「ソブリンAIサーバ」とは何か：国産の“中身”を層で読み解く

「ソブリンクラウド」に続いて、「ソブリンAIサーバ」「国産AIサーバ」という言葉を見かける機会が増えました。2026年に入ってから、国内工場でのAIサーバ製造、国内設計CPUを搭載したサーバの販売発表、通信事業者による国産サーバ構想の報道などが相次いでいます。

ただ、「ソブリン」が何を守る言葉なのかは、使う人によってかなり違います。データの保管場所なのか、適用される法律なのか、運用する人なのか、それとも半導体やファームウェアの出どころなのか。サーバという物理的な箱が話題になったことで、この曖昧さが調達の現場で問題になり始めています。

先に結論を書くと、「ソブリンAIサーバ」に統一された業界標準の定義は見当たりません。国内での組立や部品のトレーサビリティは供給網や改ざんのリスクを下げますが、それだけで主権が完結するわけではなく、半導体の前工程、BMCやファームウェア、暗号鍵、保守経路、ソフトウェアまで層ごとに見る必要があります。本記事では、概念の整理、国内外の動き、制度、そして選定時の確認項目の順に整理します。

本記事は2026年9月15日時点の公開情報に基づきます。製品の出荷時期や半導体の量産時期など、今後の予定・計画を含みます。また、性能値の多くはベンダー自身の公表値であり、独立した第三者検証を経たものではありません。

1. 「ソブリンAIサーバ」とは何か

富士通は2026年2月の発表で、ソブリンAIサーバを「データ流出リスクの最小化や国内法への準拠など、ITインフラのソブリン性を重視した用途に対応するサーバ」と説明しています。ただしこれは一社の用法で、業界で合意された規格や認証があるわけではありません。米シンクタンクのCNASも、ソブリンAIには合意された定義がないとして独自の定義を置いて分析しています。

ソブリンAIをどう分解するかにも統一見解はありません。Singh と Sengupta の論文（arXiv:2511.15734）は、Data、Compute Infrastructure、Model Autonomy、Normative Alignment の4本柱を提示しています。一方でベンダー各社は「データ・インフラ・モデル・運用」といった別の切り口を使っており、言葉は似ていても中身は揃っていません。本記事では便宜上、データ・モデル・インフラ・運用の4領域で考え、サーバはこのうち「インフラ」の中核要素として扱います。

周辺用語との関係は次のように整理できます。

用語	主に問うこと	注意点
データレジデンシー	データが物理的にどこに保管されているか	国内保管でも、外国法の適用や外部からのアクセスを排除できるとは限らない
データ主権	どの法域の法がデータを支配し、誰がアクセスを決められるか	保管場所より、事業者の管轄と暗号鍵の支配が効いてくる
ソブリンクラウド	データ主権や運用主権を満たすように設計されたクラウド	「国内事業者運営」「海外クラウドの国内運用」など実装が多様
ソブリンAI	AIの計算資源・モデル・データ・運用を自国（自組織）の統制下に置くこと	分解の仕方は論文・ベンダーごとに異なる
ソブリンAIサーバ	ハードウェアの設計・製造・供給網・ファームウェアまで説明可能か	ベンダー・市場用語であり、どの工程まで国内かは製品ごとに確認が必要

2. なぜ今、サーバまで問われるのか

背景のひとつは、外国法によるデータアクセスへの懸念です。よく引き合いに出される米国のCLOUD Actは、データの保存場所ではなく、米国の管轄下にある事業者がそのデータを「占有・保管・管理（possession, custody, or control）」しているかどうかを軸に、海外に保存されたデータにも開示命令が及び得る仕組みです。したがって「国内リージョンだから安全」とも「米国法人だから自動的に適用される」とも単純には言えません。

同じ理屈で、国産サーバをオンプレミスに置けばリスクが消えるわけでもありません。米国系SaaSとの連携、遠隔保守、テレメトリ送信、鍵管理、バックアップ先などの運用設計次第で、外部の管轄に触れる経路は残ります。サーバの国産化は、この問題の一部を担うにすぎません。

