説明しています。
専門家らは、クリアリングハウスがスキャンや検証にどれほど役立つかについて、極めて懐疑的な見方を示しています。
スキャンに関して言えば、「重複排除が機能するのは、あくまでテントの中にいる人たちに対してだけです」とムソーリス氏は述べています。「世界中のセキュリティ研究者は、このクリアリングハウスの動向にかかわらず、自分たちがやりたいスキャンを続け、調査結果を保守担当者に直接報告し続けるでしょう」
より「現実的な成果」として同氏が挙げたのは、政府機関自身のスキャン業務の重複排除でした。
脆弱性の検証については、組織がMythosや類似モデルの活用方法を洗練させてきたことで、実際の欠陥をAIが生成した見当違いの結果から選り分ける能力が大幅に向上していると専門家らは指摘しています。「検証をめぐる懸念は、おそらく少し時代遅れになりつつあります」と、ソフトウェアセキュリティ企業Chainguardの最高経営責任者(CEO)ダン・ロレンク氏は述べています。
クリアリングハウスが最も支持を集めたのは、新しいパッチへの認知を高める役割を担う可能性についてでした。
パッチ適用は、ソフトウェア業界にとって多方面にわたる課題です。一部の商用ベンダーはパッチの優先順位付けを適切に行えておらず、オープンソースの多くのボランティア開発者は修正対応に追われ、サプライチェーンの不透明さがコード依存関係の解きほぐしを困難にし、そしてエンドユーザー――特に重要インフラ事業者――は、脆弱性が自分たちにどう影響するかについての情報を欠いています。
クリアリングハウスはこうした問題の解決に役立つ可能性があります。政府は、国家主導のハッカーによるスパイ活動や破壊工作の意図から、サイバー犯罪集団が最近狙っている業界まで、リスクの状況について独自の理解を持っています。クリアリングハウスはこうした知見を活用し、開発者がどの欠陥を優先的に修正すべきかを理解する助けとなり、さらにインフラ事業者がそれらのパッチを適用する――あるいは特注の産業用システムにパッチを適用できない場合には、別の方法でリスクを軽減する――のを支援できます。
「脆弱性について知らせ、それに対してどのような対応が取れるかを伝えること」とロレンク氏は述べています。「それは政府にとって本当に重要な役割です」
クリアリングハウスは、オープンソースソフトウェアの修正対応において大きな違いを生む可能性もあります。参加する専門家は、開発者が自分たちのコード内の欠陥を理解し修正する助けとなり、また利用者がサポート終了となった旧バージョンのソフトウェアパッケージの脆弱性に対して独自のパッチを作成した場合、クリアリングハウスがそうしたパッチへの認知を広める役割を果たせます。
Gold Eagleはまた、ソフトウェア業界がはるかに速いパッチ適用サイクルを採用するよう後押しする可能性もあります。ハッカーは今やAIを使い、新たに発見された脆弱性のエクスプロイトをわずか数分で作成できますが、開発側はそのペースに追いついていません。3月にMandiantは、パッチの適用がエクスプロイトの出現に平均で7日遅れていると報告しました。「私たちのパッチ管理は、大幅にスピードアップさせなければなりません」と、米国土安全保障省(DHS)で新興技術政策の元ディレクターを務めたニック・リース氏は述べています。
エクスプロイト化までの時間が急減
ハッカーが脆弱性を武器化するまでにかかる日数は、この10年間で劇的に減少しています。
財務省がクリアリングハウスの脆弱性認知向上の取り組みを監督することについて、誰もが歓迎しているわけではありません。スタモス氏が指摘するのは、議会がその役割をCISAに割り当てていたという点です。それがトランプ政権下で、同庁が骨抜きにされ、重要な連携の仕組みが打ち切られ、多くのパートナーシップが凍結されたことがあったからです。インフラ事業者とのそうした連携も失われました。
「私たちは、このために構築していたシステムに戻るべきです」とスタモス氏は述べています。「[CISAの]人員を再配置し、関係性を再構築する……こうしたものをすべて再構築する理由はありません」
CISAはファクトシートの中で、クリアリングハウスの運営を支援していると述べ、Gold Eagleが「基幹ソフトウェアシステムのリスク低減、重要インフラの強化、国家サイバーセキュリティの底上げに向けた前進」を促すものになると付け加えています。
資金調達、指揮体制、連携
政府はクリアリングハウスの運営方法についてほとんど情報を明らかにしていませんが、わずかに公開されている情報からも、いくつかの重大な課題が浮かび上がっています。
