SAFEは何を目指すのか

AIセキュリティでは、ある企業が攻撃、システム障害、あるいは「ヒヤリハット」に遭遇しても、その経験が他社に共有されないまま終わることが多い。結果として、別の組織が同じ脆弱性や運用上の失敗に個別対応することになる。

SAFEの提案は、こうした分断を埋めるため、主に次の取り組みを想定している。

• AIに関するセキュリティインシデントやニアミスを、機密性を保ちながら収集・分析する
• 事案が関係する組織に、必要な情報を速やかに通知する
• セキュリティ対策や管理策に繰り返し現れる失敗を特定する
• 特定の組織や担当者を責めるのではなく、証拠に基づく教訓として整理し、業界全体で活用する

狙いは、個別の失敗を「共有可能な防御知識」に変えることだ。プロンプトインジェクション、データ漏えい、意図しない動作をするエージェントなどを、各社が別々に対処するのではなく、共通の学習材料として扱う仕組みを作ろうとしている。

OSAAは単一製品ではなく、AIエージェント向けの防御層を構築

SAFEだけがOSAAの活動ではない。アライアンスは、AIエージェントの身元、権限、実行環境、評価、ガバナンスなど、異なる層をカバーするオープンで検証可能な技術も集めている。

報告されている主な貢献は次の通りだ。

• Nvidia：オープンウェイトのモデル群に加え、エージェントがアクセスできる対象や実行できる操作を制限するランタイム制御「OpenShell」、エージェントのテスト・監査ツール、データ漏えい・プロンプトインジェクション・脱獄攻撃などを調べるオープンソーススキャナー Garak を提供する。
• Okta：Cross App Accessプロトコルを用いた、エージェントの身元確認とアクセス管理に関するリファレンス実装を提供する。企業アプリケーションとエージェントを、より制御された環境で接続することが目的だ。
• Red Hat：組織のポリシーを実行時の権限に結び付け、ポリシーから制御までを監査可能にするオープンソースのガバナンスプロジェクト asago を進めている。
• Amazon：エージェントの構築・評価向けオープンソースツールキット Strands Agents と、認可言語 Cedar を提供する。
• その他のメンバー：Agent GuardやAgent Watchなど、エージェントの身元管理に焦点を当てたプロジェクトも挙げられている。

これらを組み合わせると、身元確認、権限、エージェントの実行基盤、ランタイムの挙動、評価、データ、ガバナンス、レジリエンスを横断する防御スタックになる。将来的には、企業がAIエージェントの行動範囲を制限・監視し、悪意のある動作や想定外の権限利用に対処するための共通基盤となる可能性がある。

ただし、現段階でそれが実現したと結論づけることはできない。現在確認できるのは、各社が関連技術を持ち寄り、相互運用性のある防御層を目指しているという段階までだ。

参加企業は120超。一方で主要AI企業には不参加も

OSAAは発足後1週間で120超の組織を集めたと報じられている。主な参加企業として、Nvidia、Adobe、BlackRock、Cisco、CrowdStrike、Hugging Face、Intel、Microsoft、Red Hat、Visaなどが挙げられ、Amazonは比較的新しいメンバーと説明されている。

このアライアンスに先立ち、7月24日には、米国の政策担当者に対してオープンウェイトAIへの広範かつ時期尚早な規制を避けるよう求める公開書簡が発表された。書簡には当初、Nvidia、Microsoft、Meta、IBM、Dell、Palantir、Hugging Faceなど25社が名を連ねた。ダウンロード可能なモデルを制限すれば競争を損ない、米国が中国のAIシステムへの利用者流出を招く可能性がある、という主張だった。

Black Hatでの報道時点では、Anthropic、OpenAI、GoogleがOSAAに参加していない主要AI企業として注目された。 ただし、公開書簡の署名状況については報道が一致していない。OpenAIとGoogleが後から署名者に加わったとする報道がある一方、当初の署名グループには含まれていなかったとする報道もある。

利用可能な情報だけでは、これらの企業がOSAAに参加していない理由は分からない。したがって、不参加に特定の意図や動機があると断定することはできない。

なぜ「1週間での進展」が重要なのか

OSAAの中心的な主張は、オープン性とセキュリティは必ずしも対立しないというものだ。モデル、ツール、評価手法、失敗事例を検証可能な形で共有すれば、より多くの防御側が問題を調べ、脆弱性を再現し、修正策を適応できる。SAFEはその考え方を、インシデントの報告と分析という実務に落とし込もうとしている。

一方で、事故情報をそのまま公開すれば、被害を受けた組織や利用者が新たなリスクにさらされる可能性もある。SAFEが掲げる「機密性」と「非難のない分析」は、情報を共有する参加者を守りながら、一般化した教訓を広く活用するための折衷案といえる。

また、モデル開発企業、クラウド・インフラ事業者、ID管理企業、セキュリティ企業、企業ユーザーが同じ場に集まることで、AIエージェントを評価・制御するための共通インターフェースや運用慣行が生まれる可能性もある。これらが成熟すれば、オープンAIを企業がより安全に導入しやすくなるだろう。

その成果は、米国のオープンウェイトAIを中国のAI研究所に対抗する競争力の基盤として位置づける政策論を後押しする可能性がある。ただし、OSAAが米国の競争力を高めたことや、AIのシステムリスクを減らしたことを示す実証結果はまだない。

現時点で確認できる、より限定的で具体的な成果は、120超の組織からなる連合が、オープンAIをめぐる政策提言から、AIセキュリティ事案を協調して報告・分析するための公開草案へと進んだことだ。参加企業が提供するツール群も、将来的に相互運用可能な防御基盤を形成する可能性を示している。

