ホワイトハウス、サイバー脆弱性を探し出してパッチを当てるAIクリアリングハウス「Gold Eagle」を立ち上げる

ホワイトハウスは、パッチ適用を迅速化するために、オープンソースのメンテナーと重要インフラストラクチャのオペレーターを連携させる AI クリアリングハウスである「Gold Eagle」を立ち上げました。

ホワイトハウスは、重要なインフラ全体にわたるソフトウェアの脆弱性の検出、優先順位付け、パッチ適用を加速することを目的とした、新しい AI 主導の調整メカニズムである Gold Eagle を開始しました。火曜日に発表され、SecurityWeek、Politico、Nextgov/FCW、CyberScoopの報道全体で詳述されたこの取り組みは、ドナルド・トランプ大統領のAIに重点を置いた大統領令に定められた任務の実行手段であり、この出版物のAIニュース速報チームは連邦政府のAI政策の動きの波の中でその展開を追跡してきた。

Gold Eagle は、既存の連邦当局とリソースを使用して構築された共有レポートおよび修復パイプラインで、オープンソースソフトウェアの保守担当者と重要インフラストラクチャのオペレーターを組み合わせます。このプログラムには、サイバーセキュリティ・インフラセキュリティ庁 (CISA)、財務省、陸軍省が民間部門のパートナーと協力して参加しています。管理者は、調査結果を報告、検証し、適切なメンテナーにルーティングできる単一のチャネルを作成することで、現在、攻撃者がより迅速に行動する一方で、防御者が同じ欠陥を孤立してスキャンすることになっている重複した作業を排除したいと考えています。

6 月の大統領令に基づいて建設

この取り組みは、トランプ大統領が6月2日に署名した「高度な人工知能のイノベーションとセキュリティの推進」という大統領令14409号に基づくものである。この命令では、ソフトウェアの脆弱性を特定して修正するためにAI対応のクリアリングハウスが求められており、ゴールド・イーグルは現在、その指令の実現として提示されている。定められた目標は、政府機関や企業全体で重複する脆弱性スキャンを削減し、政府と業界の両方の防御者に優先順位が付けられた実用的な修復ガイダンスを提供することです。

ピート・ヘグセス陸軍長官はこの発射を軍事的観点から組み立てた。 SecurityWeekによると、ヘグセス氏は「トランプ大統領のリーダーシップの下、我々はサイバー領域に戦時の足場をもたらし、容赦なく脆弱性にパッチを当てている」と語った。「ゴールドイーグルはアメリカのサイバー防衛の先兵としての役割を果たしています。私たちは重要なインフラを守り、祖国を守るためにアメリカのトップイノベーターと協力してフロンティアAIを活用しています。」

すでにレポートを優先順位付けしています

ホワイトハウスによると、ゴールド・イーグルはすでに「あらゆる業界やセクターから」脆弱性報告の受け取りと優先順位付けを開始しており、ワークフローの一環としてスキャン検証を調整しているという。しかし当局は、どの企業が参加しているのか、どのAIモデルが活用されているのか、あるいは脆弱性の優先順位がどのようにランク付けされているのかについては明らかにしていない。この不透明さにより、一部のセキュリティアナリストからは、有効性をどのように測定するのか、また政府運営の情報交換機関が欠陥を発見してから数日以内に武器化する敵対者に十分迅速に対応できるのかといった疑問が生じている。

この発表は、ソフトウェアの膨大な欠陥に対する懸念が高まる中で行われました。 Cybersecurity Dive の報告によると、この取り組みは、AI を活用して発見された脆弱性が急増する中で行われたもので、自動化ツールは新しいコードを生成し、人間のチームが修正するよりも早く新たな弱点を表面化するためです。調整されたクリアリングハウスは、防御側が優先度の低い調査結果の未処理の作業に溺れるのではなく、悪用される可能性が最も高い欠陥に集中するのに役立ちます。

コアとなるフロンティア AI

Gold Eagle のフロンティア AI モデルへの依存は、連邦サイバー政策における最近の広範な変化と結びついています。この発表は、トランプ政権がサイバーセキュリティ上の懸念を理由に課されていたAnthropicの最新AIモデルに対する制限を解除した後に行われた。この禁止が解除された直後、CISA が Anthropic の Mythos を使用して政府ソフトウェアの脆弱性をスキャンおよび監査しているという報告が浮上しました。この組み合わせは現在、Gold Eagle コンセプトの中心となっているようです。

自動化された脆弱性発見のためにフロンティアモデルに頼るという決定は、テクノロジーの成熟と政府の緊急性の両方を反映しています。 AI システムは、数百万行のコードをふるいにかけて、メモリの安全性の欠陥、インジェクションの脆弱性、構成ミスに関連するパターンを手動でレビューするよりもはるかに速く特定できるようになりました。これらの AI フラグ付きの調査結果が確実にパッチ適用されたシステムに変換されるかどうかは、クリアリングハウスが適用する優先順位付けのロジックと、自動化されたレポートに基づいて行動する保守者の意欲に大きく依存します。

規制された業界への影響

金融機関やその他の厳しく規制されている部門にとって、クリアリングハウスは最終的に脆弱性の開示と修復を政府と調整する方法を再構築する可能性がある。 Consumer Finance Monitor は、このプログラムの対象範囲が重要インフラ全体に広く設計されているにもかかわらず、この取り組みが銀行や金融業者に与える影響についてはまだ詳細が明らかにされていないと指摘した。優先順位の高い改善ガイダンスを集中させる政府支援のパイプラインは、重要部門の組織が内部調査結果をトリアージする方法の事実上の標準となり、自主的な協力と規制の期待との間の境界線があいまいになる可能性がある。

オープンソースのメンテナーの多くは無給または不足のリソースで働いており、大きな影響を受ける可能性があります。 Gold Eagle の検証済みレポートを直接メンテナにルーティングするモデルは、ノイズをフィルタリングすることでメンテナの負担を軽減できますが、すでに手薄になっている少数のボランティアのグループにパッチ適用の圧力が集中する可能性もあります。プログラムがこれらのメンテナをどのように補償またはサポートするかは未解決の問題のままです。

Gold Eagle プログラムは、連邦政府のサイバー防御態勢に生成 AI を大規模に組み込むという、これまでで最も具体的な試みの 1 つです。発見からパッチ適用までの時間を短縮するという約束を果たせるかどうかは、AIツールの品質、民間部門の参加の深さ、結果について透明性を保とうとする政府の姿勢に依存するだろう。