- 英国のサイバー防衛機関NCSCが、研究課題集にAIとサイバーセキュリティの章を新しく設けた。[1][2]
- AIで守る、AIそのものを守る、データで国全体の強さを上げる、の3つのテーマに7つの課題を並べた。[1][2]
- 脆弱性管理や事故対応の前提を、AIを使う攻撃者に合わせて見直す時期に来ていることを示す。
英国の国家サイバーセキュリティセンター（NCSC）は2026年10月20日、研究者や企業に取り組んでほしい問いをまとめた「研究課題集」に、AIとサイバーセキュリティの章を新しく加えた。[1] NCSCは、最先端のAIが、攻撃する側と守る側の両方にできることを書き換えていると述べる。どこに研究と投資を向けるべきかを、国の防衛機関が具体的な問いとして示した。
1. 何が起きたのか
新しい章は、7つの課題を3つのテーマに分けて示す。テーマは、AIで自律的にサイバー防御を行うこと、AIシステムそのものの安全、国全体の回復力をデータで高めることである。[2] 課題には、エージェント型AIの力を最大限に生かすために防御の作業の流れをどう組み直すか、AIエージェントが攻撃対象領域の特定と縮小をどう助けられるか、AIや機械学習のシステムをその一生を通じてどう守るか、といった問いが並ぶ。[2]
NCSCによると、AIや機械学習はこれまでも、データの分析、脅威の特定、定型作業の自動化で守る側を助けてきた。一方、生成AIやエージェント型AIといった新しい世代のAIは、計画を立て、推論し、ツールを使い、自律的に行動する。[1]
すべての課題に共通する軸として、NCSCは人とAIの協働を挙げる。自律が本当に価値を生む場面と、人の判断が欠かせない場面を見極めることが求められるという。NCSCは、学術、産業、政府から、課題への意見や進行中の研究の例を募っている。[1]
NCSCは、AIとサイバーセキュリティの問いを3つのテーマに整理した
研究課題集の新しい章は、7つの課題を3つのテーマに分けて示し、学術・産業・政府に取り組みを呼びかける。
3つのテーマ
出典 英国NCSC（2026-10-20）
2. なぜ今なのか
NCSCは、今日のサイバーセキュリティの実践の多くが、こうしたAIが登場する前に作られたものだと指摘する。脆弱性管理、インシデント対応、リスク管理といった考え方は、AIを使うシステムとAIを使う攻撃者の両方に合わせて変わる必要がある。[1]
AIは、守る側の道具から、自分で動く担い手に変わった
NCSCが示す、これまでのAIと新しい世代のAIの違い。
出典 英国NCSC（2026-10-20）
その危機感は、2026年6月22日にNCSCを含むファイブ・アイズ6機関のトップが出した共同声明にも表れている。声明は、AIが脆弱性の発見から悪用までの時間を縮めていると警告し、攻撃対象を減らす、修正の適用を速める、古いシステムに手を打つ、IDとアクセスの管理を強める、事故に先に備える、の5つの行動を求めた。[3]
8月20日には、エージェント型AIのリスク管理について暫定の実践的な助言を公開した。AIエージェントの環境は、外部との通信を原則すべて拒否し、必要な通信だけを許すこと、AIエージェントの操作を利用者の操作の一種として記録し、監視することを勧めている。[4] 今回の章は、こうした目の前の対策の先にある、まだ答えの出ていない問いを整理したものである。
警告、暫定の助言、研究の問いの順に進んだ
2026年のNCSCとファイブ・アイズの発表を時系列に並べる。
NCSCの発表 ファイブ・アイズの共同声明
2026年6月22日
8月20日
10月20日
これから
出典 英国NCSC（2026-06-22、2026-08-20、2026-10-20）
3. 日本の企業にとって何が変わるか
研究課題集は、守る側がこれから何を問われるかの一覧として読める。自社の対策が、AIの登場前の前提のままになっていないかを確かめる材料になる。
例えば、脆弱性管理の手順が「修正の公開から数週間以内に適用する」といった前提で組まれている場合、AIで悪用までの時間が縮むと、その間に攻撃を受けるおそれが高まる。ファイブ・アイズの声明が求める修正の適用の高速化は、この前提の見直しにあたる。
AIエージェントを業務に入れる企業は、NCSCの暫定の助言にならい、エージェントの操作を人の操作と同じように記録し、監視の対象に入れることから始められる。そのうえで、AIに任せる判断と人が決める判断の境目を、業務ごとに決めておく。人とAIの協働を共通の軸に置くNCSCの考え方は、社内でAIを使う範囲を決めるときにもそのまま使える。
NCSCが課題に挙げた「攻撃対象領域の特定と縮小」は、ファイブ・アイズの声明が求める最初の行動とも重なる。外から届くサーバーやサービス、古いまま残ったシステムを一覧にし、使っていないものを止めるだけでも、AIで速まる攻撃に狙われる入口は減る。研究の答えを待たずに、今日の手順で進められる部分から手を付けたい。
まとめ
政策・制度 / 2026年10月20日
英国NCSC、研究課題集に「AIとサイバーセキュリティ」の章を新設
英国NCSCは、研究者や企業に取り組んでほしい問いをまとめた研究課題集に、AIとサイバーセキュリティの章を新しく加えた。
共通の軸 人とAIの協働
6月 ファイブ・アイズが、AIで悪用までの時間が縮むと警告した
8月 エージェント型AIのリスク管理の暫定助言を出した
課題 脆弱性管理や事故対応の前提を組み直す必要がある
1 脆弱性管理と事故対応の手順を、AIで速まる攻撃に合わせて見直したか
2 AIエージェントの操作を、利用者の操作と同じく記録・監視しているか
3 AIに任せる判断と、人が決める判断の境目を業務ごとに決めているか
出典 英国NCSC（2026-10-20）
- 英国NCSC「Introducing a new AI chapter in the NCSC research problem book」（2026-10-20）、取得2026-10-23
- 英国NCSC「The NCSC research problem book: AI in cyber security」（2026-10-20）、取得2026-10-23
- 英国NCSC「The AI shift in cyber risk: why leaders must act now」（2026-06-22）、取得2026-10-23
- 英国NCSC「Managing the cyber risk of agentic AI」（2026-08-20）、取得2026-10-23
