ホワイトハウス、AI駆動の脆弱性調整イニシアチブ「Gold Eagle」を発表-Claude Mythos等を活用し重要インフラの脆弱性対応を一元化|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月21日更新日時: 2026年07月21日

米ホワイトハウスは2026年7月14日、政府機関・重要インフラ事業者・オープンソースソフトウエア開発者を横断してサイバー脆弱性の検知・優先順位付け・パッチ適用を調整する新たな枠組み「Gold Eagle(ゴールド・イーグル)」の始動を発表しました。トランプ大統領が2026年6月2日に署名した大統領令に基づくもので、AnthropicのClaude Mythosをはじめとするフロンティア AIモデルを活用し、政府と民間の脆弱性対応を一元化することを目指しています。当サイトでも継続して報じてきたClaude Mythosを巡る一連の官民の動きの中で、米国政府自身による初の本格的な制度実装にあたります。

1 サマリー
2 何が起きたか-Gold Eagleの概要
3 官僚のコメントと参加機関の役割分担
4 未解決の運用上の課題
5 情報システム部門への示唆
6 出典

サマリー

ホワイトハウスは2026年7月14日、財務省・国土安全保障省(CISA経由)・国防省(Department of War)が民間パートナーと連携する新たな脆弱性調整の枠組み「Gold Eagle」の始動を発表した
Gold Eagleは、トランプ大統領が2026年6月2日に署名した大統領令14409号「先進的人工知能のイノベーションとセキュリティの促進」に基づき設置された。同大統領令は、財務省・NSA・CISA・国家サイバー長官(National Cyber Director)等に対し、意欲のある民間パートナーとともにAIサイバーセキュリティの調整拠点(クリアリングハウス)を30日以内に設置するよう指示しており、Gold Eagleはこの期限に対する政権の回答にあたる
目的は、複数の政府機関・企業にまたがる重複した脆弱性スキャンを削減し、優先順位付けされた実用的な修正情報を政府・民間双方の防御担当者へ届けること。特にオープンソースソフトウエアのセキュリティ強化が重視されている
技術的な中核として、カーネギーメロン大学ソフトウエア工学研究所と連携して開発された「VINTS(Vulnerability Information and Coordination Environment)」が、AIが発見した脆弱性に関する第三者からの報告を受け付ける一元的な窓口として機能しており、すでに複数の業界・分野から脆弱性情報の受け入れと優先順位付けを開始しているとされる
ホワイトハウス高官は、Anthropic Mythosを含む高度な非公開AIモデルが脆弱性発見に活用されると説明している。財務長官スコット・ベッセント氏、国家サイバー長官ショーン・ケアンクロス氏、国防長官ピート・ヘグセス氏、国土安全保障長官マークウェイン・マリン氏がそれぞれ談話を発表しており、ヘグセス長官は「サイバー領域を戦時体制に置き、脆弱性を徹底的に修正する」と述べている
参加は任意であり、企業に脆弱性対応を強制する仕組みではない。どの機関が日常運営を担うか、機微な脆弱性情報をどう保護するか、CISAの既存の脆弱性開示・対応プログラムとどう連携するかについて、本稿執筆時点で具体的な説明はなされていない
専門家(Everest Group)は、Gold Eagleを既存の脆弱性開示・官民連携の仕組みの「重要な進化形」と位置づけ、分散型の脆弱性開示から中央集権的な優先順位付け・調整型の対応への転換だと分析している

項目	内容
発表日	2026年7月14日
根拠となる大統領令	大統領令14409号「先進的人工知能のイノベーションとセキュリティの促進」(2026年6月2日署名)
主要参加機関	財務省、国土安全保障省(CISA)、国防省(Department of War)
技術的中核	VINTS(カーネギーメロン大学ソフトウエア工学研究所と共同開発)
活用されるAIモデル	AnthropicのClaude Mythos等のフロンティアAIモデル
目的	重複スキャンの削減、優先順位付けされた修正情報の提供、OSSセキュリティの強化
参加形態	任意参加、企業への強制力なし
未公表の運用詳細	日常運営を担う機関、機微情報の保護方法、CISA既存プログラムとの関係、参加企業名

何が起きたか-Gold Eagleの概要

ホワイトハウスの発表によれば、Gold Eagleは政府機関・重要インフラ事業者・オープンソースソフトウエアコミュニティを横断して、サイバー脆弱性の報告・検証・是正を調整する中央拠点(クリアリングハウス)として機能します。ホワイトハウス、財務省、国土安全保障省(CISA経由)、国防省が、民間の脆弱性発見者や重要インフラ事業者と緊密に連携し、より迅速な攻撃コードの検知と、優先順位付けされた迅速な対応の構築を目指すとしています。

この取り組みは、トランプ大統領が2026年6月2日に署名した大統領令14409号「先進的人工知能のイノベーションとセキュリティの促進」に基づくものです。同大統領令は、財務省・NSA・CISA・国家サイバー長官等の連邦当局に対し、意欲のある民間パートナーとともにAIサイバーセキュリティの調整拠点を30日以内に設置するよう指示しており、あわせてソフトウエアスキャンの重複排除、脆弱性の発見・検証、修正の優先順位付け、パッチの配布調整を行う仕組みの構築も求めていました。Gold Eagleは、この期限に対する政権の回答にあたり、国家安全保障システム・国防省ネットワーク・民生連邦システムに対するサイバー防御の迅速化もあわせて指示されています。