もうひとつの背景は供給網リスクです。地政学的な緊張が続くなかで、部品の出どころや製造工程での改ざん、ファームウェアへの不正コード混入といった懸念が、重要インフラや防衛分野の調達で重視されるようになりました。日本では経済安全保障推進法により、2022年12月にクラウドプログラムを含む11物資が「特定重要物資」に指定され（その後の政令改正で対象は追加されています）、国内の計算資源整備が政策的に後押しされています。

3. サーバの「主権」を層に分解する

「国産サーバ」と言っても、どの層が国内にあるかは製品によって大きく異なります。国内の基板実装・装置組立とトレーサビリティは、供給網の透明性や真正性の面で意味のある前進です。ただし、CPUやGPUの前工程、NIC、SSD、BMC、UEFI、ファームウェア更新の配信経路、暗号鍵、保守経路のどこかに外国依存があれば、インフラ主権は部分的にしか成立しません。「国内製造だからバックドアが存在しない」という保証にもなりません。評価の軸は、たとえば次のように分けられます。

評価軸	確認項目	国内組立だけで改善するか
設計主権	CPU・基板・BMC・BIOS/UEFI・ファームウェアの設計主体	改善しない。設計元を個別に確認する必要がある
製造主権	半導体前工程、先端パッケージ、基板実装、装置組立、鍵注入、試験の所在	後工程の一部は改善。半導体前工程は海外ファウンドリ依存が一般的
供給網透明性	HBOM、原産国、部品ロット、ファウンドリ、EMS、二次調達先、変更通知	ロット追跡や製造履歴の記録は改善しやすい
運用主権	国内要員、特権アクセス、遠隔保守、テレメトリ、更新の承認、緊急時の自律運用	改善しない。保守契約と運用設計で決まる
データ・法的主権	データ所在地、暗号鍵の支配、外国政府アクセス、契約上の管轄、退出可能性	オンプレミス配置で一部は改善するが、連携先サービス次第
ソフトウェア主権	OS、ハイパーバイザ、コンテナ、AIランタイム、モデル、MLOpsの可搬性	改善しない。GPU向けソフトウェアスタックへの依存も残る
性能・TCO	実ワークロードでの性能、精度、レイテンシ、電力、冷却、保守費、移行費	主権とは別軸。トレードオフとして評価する

この表から分かるように、「どこまで国産ならソブリンと言えるか」は要件次第です。国内での基板実装で足りる調達もあれば、BMCやファームウェアのソース監査、非米国製のCPU/GPU、国内ファウンドリまで求める調達もあり得ます。後者を満たす量産製品は、現時点では国内外ともにほぼ存在しません。

4. 国内の動き

国内では、ハードウェアの国内製造に踏み込む動きと、クラウドや運用の側で主権を確保する動きが並行しています。

事業者	アプローチ	主な取り組み（2026年9月時点）
富士通	国内製造	2026年2月、石川県の笠島工場で装置組立（3月〜）と基板組立（6月〜）を行い主要部品のトレーサビリティを確保すると発表。Supermicroと協業。9月には国内設計CPU「FUJITSU-MONAKA」と搭載サーバの販売を発表
ソフトバンク	国内製造（構想）	2026年5月の日経報道によれば、NVIDIA・Foxconnと国産AIサーバについて協議。外部調達部品の国内組立から始め、将来は全工程を担う構想。別途、GB200 NVL72搭載の計算基盤（Blackwell GPU 1,224基、将来4,000基超）を2025年12月22日に稼働
さくらインターネット	国内クラウド	2026年3月27日、「さくらのクラウド」がガバメントクラウドの技術要件305項目を満たし正式採択。AWS、Azure、OCI、Google Cloudと並ぶ5サービス目で、国内サービスでは唯一
NEC	クラウド・運用	求める主権の度合いに応じたソブリンクラウドのメニューを提供。自社LLM「cotomi v3」はガバメントAI「源内」の試用モデルに選定
日立製作所	クラウド・運用	自社管理の国内データセンターで運用し、他国の法令の影響を排除することを掲げたクラウドを提供。Google Cloudとの提携はフィジカルAIや生成AIの実装が中心
KDDI	海外技術の国内運用	大阪堺データセンターで「Gemini on Google Distributed Cloud」をソブリン用途向けにトライアル提供

