赤沢経済産業相は10月23日の閣議後記者会見で、攻撃者の視点に立ってシステムの弱点を探す「ホワイトハッカーチーム」を、11月中に独立行政法人情報処理推進機構（IPA）に立ち上げると表明した。高性能AIを防御側でも使い、模擬的な攻撃でシステムの脆弱性を確かめる試験（ペネトレーションテスト）を徹底して行う。経産省は、チームを通じて産業界のセキュリティー対策を一層強化するとしている。IPAのプレス発表の一覧には、11月1日時点でチーム設置の発表は載っていない。
「防御は構造的に後手に回る」
経産省が公表した会見の概要によると、赤沢氏は冒頭発言で、最近の不正アクセス事案では「攻撃者がAIを用い、幅広く脆弱性を探索している可能性がある」と指摘し、防御側もAIを活用して「先手先手で対処をしていく必要がある」と述べた。
赤沢氏は防御の弱点を3点に整理した。防御は攻撃を想定して組むため後手に回ること、攻撃は穴を一つ見つければ成功するのに防御は全面的に行う必要があること、攻撃は常に想定外を突いてくるという有識者の指摘があること、の3点だ。そのうえで「端的に言えば防御は攻撃に対して構造的な弱みを抱えている」とし、発想を転換して攻撃者の視点に立つことが重要だと説明した。
チームに集めるのは、「攻撃者以上の攻撃を行い、システムの脆弱性を見つけるトップガン人材」だという。赤沢氏は、こうした人材を指す言葉として最近は「オフホワイトハッカー」という言い方もあると紹介し、攻撃のことも念頭に置きながら全体としての防御を成功させる人材だと述べた。人材の信頼性の確保にも配慮しながらチームを立ち上げるよう指示したという。会見の概要には、チームの人数や予算、具体的な発足日は示されていない。
ペネトレーションテストは、赤沢氏の説明では「模擬的な攻撃でシステムの弱点を確かめる試験」で、攻撃者と同じ立場からシステムへの侵入を試み、守りの穴を洗い出す。AIで侵入試験を自動化する道具はすでに攻撃側でも使われており、日本の情報セキュリティー機関も悪用を警告している（JPCERT/CC、AI侵入試験ツールを悪用した攻撃を追加 相次ぐ不正アクセスの注意喚起）。
能動的サイバー防御とは別
赤沢氏は10月27日の会見で、記者からチームの役割を問われた。不正アクセスの被害を受けたGMOが政府に能動的サイバー防御の実施を要請したと報じられていることについて、能動的サイバー防御はサイバー対処能力強化法で内閣官房と警察庁、防衛省が実施することになっていると説明した。
そのうえで、11月中に立ち上げるホワイトハッカーチームは「能動的サイバー防御を行うことを念頭に置いたものではありません」と明言した。赤沢氏はこの会見でも「攻撃者の視点に立たないと恐らく守りの質も上がらないだろう」と述べ、チームは高性能AIを防御側にも使い、模擬的な攻撃でシステムの弱点を確かめるペネトレーションテストを行うためのものだと重ねて説明した。
自民提言と首相指示が後押し
チームの構想は、与党の提言と首相の指示を受けた形になっている。赤沢氏は23日の冒頭発言で、自民党の提言もAIを活用したセキュリティー強化に言及していると述べた。
自民党の国家サイバーセキュリティ戦略本部がまとめた10月20日付の提言は、経産省・IPAへの要望として「ホワイトハッカーをはじめとするセキュリティ人材の育成と、AIを活用したペネトレーションテストの実現」を掲げた。IPAに置かれた「国内最高レベルのホワイトハッカー育成施設」として産業サイバーセキュリティセンター（ICSCoE）を挙げ、重要インフラなど主要業界のトップガン人材を育て、その人材が「高性能AIも活用したペネトレーションテスト」で各業界を守るよう求めている。提言は会見と同じ23日、首相官邸で高市首相に申し入れられた（サイバー対策で自民が首相に提言 マイナカード取得の義務付け検討、官邸に「対処本部」）。
