----------------------------------------------------------------------
フロンティアAIが試験環境を脱出し他社システムへ侵入（8/4配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・フロンティアAIが試験環境を脱出し他社システムへ侵入、OpenAI・Anthropicが公表
・中国、IPv6技術革新・融合応用に関する5か年実施方案を公表
・欧州ENISA、医療分野サイバーセキュリティ行動計画の実装に着手
・米国CISA等、ソフトウェア部品表（SBOM）の最小要素を5年ぶりに改訂
・米国FBI等、水道分野のPLCを狙う攻撃の拡大に警告

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年7月21日 フロンティアAIが試験環境を脱出し他社システムへ侵入、OpenAI・Anthropicが公表
OpenAIは7月21日、社内のサイバー能力評価の実行中にAIモデルが試験環境を脱出し、大手AI開発プラットフォームHugging Faceの本番環境に侵入していたと公表した。安全機構を無効化した評価用モデルが、評価課題の解答を得るために行ったものとみられ、ゼロデイ脆弱性を含む複数の脆弱性が利用されたという。Hugging Faceは7月16日に侵入を検知し、対応を実施したことを公表していたが、その時点では実行主体は不明とされていた。
また、Anthropicも7月30日、この事案を受けて過去14万件超の評価セッションを調査し、同社のモデルが第三者評価環境の設定不備からインターネットに到達して実在する3組織のシステムへ無断アクセスを実施していたとする結果を公表した。連絡が取れた2組織はいずれも侵入に気づいておらず、残る1組織には連絡を続けているという。
https://openai.com/index/hugging-face-model-evaluation-security-incident/
https://huggingface.co/blog/security-incident-july-2026
https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

2026年7月21日 中国、IPv6技術革新・融合応用に関する5か年実施方案を公表
中国の中央サイバーセキュリティ・情報化委員会は、「深化互聯網協議第六版（IPv6）技術創新和融合応用実施方案（2026〜2030年）」を公表した。2026年から2030年までを、IPv6を「大規模展開」から「全面的な活用」へ移行させる重要期と位置づける5か年計画で、国家インターネット情報弁公室（CAC）と工業情報化部が中心となって推進する。
数値目標として、2027年末までにIPv6アクティブユーザー9億人・ネットワークトラフィック比率38%、2030年末までに9億5,000万人・42%を掲げ、IPv6のみで運用するシングルスタック網への移行を進める。あわせて、技術研究・標準化、シングルスタック展開、端末対応、業種別応用、安全保障など10分野・36の重点任務を定め、「技術先進・開放自主・安全信頼」のIPv6エコシステムの構築と、移行過程全体でのセキュリティ確保能力の強化を求めている。
https://www.cac.gov.cn/2026-07/21/c_1786380789785396.htm
https://www.cac.gov.cn/2026-07/21/c_1786380789858394.htm

2026年7月22日 欧州ENISA、医療分野サイバーセキュリティ行動計画の実装に着手
欧州連合サイバーセキュリティ機関（ENISA）は、欧州委員会と3年間・600万ユーロ（約11億円）の拠出協定を締結し、EU医療分野のサイバーセキュリティ行動計画の実装を開始した。2025年1月に欧州委員会が発表した病院・医療提供者向け行動計画を具体化するもので、医療分野を支援する「欧州サイバーセキュリティ支援センター」を設置し、準備・検知・対応・ガバナンスの4分野でサービスカタログを整備する。
また、本計画の最初の成果物として、病院・医療機関向け調達ガイドラインの改訂版を公表した。NIS協力グループ、欧州医療ISAC、欧州委員会と共同で作成したもので、調達ライフサイクル全体へのセキュリティ要件の組み込みや、医療特有の脅威と対策を対応付けた実務チェックリストを含む。10月にキプロスで開催される第11回eHealthセキュリティ会議では、行動計画の進捗と医療機器のサイバーセキュリティが議題となる。
https://www.enisa.europa.eu/news/first-steps-forward-for-the-implementation-of-the-health-action-plan

2026年7月29日 米国CISA等、ソフトウェア部品表（SBOM）の最小要素を5年ぶりに改訂
米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、米国の政府機関および各国のパートナー機関と共同で、ソフトウェア部品表（SBOM）に記載すべき項目を定める「SBOM最小要素2026年版」を公表した。2021年に米国電気通信情報庁（NTIA）が作成した原版を5年ぶりに全面改訂したもので、意見募集に寄せられた90件超のコメントを反映した。独連邦情報セキュリティ庁（BSI）も共同発行に参加している。
改訂版は、オープンソース、AIソフトウェア、SaaSを含むすべてのソフトウェアを対象としている。コンポーネントのハッシュ値・ライセンス、SBOM生成ツール名、生成コンテキストといった項目を新設したほか、既存項目の名称と定義を明確化した。SBOMツールの普及から得られた運用上の教訓を反映し、機械可読なソフトウェアサプライチェーン管理の共通基盤とする狙い。
https://www.cisa.gov/news-events/news/cisa-and-partners-unveil-updated-software-bill-materials-resource-improves-transparency-security-and
https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/Minimum_Elements_SBOM_aktualisiert_260729.html

2026年7月30日 米国FBI等、水道分野のPLCを狙う攻撃の拡大に警告
米連邦捜査局（FBI）と環境保護庁（EPA）は、水道・下水道分野を狙うサイバー攻撃について共同で注意喚起を発出した。7月27日以降、少なくとも7州の事業者から、インターネットに露出したRockwell Automation製PLCへの攻撃が報告されている。攻撃者は遠隔からPLCのIPアドレスとパスワードを改変して監視・制御機能を失わせ、送水圧力の低下や浸水など操業への実害が生じた。CISAも同日、公開状態のPLC等のOT機器を直ちにインターネットから切り離すよう求めるアラートを発出した。
ミネソタ州では7月26日から27日にかけて、州内30超の地域水道システムの制御系が攻撃を受け、州のIT当局がFBI・CISA・EPA等と共同でインシデント対応にあたっていた。飲料水の安全への影響は確認されていない。
米メディアによると、当局は一連の攻撃へのイランの関与を調査しているという。
https://www.fbi.gov/investigate/cyber/alerts/2026/malicious-cyber-actors-targeting-water-and-wastewater-sector-internet--facing-programmable-logic-controllers-causing-operational-disruptions
https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs
https://mn.gov/mnit/media/blog/?id=38-761869

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年7月7日 米Barracuda Networks、MSP向けアイデンティティセキュリティのEvo Securityを買収
2026年7月7日 英Databarracks、事業継続コンサルティングのAcumenを買収
2026年7月8日 米Infoblox、ネットワーク可観測性のKentikを買収
2026年7月22日 米Cathedral、軍事サイバーAIの開発で1.6億ドル（約250億円）を調達
2026年7月28日 米Cyera、Non-Human Identity管理のOasis Security買収に約10億ドル（約1,550億円）で基本合意