技術的な中核となっているのが、カーネギーメロン大学ソフトウエア工学研究所と連携して開発された「VINTS(Vulnerability Information and Coordination Environment)」です。これは、AIが発見した脆弱性に関する第三者からの報告を受け付ける一元的な窓口として機能しており、ホワイトハウスによれば、すでに複数の業界・分野から脆弱性情報の受け入れと優先順位付けを開始しているとされています。膨大な量のAIによる脆弱性発見結果を、開示やパッチ適用の前に共同で審査するプロセスが必要になっているという問題意識が、この仕組みの背景にあります。

官僚のコメントと参加機関の役割分担

財務長官スコット・ベッセント氏は、トランプ大統領のリーダーシップのもと財務省が民間セクターと緊密に連携し、金融機関を保護し脆弱性を解消していると述べ、フロンティアAIの能力を活用して脅威に先んじ続けるとコメントしています。国家サイバー長官ショーン・ケアンクロス氏は、トランプ大統領の政策が民間セクターによるAI・サイバーセキュリティ分野でのイノベーションを世界的にリードする力を引き出しているとし、米国のイノベーションを守り重要システムの安全を確保し続けると述べました。国防長官ピート・ヘグセス氏は「サイバー領域を戦時体制に置き、脆弱性を徹底的に修正する」と述べ、Gold Eagleを米国のサイバー防衛の先鋒(vanguard)と位置づけています。国土安全保障長官マークウェイン・マリン氏も、前例のない調整と豊富なツールを通じてトランプ政権がGold Eagleにより国家のサイバー・重要インフラを防衛していると述べました。財務省が日常的な取り組みを主導し、国土安全保障省・CISA・国防省がAI開発企業・ソフトウエア提供者・重要インフラ事業者と連携して、報告された脆弱性の検証と修正の調整を担う体制とされています。

未解決の運用上の課題

海外メディアの報道によれば、今回の発表内容には、いくつかの重要な運用上の詳細が示されていません。具体的には、Gold Eagleの日常運営をどの機関が担うのか、機微な脆弱性情報をどのように保護するのか、そしてCISAが既に運営している脆弱性開示・対応プログラムやCVEシステム、NIST国家脆弱性データベースとの関係がどうなるのかについて、明確な説明はなされていません。参加企業の名称も公表されておらず、どの程度の件数の脆弱性が処理され、実際にパッチ適用に至った件数についても明らかにされていません。もっとも、Anthropicは2026年6月30日付のブログ投稿で、連邦当局に対し自社の脅威インテリジェンス報告書への早期アクセスを提供し、6月の大統領令で設置された省庁横断の脆弱性クリアリングハウスへ参加する意向を表明しており、Gold Eagleの民間パートナーの一角を占める可能性が高いとみられています。

セキュリティ調査会社Everest Groupのアナリスト、Prabhjyot Kaur氏は、Gold Eagleを既存の脆弱性開示・官民連携の仕組みに代わるものではなく「重要な進化形」と位置づけるべきだと分析しています。同氏は、脆弱性の知見を統合し重複スキャンを削減し、重要インフラ事業者やオープンソースコミュニティと連携した是正調整を可能にする、より実務的なクリアリングハウスを構築できる点にGold Eagleの意義があるとしたうえで、より本質的な変化は、分散型の脆弱性開示プロセスから中央集権的な優先順位付け・調整型の対応への転換にあると指摘しています。同氏はまた、CISOはこの取り組みを企業のリスク管理に代わるものではなく、追加的な脆弱性インテリジェンスの情報源として捉えるべきだとしています。

情報システム部門への示唆

当サイトで継続して報じてきた通り、AnthropicのClaude Mythosは2026年4月の発表以降、「危険すぎて一般公開できない」とされるほどの自律的な脆弱性発見・悪用能力を持つとされ、これを防衛目的に限定活用する枠組み「Project Glasswing」が発足し、日本でも金融庁の官民作業部会や国家的AIサイバー防衛パッケージ「Project YATA-Shield」の策定につながる一連の官民の対応を促してきました。今回のGold Eagleは、こうした流れの中で、米国政府自身がAI活用の脆弱性発見を国家レベルで制度的に受け止め、調整する枠組みを立ち上げた事例として位置づけられます。

自組織がオープンソースソフトウエアを利用している、あるいは重要インフラ事業者に該当する場合は、Gold Eagleのような官民連携の枠組みから将来的に提供されうる脆弱性情報を、既存の脆弱性管理プロセスにどう組み込むかを検討しておく価値があります。ただし、Everest Groupのアナリストが指摘する通り、Gold Eagleは自組織の脆弱性管理体制に代わるものではなく、あくまで追加的な情報源として位置づけるべきです。参加が任意であり運用の詳細も定まっていない現段階では、この枠組みが実際にどの程度の速度で脆弱性発見からパッチ配布までを短縮できるかは、今後の運用実績を注視する必要があります。あわせて、AIによる脆弱性発見の急増によりパッチの公開件数自体が今後さらに増加していくとみられることから、自組織のパッチ適用プロセスの優先順位付けとリソース確保を、平時のうちに見直しておくことをお勧めします。