ハードウェア面で具体的な製品が出ている例として、FUJITSU-MONAKAの中身を少し見ておきます。演算コアに2nm、キャッシュとI/Oに5nmのプロセスを使い分けた3D積層構造で、1チップ144コアのArmv9-A CPUです。販売開始は2026年11月ですが、CPUの提供は2026年度第4四半期（2027年1〜3月）、搭載サーバは2026年度下期から金融・通信・製造の一部顧客に先行提供し、日本・欧州向けの出荷は2027年4月以降の予定です。「販売開始」と「出荷」の時期がずれている点には注意が必要です。

富士通は「AI推論で他社CPU比2倍のスループット、同等処理に必要なサーバ台数と消費電力を半減」としていますが、これは自社公表値で、比較対象や測定条件は公開文面では十分に明らかではありません。また、CPUは国内で設計・開発され、サーバは国内工場で製造されるものの、先端ダイの製造は報道によればTSMCで行われます。第3節の表でいえば、設計主権と製造（後工程）主権を強化した製品であり、前工程まで国内で完結しているわけではありません。

5. 海外の動き

NVIDIAは「ソブリンAI」を事業戦略の柱に据えており、2025年のGTC Parisでは欧州に20カ所超のAIファクトリーを構築し、うち5カ所をギガファクトリー規模とする計画が報じられました。日本でも理化学研究所が、2,000基を超えるBlackwell GPUを搭載したシステムの導入を進めています。ソブリンAIの計算資源の多くがNVIDIA製GPUで構成されているという点は、各国に共通する構図です。

サーバベンダーでは、HPEがNVIDIAと共同で「HPE AI Factory sovereign」を展開し、エアギャップでの管理や国ごとの規制対応を想定した構成を打ち出しています。ただし、米国企業が提供する「ソブリン」製品は、データや運用を顧客側に閉じても、ベンダー自体は米国の管轄下にあるという点を切り分けて評価する必要があります。

欧州では、仏Eviden（Atosグループ）が域内の主権を前面に出しています。2025年11月に発表されたフランス初のエクサスケール機「Alice Recoque」は、AMDのEPYC「Venice」とInstinct MI430Xに加え、欧州製CPUであるSiPearlの「Rhea2」を採用する構成です。ここでも、欧州製CPUの採用と米国製アクセラレータの併用という「部分的な主権」の組み合わせになっている点は、日本の状況と重なります。

6. 日本の制度面

経済安全保障推進法に基づくクラウドプログラムの供給確保計画では、さくらインターネットが2024年2月に基盤的なクラウド技術の開発計画（最大助成額約6億円）で、同年4月には生成AI向け計算資源の整備計画（最大助成額約501億円）で認定を受けるなど、複数の事業者が支援対象になっています。両者は別の計画なので、金額を混同しないよう注意が必要です。

行政側の需要としては、デジタル庁のガバメントAI「源内」があります。国産LLMの公募には15件の応募があり、7件が試用モデルとして選定されました。全府省庁の職員約18万人を対象とした利用環境で評価が進められており、2027年度以降の有償調達は、改めて実施する評価の結果などを踏まえて判断される見込みです。国産モデルの試用は国産クラウド上で行われていますが、これは源内全体の実行基盤がすべて国産という意味ではありません。

半導体の前工程については、Rapidusが北海道千歳市で2nmロジック半導体の量産を2027年度に開始する計画を掲げています。国内で先端ロジックを製造できるようになれば、第3節の「製造主権」の穴を埋める選択肢になり得ますが、現時点では計画段階であり、量産の達成や顧客の獲得は確定していません。