SAFEは何を目指すのか

AIセキュリティでは、ある企業が攻撃、システム障害、あるいは「ヒヤリハット」に遭遇しても、その経験が他社に共有されないまま終わることが多い。結果として、別の組織が同じ脆弱性や運用上の失敗に個別対応することになる。

SAFEの提案は、こうした分断を埋めるため、主に次の取り組みを想定している。

• AIに関するセキュリティインシデントやニアミスを、機密性を保ちながら収集・分析する
• 事案が関係する組織に、必要な情報を速やかに通知する
• セキュリティ対策や管理策に繰り返し現れる失敗を特定する
• 特定の組織や担当者を責めるのではなく、証拠に基づく教訓として整理し、業界全体で活用する

狙いは、個別の失敗を「共有可能な防御知識」に変えることだ。プロンプトインジェクション、データ漏えい、意図しない動作をするエージェントなどを、各社が別々に対処するのではなく、共通の学習材料として扱う仕組みを作ろうとしている。

OSAAは単一製品ではなく、AIエージェント向けの防御層を構築

SAFEだけがOSAAの活動ではない。アライアンスは、AIエージェントの身元、権限、実行環境、評価、ガバナンスなど、異なる層をカバーするオープンで検証可能な技術も集めている。

報告されている主な貢献は次の通りだ。

• Nvidia：オープンウェイトのモデル群に加え、エージェントがアクセスできる対象や実行できる操作を制限するランタイム制御「OpenShell」、エージェントのテスト・監査ツール、データ漏えい・プロンプトインジェクション・脱獄攻撃などを調べるオープンソーススキャナー Garak を提供する。
• Okta：Cross App Accessプロトコルを用いた、エージェントの身元確認とアクセス管理に関するリファレンス実装を提供する。企業アプリケーションとエージェントを、より制御された環境で接続することが目的だ。
• Red Hat：組織のポリシーを実行時の権限に結び付け、ポリシーから制御までを監査可能にするオープンソースのガバナンスプロジェクト asago を進めている。
• Amazon：エージェントの構築・評価向けオープンソースツールキット Strands Agents と、認可言語 Cedar を提供する。
• その他のメンバー：Agent GuardやAgent Watchなど、エージェントの身元管理に焦点を当てたプロジェクトも挙げられている。

これらを組み合わせると、身元確認、権限、エージェントの実行基盤、ランタイムの挙動、評価、データ、ガバナンス、レジリエンスを横断する防御スタックになる。将来的には、企業がAIエージェントの行動範囲を制限・監視し、悪意のある動作や想定外の権限利用に対処するための共通基盤となる可能性がある。

ただし、現段階でそれが実現したと結論づけることはできない。現在確認できるのは、各社が関連技術を持ち寄り、相互運用性のある防御層を目指しているという段階までだ。

参加企業は120超。一方で主要AI企業には不参加も

OSAAは発足後1週間で120超の組織を集めたと報じられている。主な参加企業として、Nvidia、Adobe、BlackRock、Cisco、CrowdStrike、Hugging Face、Intel、Microsoft、Red Hat、Visaなどが挙げられ、Amazonは比較的新しいメンバーと説明されている。

このアライアンスに先立ち、7月24日には、米国の政策担当者に対してオープンウェイトAIへの広範かつ時期尚早な規制を避けるよう求める公開書簡が発表された。書簡には当初、Nvidia、Microsoft、Meta、IBM、Dell、Palantir、Hugging Faceなど25社が名を連ねた。ダウンロード可能なモデルを制限すれば競争を損ない、米国が中国のAIシステムへの利用者流出を招く可能性がある、という主張だった。

Black Hatでの報道時点では、Anthropic、OpenAI、GoogleがOSAAに参加していない主要AI企業として注目された。 ただし、公開書簡の署名状況については報道が一致していない。OpenAIとGoogleが後から署名者に加わったとする報道がある一方、当初の署名グループには含まれていなかったとする報道もある。

利用可能な情報だけでは、これらの企業がOSAAに参加していない理由は分からない。したがって、不参加に特定の意図や動機があると断定することはできない。

なぜ「1週間での進展」が重要なのか

OSAAの中心的な主張は、オープン性とセキュリティは必ずしも対立しないというものだ。モデル、ツール、評価手法、失敗事例を検証可能な形で共有すれば、より多くの防御側が問題を調べ、脆弱性を再現し、修正策を適応できる。SAFEはその考え方を、インシデントの報告と分析という実務に落とし込もうとしている。

一方で、事故情報をそのまま公開すれば、被害を受けた組織や利用者が新たなリスクにさらされる可能性もある。SAFEが掲げる「機密性」と「非難のない分析」は、情報を共有する参加者を守りながら、一般化した教訓を広く活用するための折衷案といえる。

また、モデル開発企業、クラウド・インフラ事業者、ID管理企業、セキュリティ企業、企業ユーザーが同じ場に集まることで、AIエージェントを評価・制御するための共通インターフェースや運用慣行が生まれる可能性もある。これらが成熟すれば、オープンAIを企業がより安全に導入しやすくなるだろう。

その成果は、米国のオープンウェイトAIを中国のAI研究所に対抗する競争力の基盤として位置づける政策論を後押しする可能性がある。ただし、OSAAが米国の競争力を高めたことや、AIのシステムリスクを減らしたことを示す実証結果はまだない。

現時点で確認できる、より限定的で具体的な成果は、120超の組織からなる連合が、オープンAIをめぐる政策提言から、AIセキュリティ事案を協調して報告・分析するための公開草案へと進んだことだ。参加企業が提供するツール群も、将来的に相互運用可能な防御基盤を形成する可能性を示している。