AI政策の転換期にある英国、テクノロジー主権への取り組みを本格化

英国は、AIツールによって高速化・複雑化する攻撃の増加に備え、サイバー防御を強化するための大規模な投資を発表しました。政府は10月下旬、サイバー防御とAIセキュリティへの投資を強化するため、約8億ドルの資金パッケージを公表しています。

この動きは、英国のAI担当大臣であるカニシュカ・ナラヤン（Kanishka Narayan）氏が先月行った演説の中で、「私たち自身のサイバー防御が突破されることは、避けられないとまでは言わないにしても、ほぼ確実に思われる」と述べたことを受けたものです。同氏は、アラインメントを欠いたモデルが封じ込めを破って逃げ出すという最近の傾向に言及しました。具体例として挙げたのは、6月に起きたOpenAIのインシデントです。このとき、あるエージェントがオーストラリア政府の保健機関をハッキングしました。

一方で英国政府は、これと関連するもう一つの目標、すなわちデジタル主権の確立も推し進めています。ナラヤン氏は演説で、「英国の安全を守るために英国で構築する」必要性を強調し、外国のプロバイダーへの依存を減らすべきだと訴えました。これは、今年初めに米政府が下したAnthropicに対する輸出規制命令以降、一部の国々に共通する目標となっています。

「世界をリードする企業が英国に投資してくれることは歓迎します。しかし、その投資の代償として依存を受け入れるつもりはありません」と、ナラヤン氏は語りました。

しかし業界ウォッチャーからは、サイバー防御を強化しながら、国産テクノロジーの育成を通じてより高い主権も同時に達成することは、容易ではないとの指摘が出ています。

英国の「テック・エグジット」投資：それで十分なのか

今年、英国と欧州の政府方針を転換させたとみられる出来事が2つあります。いずれも米国企業のAnthropicが関わっています。1つ目は4月、同社が最先端モデル「Mythos」向けにProject Glasswingを発表したことです。これを受けて、企業のセキュリティチームに「脆弱性の黙示録（vulnpocalypse）」が訪れるのではないかという懸念が広がりました。

「ものすごい渦のような議論が巻き起こりました」と語るのは、継続的なコントロール監視を専門とするロンドンのQuod Orbis社でCEOを務めるティム・ウィリアムズ（Tim Williams）氏です。「その意味をめぐって多くの懸念が噴出し、誰もがパニックになっているようでした。そのパニックも、今は落ち着いたと思います」

しかし、もう一つの出来事は、はるかに長く尾を引く影響をもたらしました。トランプ政権による、外国籍の人物によるAnthropicの「Fable 5」および「Mythos 5」モデルの利用禁止措置です。この禁止措置の影響は海外の企業や政府機関にとどまりませんでした。輸出規制により、Anthropicは事実上、この2つのモデルへのアクセスを数週間にわたってすべて停止せざるを得なくなったのです。

米国の政策が突然変わったことで、価値の高い、おそらくは極めて重要なAI技術へのアクセスを突如失う。この事態の意味合いは、米国のテクノロジー企業への依存を減らすという、すでに高まりつつあった議論に拍車をかけました。英国政府の資金パッケージの重要な柱の一つは、英国のAIスタートアップを後押しし、国内企業に投資することです。

堅実な発想ではあるものの、情報セキュリティの専門家はこの方針に2つの問題があるとみています。第1に、資金パッケージが複数の施策に分割されている点です。たとえば、総額6億ポンドのうち、現在のサイバー防御の強化に充てられるのは約1億5,400万ポンドにすぎません。

「投入される金額を見て、それで十分なのか、意味のある規模なのかと問いたくなります」と、ウィリアムズ氏は疑問を呈します。

第2に、英国は国産のAI企業やクラウド企業の育成で、すでに大きく後れを取っています。Wire社のマネージングディレクターであるアミール・カーン（Amir Khan）氏はDark Readingの取材に対し、英国では新興技術への投資が慢性的に不足しており、過去にも機会を逃してきたと語りました。