7. 課題と市場の見方

最大の課題は、AI計算の中心であるGPUの海外依存です。国内で組み立てたサーバでも、搭載するアクセラレータとそのソフトウェアスタックは米国製が主流で、輸出規制の変更や供給制約の影響を直接受けます。加えて、国内製造やトレーサビリティの確保はコストに跳ね返るため、グローバル大手の量産規模と価格面でどう折り合うかも問われます。

市場規模の推計は、調査会社によって対象範囲が大きく異なります。MarketsandMarketsはソブリンAI市場を2025年の400億ドルから2032年に1,480億ドル（年平均成長率20.6%）と見積もり、market.usは2025年の411億ドルから2035年に2,587億ドルと予測しています。いずれもハードウェア、クラウド、モデル、サービスのどこまでを含むかで数字が変わるため、「ソブリンサーバ市場」の規模として読み替えることはできません。

8. 選定時に確認したいこと

「ソブリン」「国産」というラベルだけで判断せず、要件を具体的な確認項目に落とし込むことが重要です。ハードウェアの真正性については、たとえば次のような項目を個別に求める方が実効性があります。

• SBOM/HBOM（ソフトウェア・ハードウェアの部品表）と部品ロットの追跡
• セキュアブート、署名付きファームウェア、製造時の鍵注入の手順と所在
• BMCのソースコードの扱いと脆弱性管理の体制
• 改ざん検知の仕組み、サプライヤ監査の範囲
• 故障交換（RMA）時のデータ消去とその証跡

運用面では、遠隔保守の有無と経路、テレメトリの送信先、ファームウェア更新の承認フロー、ネットワーク断時に自律運用できるかを確認します。性能面では、ベンダー公表値をそのまま比較に使わず、比較対象、モデル、精度、バッチサイズ、ソフトウェア条件を含むベンチマーク条件の提示を求めるのが無難です。

9. まとめ

「ソブリンAIサーバ」は、データ・法域・運用・供給網に対する自律性と説明可能性を高めることを狙ったAIサーバを指す市場用語であり、統一された標準定義はまだありません。国内での組立とトレーサビリティは主権を構成する重要な要素ですが、半導体の前工程、ファームウェア、暗号鍵、保守経路、ソフトウェアまで含めて初めて全体像が見えます。

国内ではハードウェアの国内製造に踏み込む事業者と、クラウドや運用で主権を確保する事業者がそれぞれの道を進んでおり、海外でも欧州製CPUと米国製GPUの組み合わせのような「部分的な主権」が現実解になっています。利用者側に求められるのは、自組織にとってどの層の主権が必要かを定義し、ラベルではなく確認項目で製品を比べることです。

耐量子暗号2026 ― 鍵交換は勝負あり、署名はこれから

「量子コンピュータが実用化されたら、今の暗号は全部破られる」——この言い方は、半分正しくて半分間違っています。正しいのは、RSAや楕円曲線暗号といった公開鍵暗号が原理的に危険にさらされるという点。間違っているのは「全部」という部分です。そして、この区別を曖昧にしたまま移行計画を立てると、優先順位を完全に取り違えます。

2024年8月にNISTが最初の3つの耐量子計算機暗号（PQC）標準を確定してから2年が経ちました。この2年で状況は大きく動いています。米国は2026年6月の大統領令で連邦システムの移行期限を2030年／2031年へ前倒しし、日本政府も2025年11月に「原則2035年まで」という方針を打ち出しました。CRYPTRECは2026年3月、電子政府推奨暗号リストに初めてPQCの表を新設しています。もはや「様子見」のフェーズではありません。

結論を先に書きます。いま着手すべきは、暗号インベントリの作成と、TLSの鍵交換のハイブリッド化です。署名と公開PKIは技術的にも制度的にもまだ動いている最中で、こちらを先に急ぐと手戻りします。以下、なぜそうなるのかを標準の現在地から順に見ていきます。