IPAによると、ICSCoEは模擬プラントを使った演習や攻撃防御の実践経験を通じて、社会インフラや産業基盤を守る人材を育てている。中核人材育成プログラムは、企業の経営層と現場をつなぐ人材を対象に、7月から翌年6月までの約1年をかけてOT（制御技術）とIT、マネジメントを学ぶ。
高市首相は10月26日の第1回「サイバーセキュリティに関する関係閣僚会議」で、赤沢氏に対し、IPAの知見と人材を生かして、高性能AIも使いながらトップガン人材が「模擬的な攻撃テスト」を行い、脆弱性を見つけて対策を講じる取り組みを「前倒しで実施」するよう指示した。古川サイバー安全保障担当相には取り組みを横に広げる方策の検討を求め、各府省には人工知能（AI）の安全性を評価する機関AISIの知見も使った「高性能ＡＩを用いた脆弱性チェック」の前倒しを指示した。首相は来週中をめどに政府の「緊急対策パッケージ」を取りまとめるとしている（サイバー対策の関係閣僚会議が初会合 首相、来週中に「緊急対策パッケージ」）。
| 日付 | 出来事 |
|---|---|
| 10月20日 | 自民党の戦略本部が提言をまとめる。AIを使ったペネトレーションテストの実現を要望 |
| 10月21日 | PHPの脆弱性と更新プログラムが公開される |
| 10月23日 | 赤沢経産相がチームの11月中の設置を表明。自民が首相に提言を申し入れ |
| 10月26日 | 関係閣僚会議で首相が模擬攻撃テストの前倒しを指示 |
| 10月27日 | 赤沢経産相が、チームは能動的サイバー防御が目的ではないと説明 |
PHPの欠陥で所管団体のサイトも停止
表明の直前には、ウェブサイトで広く使われるプログラミング言語「PHP」に重大な欠陥が見つかっていた。IPAの注意喚起によると、メモリー不足のエラー処理に起因する脆弱性（CVE-2026-109618）と、リクエスト処理に関連する脆弱性（CVE-2026-109619）の2件で、悪用されると遠隔の第三者が任意のコードを実行できる恐れがある。対象は8.2系から8.5系の修正版より前のバージョンで、調査に関わった米Wiz社によると、PHP 5.4以降はいずれかの影響を受ける。米国の政府機関CISAは26日（現地時間）、2件を悪用が確認された脆弱性の目録に加えた。IPAは27日時点で、国内の攻撃被害の事例は把握していないとしている。
赤沢氏は23日の会見で、国家サイバー統括室（NCO）と連携し、前日の22日に経産省が所管する約1000の業界団体などを通じて注意喚起したと説明した。所管の団体・法人では、日本貿易保険、高圧ガス保安協会、名古屋中小企業投資育成のホームページが「メンテナンス中」の表示になっていることを把握し、詳しい状況を確認しているとした。記者の質問は、米OpenAIやグーグル傘下のセキュリティー企業が最先端のAIを使い、長年見過ごされてきた欠陥を見つけたと指摘していた。赤沢氏はこれに答える中で、ホワイトハッカーチームの設置予定を改めて挙げた。
中小企業の対策については、IPAの「サイバーセキュリティお助け隊サービス」の導入経費を「デジタル化・AI導入補助金」の対象にしていることや、来年3月から「サプライチェーン強化に向けたセキュリティ対策評価制度」の運用を始めることを挙げた（サイバー対策の★取得、審査の手順書をIPAが公開 来年3月に申請受付）。
設置の時期と規模が焦点
チームは11月中に立ち上がる予定だが、何人で、どの業界のどのシステムを対象に模擬攻撃を行うのかは、会見の概要からは分からない。政府の緊急対策パッケージは来週中にまとまる見通しで、首相は各閣僚に財政措置を含めた検討を急ぐよう求めている。チームの規模や予算の裏付けが、パッケージの中でどう示されるかが次の焦点になる。
民間企業の協力も課題になる。ペネトレーションテストは点検を受ける側のシステムに実際に侵入を試みるため、企業の同意と、検査する人材への信頼が前提になる。赤沢氏は23日の会見で「人材の信頼性の確保」に配慮すると述べたが、どのように確保するかの具体策は会見の概要には無い。IPAによる正式な発表で、チームの体制と点検の進め方が明らかになるかが注目される。