ホワイトハウスによれば、クリアリングハウスにおける脆弱性報告の受付窓口には、脆弱性情報・連携環境(VINCE)が使われる予定です。VINCEは、CERT調整センター(CERT/CC)を運営する連邦政府出資の研究組織、カーネギーメロン大学ソフトウェア工学研究所(SEI)が運営しています。
SEIのシニアエディター兼コンテンツ戦略担当であるポール・ルジエロ氏はCybersecurity Diveに対し、VINCEは「AI規模の脆弱性報告を取り込んだ上で、自動化とAIを用いて報告を分析・優先順位付けし、協調的な脆弱性開示につなげるべくCERT/CCへ送る」ことになると語っています。
しかし専門家らは、CERT/CCがこの任務に対応しきれないのではないかと懸念しています。ムソーリス氏は、同組織は「この規模のプログラムを処理するのに十分な人数のアナリストを抱えるだけの資金を、現状与えられていません」と述べています。追加の資金がなければ、VINCE経由で提出された報告書はアナリストが確認するまで数週間、あるいは数カ月も放置されかねません。
たとえ資金が潤沢なCERT/CCであっても、クリアリングハウスが分析対象とする脆弱性のうち、報告を受け取れるのはごく一部にとどまるでしょう。多くの人々は今後も、まずソフトウェアを担当するベンダーやオープンソースの保守担当者に報告を続けるはずです。「脆弱性を見つけたときに最初に向かう先だと考える人はいないでしょう」とロレンク氏は述べています。「ですが、国家的な調整が必要だと分かったときに頼る場所にはなり得ます」
国家的に重要なソフトウェアの欠陥に関するデータの主要な保管場所としてVINCEを構築することで、トランプ政権は自らの背中に巨大な標的を描いてしまったとも言えます。犯罪集団や敵対的な政府のために働くハッカーたちは、VINCEのデータベースに侵入しようとあらゆる手を尽くすとみられます。
「未修正の脆弱性の情報を一極集中させることは、敵対勢力にとってこの上ない標的です」とムソーリス氏は述べています。「一カ所を叩くだけでバグの大当たりを引けるのなら、なぜ[1,000を超える]オープンソースプロジェクトやクローズドソースのソフトウェア企業をわざわざ個別にハッキングする必要があるでしょうか」
また、政府のこのプログラムが、ここ数カ月の間に立ち上がった業界主導の脆弱性連携プロジェクト群とどう統合されるのかも不透明です。IBMとRed HatはLightwellを立ち上げ、Linux FoundationはAkritesを創設し、ChainguardはAthenaを立ち上げています。
「既存の脆弱性共有の仕組みを活用し、その資源を拡充するのではなく、あえて別のクリアリングハウスを設ける必要性ははっきりしません」と、DHSの元AI政策責任者ノア・リングラー氏は述べています。
ロレンク氏によれば、同氏をはじめとする業界主導の取り組みの調整役たちは、クリアリングハウスと(そして互いにも)円滑に協力し合えることを望んでいます。「脆弱性が見つかるたびに、誰にどの順番で伝えるかというフローチャートのようなものが存在することになるでしょう」
財務省がクリアリングハウスを主導していることも、もう一つの論点です。この体制にはそれなりの理由があります――大手銀行はMythosをいち早く採用した企業群の一つでした――が、専門家らはこの体制を酷評し、財務省にはクリアリングハウスを運営するだけの専門知識が欠けていると指摘しています。「脆弱性の連携は信頼の上に成り立つかどうかで成否が決まりますが、研究者や保守担当者、ベンダーはCERT/CCとの間に数十年かけて築いてきた信頼があり、CISAとも協力関係を持っています」とムソーリス氏は述べています。「財務省には、その連携という使命も、そうした関係性もありません」
「海を沸かそうとするな」
クリアリングハウスの運営方法をめぐって未解決の問いが山積するなか、専門家らは政府がいくつかの目標に取り組む必要があると指摘しています。
まず財務省は、成功事例に関する情報を公に共有することで、自らの連携の仕組みに対する信頼を築いていく必要があります。「今のうちに成果を測る基準を確立しておかなければ……これが役に立ったのかどうか、誰にも分からないままになってしまいます」とムソーリス氏は述べています。
また、データの質を高く保ち、自動分析に適した状態を維持するためには、クリアリングハウスがAI時代における情報交換をめぐる民間セクターの技術革新のペースに遅れずついていく必要もあります。
そして何より重要なのは、トランプ政権が、この巨大な問題を前にして自らが達成できる範囲について現実的な見立てを持つことです。
「海を沸かそうとしてはいけません」とムソーリス氏は述べています。「一つの組織が処理できる能力には限界があり、それはすべての重要インフラ用ソフトウェアや主要なオープンソースパッケージの一覧よりもはるかに小さいものだと理解し、能力構築には慎重を期すべきです」