本記事の記述は2026年9月14日時点で確認できた内容です。PQCは標準化と制度整備が同時進行している分野で、特にFIPS 206（FN-DSA）の公開時期、HQCのドラフト、CA/Browser ForumのML-DSA許可、日本政府の工程表は今後数か月で動く可能性があります。時期に関する見通しには筆者や業界の推定が含まれ、確定した予定ではありません。

1. 量子コンピュータは何を壊し、何を壊さないのか

最初に誤解を潰しておきます。量子アルゴリズムが暗号に与える影響は、対象によって質が全く違います。

Shorのアルゴリズムは、素因数分解と離散対数を多項式時間で解きます。これはRSA、楕円曲線暗号、Diffie-Hellmanという、現在の公開鍵暗号のほぼ全てを直撃します。鍵長を伸ばして逃げることができない種類の破壊です。

一方Groverのアルゴリズムは、総当たり探索を平方根分だけ高速化するにとどまります。AESやハッシュ関数に対しては「鍵長や出力長を十分に取れば当面問題ない」という結論になります。CRYPTRECが2026年3月に新設したPQCリストにAES-192/256とSHA-384/512、SHA3-384/512が載っているのは、まさにこの理屈です。既存の共通鍵暗号・ハッシュ関数がそのままPQCリストに入っている。つまり「全部作り直し」ではありません。

もう一つ整理しておきたいのがPQCと量子暗号（QKD）の違いです。この二つは頻繁に混同されますが、別物です。

• PQC（耐量子計算機暗号）：計算量的安全性に基づく。古典コンピュータ上で動く普通のアルゴリズムで、既存のTLSやPKIにソフトウェア更新で組み込める。NISTが標準化しているのはこちら。
• QKD（量子鍵配送）：情報理論的安全性に基づく。専用の光ファイバや装置が必要で、距離と鍵生成レートに制約がある。汎用インターネットの代替にはならない。

日本政府の中間とりまとめも、PQCへの完全移行ではなく既存暗号との併用やQKDの導入を「視野に入れることも考えられる」という書き方をしており、両者は補完関係として扱われています。

では、量子コンピュータの実現時期はどうか。ここは正直に書きます。予測できません。内閣官房の中間とりまとめも「量子計算機により公開鍵暗号の安全性が低下・危殆化する時期を現時点で予測することは困難である」と明記しています。それでも移行を急ぐ理由がHNDL（Harvest Now, Decrypt Later）です。今の通信を記録して保管しておき、将来の量子コンピュータで復号する。保護期間が10年を超えるデータは、量子コンピュータが登場する前から既にリスクにさらされている、という理屈です。実現時期の不確実性は、移行を遅らせる理由にはなりません。

2. NIST標準の現在地——「出揃った」のは第1陣だけ

「NISTのPQC標準はもう確定した」という言い方をよく見ますが、正確には確定したのは3本で、残り2本はまだ途中です。ここを混同すると、まだ最終仕様が固まっていないアルゴリズムを本番実装してしまう事故につながります。

標準	名称（旧名）	用途	数学的基盤	2026年9月時点の状況
FIPS 203	ML-KEM（CRYSTALS-Kyber）	鍵カプセル化	格子（Module-LWE）	2024年8月13日確定。実装・展開が最も進んでいる
FIPS 204	ML-DSA（CRYSTALS-Dilithium）	デジタル署名	格子（Module-LWE/SIS）	2024年8月13日確定。汎用署名の第一候補
FIPS 205	SLH-DSA（SPHINCS+）	デジタル署名	ハッシュ関数のみ	2024年8月13日確定。格子が破られた場合の保険
FIPS 206	FN-DSA（FALCON）	デジタル署名	NTRU格子	2025年8月28日にNISTがドラフト標準を承認手続きに提出。最終版は未公開。業界の見通しは2026年末〜2027年初だが、NISTの手続き次第
（未採番）	HQC	鍵カプセル化	符号ベース	2025年3月11日に第2のKEMとして選定。ドラフトは2026年頃、最終化は2027年頃の予定