「英国には、Googleに売却される［2014年］前はDeepMindがありました」とカーン氏は言います。「DeepMindが今のような影響力を持つと分かっていたら、それでも売却したでしょうか。それとも、さらに事業を拡大したでしょうか。それは誰にも分かりません。ただ、英国で成長した大組織が米国へ流出していった、もう一つの例であることは確かです」

こうした技術の流出が続いてきたことを考えると、英国のテクノロジー産業から生まれた最後の成功例はCambridge Analyticaだったと言えるかもしれない、とカーン氏は指摘します。同社はFacebookをめぐるスキャンダルに巻き込まれた企業です。

AI時代にデジタル主権を実現するには

AI駆動型の脅威には、AIを活用した防御なしでは効果的に対抗できない。専門家たちはこれまで何度もそう主張してきました。しかし、Anthropicの利用禁止措置を受けてテクノロジー主権の確立を目指す英国にとって、これは事態を複雑にします。

まず、前述のような問題もあって、OpenAI、Meta、SpaceXAI（現SpaceX Super Intelligence）、Palantir Technologiesなど、主要なAI企業の多くが米国に拠点を置いています。AIスタートアップは最近では数多くありますが、国防システムに求められる規模を備えていない可能性があります。

さらに、コストの問題もあります。ウィリアムズ氏によると、Quod Orbisの顧客の多くは、クラウド、ソフトウェア、AIなど分野を問わず、単一のベンダーやプロバイダーへの依存を減らそうとしています。「顧客と話していると、集中リスクが懸念材料になっていることは間違いありません」と同氏は述べています。

しかし、たとえば1つのクラウドプロバイダーから4～5社へ移行するのは、特に中堅企業にとっては困難になりうると、同氏は指摘します。大企業ほどの予算はなく、AWS、Microsoft、Google Cloud Platformといったクラウド大手が提供する商用割引に、より大きく依存している可能性が高いためです。「投資を複数のクラウドプロバイダーに分散させれば、コストが増える可能性があります」とウィリアムズ氏は言います。

カーン氏もこれに同意し、最近の例として、政府のワークステーションをWindowsから脱却させ、Linuxへ移行するフランスの事例を挙げます。ただし、Microsoftのエコシステムから離れれば、フランスは異なるベンダーのテクノロジーをいくつも追加しなければなりません。「それでは本末転倒だと私は思います。結局、1つのプロバイダーを外して、6つを呼び込んだだけですから」と同氏は言います。「それでは、求める柔軟性は得られません」

カーン氏は、英国がテクノロジー主権について、ときに誤った目標を設定していると主張します。「あらゆるチップ、あらゆるクラウド、あらゆるアプリケーションを自前で作らなければならないかのように語られています」と同氏は言います。「想像がつくとおり、それは途方もない取り組みであり、問題の核心には触れていません。私にとって重要なのは、自分たちが依存するテクノロジーについて、自ら意思決定できるか、そして自分たちの条件で運用できるか、という問いです」

英国がこうした運用上の権限を保持するには、顧客によるコントロールを製品やサービスに直接組み込んでいるプロバイダーやベンダーを選ぶことだといいます。たとえば、Wireはメッセージングプラットフォームのプライベートクラウドオプションを顧客に提供しており、組織は所在する国内でそれを管理・運用できると、カーン氏は説明します。

英国政府がどのプロバイダーやベンダーを選ぶにしても、投資に先立ち、暗号鍵を誰が保有するのか、誰がサービスを中断できるのか、そのテクノロジーから移行することはどこまで現実的なのか、といった重要な問いを検討すべきだと、同氏は述べています。

当面、英国政府はこうした投資や、現在審議中のサイバーセキュリティ・レジリエンス法案（Cyber Security and Resilience Bill）などの取り組みを通じて、国のサイバー防御の強化に注力していく方針です。ただし、ウィリアムズ氏はそれで十分かどうか確信を持てずにいます。

「正しい方向への一歩であることは間違いありません」と同氏は言います。「しかし、英国への脅威を本当に深刻に受け止めているなら、期待されるだけの規模の投資と言えるでしょうか」