CISA、AI脆弱性報告を統合する「Gold Eagle」イニシアチブを発表
2026年7月14日、ホワイトハウスとCISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、政府および民間部門全体でソフトウェア欠陥の追跡を調整するための「CISA Gold Eagle」イニシアチブの詳細を発表しました。2026年6月2日に署名された大統領令14409号に基づいて構築されたこのソフトウェアツールにより、組織は大規模なAI脆弱性の発見を管理できるようになります。システムを分析するために人工知能を活用する企業にとって、本システムは脆弱性管理を効率化し、セキュリティ上の欠陥を検証し、重複する調査コストを排除するための標準化されたクリアリングハウスを提供します。
大統領令14409号によるイニシアチブの設立
2026年6月2日、トランプ大統領はサイバーセキュリティにおけるAI能力の向上を連邦機関に命じる大統領令14409号に署名しました。この大統領令を受けて、CISAと財務省は、組織がソフトウェアの脆弱性を発見、検証、修正できるように支援するGold Eagleを導入しました。
Gold Eagleサイバーセキュリティ・クリアリングハウスの仕組み
Gold Eagleサイバーセキュリティ・クリアリングハウスは、CISA、財務省、国防総省、および民間パートナーの協力によって構築された中央集権型のソフトウェアプラットフォームとして機能します。この中央プラットフォームにより、組織はセキュリティ報告を大規模かつ迅速に送信・検証・追跡できるようになり、当局は重複作業を行うことなく効率的に処理できます。
CISA VINCEプラットフォームとの連携
このソフトウェアは、既存のCISA VINCEプラットフォームと直接連携し、官民ネットワーク全体での調整された脆弱性公表をサポートします。Vulnerability Information and Coordination Environment（VINCE）プラットフォームが従来の脆弱性報告を処理する一方で、Gold Eagleは自動化されたAI脆弱性報告を管理し、セキュリティ専門家との連携を維持します。
Gold Eagleにおける脆弱性報告の方法
Gold Eagleでの脆弱性報告を開始するには、民間パートナーは clearinghouse@cisa.dhs.gov 宛てにメールを送信します。CISAは、参加組織に対して報告の規模に対応できるよう、可能な限り優先順位付けを自動化することを推奨しています。従来の脆弱性は引き続きVINCEに提出し、進行中のサイバーインシデントはCISAへ直接報告、悪質なAI利用は合同サイバー防衛コラボラティブ（JCDC）へ報告する必要があります。詳細は、CISAが公開した446.66 KBのリソース文書「Addressing AI-Enabled Cyber Risk: Establishing the AI Cybersecurity Clearinghouse」に記載されています。
オンラインショップや企業にもたらす変化
ソフトウェアベンダー、オンラインショップ、企業ネットワークにとって、このソフトウェアは大量のAI由来のセキュリティ欠陥報告を管理するという課題を解決します。脆弱性の検証と追跡のための標準化されたフレームワークを提供することで、冗長な調査を防止し、修復を加速させ、セキュリティチームが政府や民間のパートナーと重要なリスクデータを安全に共有できるようになります。
質問と回答
AIサイバーセキュリティに関する大統領令14409号とは何ですか？
大統領令14409号は、AIサイバーセキュリティ防御の向上を目的として、2026年6月2日にトランプ大統領が署名した大統領指示です。これにより、組織がソフトウェア脆弱性を発見・検証・修正できるように、CISAと財務省によるGold Eagleの設立へと直接つながりました。
Gold EagleはCISAのVINCEプラットフォームとどのように統合されますか？
Gold Eagleは、調整された脆弱性公表をサポートするために、CISAの既存のVINCE（Vulnerability Information and Coordination Environment）プラットフォームと並行して動作します。従来の脆弱性報告は引き続きVINCEを通じて送信され、Gold Eagleは大量のAI脆弱性報告を処理します。
組織はGold Eagleに脆弱性報告をどのように提出できますか？
組織は clearinghouse@cisa.dhs.gov にメールを送信してAI関連の報告を提出し、CISAおよび財務省と連携できます。標準的な非AI脆弱性の報告については引き続きVINCEプラットフォームを使用し、緊急のサイバーインシデントは直接CISAへ、悪意のあるAI活動は合同サイバー防衛コラボラティブ（JCDC）へ送信する必要があります。
MOZGIIの視点
私たちならこう作ります
私たちなら、自動脆弱性報告の受入パイプラインを構築する場合、重複排除モデルと標準スキーマパーサーから着手するでしょう。このシステムは、電子メールやパートナーからのフィードを通じて届く報告を取り込み、影響を受けるソフトウェアコンポーネントを抽出し、既存のデータベースにある既知の開示情報と検出結果を照合するでしょう。スコアリングツールは、異なる自動スキャナーから得られた同一のセキュリティ上の欠陥を単一の作業項目にまとめるでしょう。
システムが外部ベンダーや連邦機関に報告をルーティングする前に、人間のセキュリティアナリストがフラグの付いた照合結果をレビューするでしょう。未修正の欠陥の詳細が検証済みのパートナーのみに制限されるよう、厳格なアクセス制御を適用するでしょう。自動セキュリティツールが受入キューを低品質または誤った検出結果で溢れさせた場合、システムは破綻するでしょう。受入フィルターが不適切な報告構造を初期段階で除外できなければ、アナリストはすぐに処理不能に陥るでしょう。
届いた報告が担当の査読者にどれだけ早く届くかを測定する主要な指標として、提出処理時間を追跡するでしょう。次に、人間のレビューの前に、孤立したサンドボックス環境で報告されたセキュリティ上の欠陥をテストする自動検証コネクタを構築するでしょう。
出典
この記事の事実の出典です。