FN-DSAがなぜ遅れているのかには技術的な理由があります。FALCONの署名生成は浮動小数点演算を使ったガウスサンプリングに依存しており、これを定数時間で安全に実装するのが難しい。サイドチャネル攻撃の温床になりかねないため、NISTは慎重に仕様を詰めています。NISTのpqc-forumでは、ドラフトがNISTと商務省の承認プロセスに入ったまま公開日が読めない状態が続いていると説明されていました。DigiCertのように「ML-DSA／SLH-DSAのドラフト版と最終版で名称やOIDの混乱が起きた経験から、FN-DSAは最終化まで本番環境に実装しない」と公言しているベンダーもあります。妥当な判断だと思います。

HQCの位置づけも誤解されがちです。これはML-KEMの置き換えではなく、数学的基盤の分散が目的です。ML-KEM・ML-DSA・FN-DSAはいずれも格子ベースで、格子問題に大きな突破口が見つかると同時に危うくなる。そこで全く異なる符号ベースの方式をバックアップとして用意しておく、という設計思想です。

この「基盤を分散させる」発想が単なる杞憂でないことは、2022年のSIKE崩壊が示しています。NISTの第4ラウンド候補だった同種写像ベースのSIKEは、古典コンピュータで多項式時間に解かれました。新しい数学的仮定への信頼は、ある日突然崩れることがある。だからこそ、特定アルゴリズムを固定実装せず差し替え可能にしておく「クリプト・アジリティ」が本質的に重要なのです。

3. サイズという現実的な制約

PQC移行で実装者が最初にぶつかるのはサイズです。以下は各方式の生のバイト数（raw値）で、X.509のDER符号化や証明書に格納した場合の実サイズとは異なる点に注意してください。

方式	公開鍵	暗号文／署名	備考
X25519	32 B	32 B	比較の基準となる従来方式
ECDSA P-256	65 B（非圧縮）／33 B（圧縮）	署名 約64〜72 B	署名長はDER符号化で変動。Ed25519の公開鍵は32 B
RSA-3072	法 n が384 B	署名 384 B	SubjectPublicKeyInfo全体はこれより大きい
ML-KEM-768	1,184 B	暗号文 1,088 B	実運用の事実上の標準パラメータ
ML-KEM-1024	1,568 B	暗号文 1,568 B	NSA CNSA 2.0が指定するパラメータ
ML-DSA-44	1,312 B	署名 2,420 B	ECDSA署名の約35倍。証明書チェーンへの影響が大きい
ML-DSA-87	2,592 B	署名 4,627 B	CNSA 2.0指定
FN-DSA（Falcon-512）	897 B	署名 約0.7 KB（可変長）	PQC署名で最小級。圧縮署名は可変長で、正確な最大長はFIPS 206最終仕様による
SLH-DSA	32〜64 B	署名 約7.9 KB〜約49 KB	パラメータにより幅が大きい。公開鍵は極小だが署名が巨大

「Category 3＝192ビット安全」ではありません。NISTのセキュリティカテゴリは、攻撃に必要な計算資源を既知の対称暗号と比較するための区分です。CRYPTRECの定義でも、Category 3は「192ビット鍵を持つブロック暗号に対する鍵探索と同程度以上の計算資源が攻撃に必要」という意味であり、あらゆる攻撃モデルで厳密に192ビットの安全性を持つという意味ではありません。

なお、ML-KEMは「重いから遅い」わけではありません。鍵生成・カプセル化・復号はいずれもマイクロ秒級で、演算そのものはむしろ高速です。問題になるのは計算量ではなくネットワークに乗るバイト数です。TLSのClientHelloが1パケットに収まらなくなる、ロードバランサやWAFが大きなハンドシェイクを想定していない、といったところで詰まります。

4. 主戦場はTLSの鍵交換——ここは既に勝負がついている

PQC移行の中で、鍵交換だけは別格に進んでいます。理由は単純で、HNDL対策として最も効果が高く、しかも証明書やPKIといった制度的な手続きを経由せずにクライアントとサーバの実装更新だけで完結するからです。

事実上の標準になったのがX25519MLKEM768です。従来のX25519とML-KEM-768を連結したハイブリッド方式で、両方の共有秘密をKDFに通して鍵を導出します。2026年8月にRFC 10024（Proposed Standard、全9ページ）として標準化されました。同RFCはX25519MLKEM768のほか、SecP256r1MLKEM768とSecP384r1MLKEM1024を定義しています。後者2つはNIST曲線を要求するコンプライアンス環境向けで、IETFとしての推奨（Recommended Y）が付いているのはX25519MLKEM768のみです。

RFC番号を混同しやすいので整理しておきます。RFC 9794はPQ/Tハイブリッドの用語を定義したInformational RFC、RFC 9954はTLSにおけるハイブリッド鍵交換の一般的な構成を定義した文書、RFC 10024がX25519MLKEM768などの具体的な方式を定義したものです。実装で参照すべきはRFC 10024です。

ハイブリッドの安全性については、雑に「両方破らないと解読できない」と書かれることが多いのですが、もう少し正確には「適切なcombinerとダウングレード防止機構を備えた設計であれば、構成方式の少なくとも一方が安全である限り機密性が保たれることを目指す」というものです。設計次第では成り立たないので、自前で組み合わせを作るのは避けるべきです。

RFC 10024のClientHello側の鍵共有サイズはX25519MLKEM768で1,216バイト（ML-KEM部1,184＋X25519部32）、サーバ側が1,120バイトです。X25519単体の32バイトと比べれば劇的に大きいものの、実運用に耐える範囲に収まっています。

普及の速度は、正直なところ予想を超えています。Cloudflareの公開データによると、同社を経由する人間由来のHTTPSトラフィックのうちPQC鍵交換で保護された割合は、2025年初頭の29%から2025年12月初頭に52%へ倍増し、2026年4月時点で約67%に達しています。Chrome 131とFirefox 132が既定でX25519MLKEM768を提示するようになったことが効いています。

ただし、これは「クライアントからCDNまで」の話です。CloudflareがスキャンしたオリジンサーバのPQC対応率は約9〜10%にとどまります（2025年初頭は1%未満だったので10倍以上の伸びではあります）。エッジまではPQCで守られていても、そこから先の自社サーバまでの区間は従来暗号のまま、という構図が当たり前に存在している。自社のサーバ側TLS設定を確認するのが、実は一番手近な宿題です。

5. 署名と公開PKIが本当の難所

鍵交換が順調な一方、署名側は明確に遅れています。2026年9月時点で、ブラウザの信頼ストアに入った公開PKIのML-DSA証明書はまだ存在しません。

CA/Browser ForumのServer Certificate Working Groupでは、公開信頼TLSサーバ証明書でML-DSAを許可するballotが2026年5月時点でまだ議論中でした。証明書透明性（CT）ログへの影響や、そもそも従来型X.509証明書をPQC移行の器とすべきかという根本論点で意見が割れています。Microsoftは自社のML-DSA X.509証明書パイロットを進める意向を示しつつ、こうした証明書をCTログから除外することを提案していました。

一方で、動いている領域もあります。S/MIMEについては、Ballot SMC013により2025年8月22日にS/MIME Baseline Requirements v1.0.11が採択され、ML-DSAとML-KEMを使うPQC証明書が既に許容されています（ハイブリッドではない単一鍵方式）。また、プライベートPKI向けのML-DSAトラストアンカー対応はChrome 150で提供される予定とされています。

この状況から導かれる実務的な結論ははっきりしています。

• 内部PKI・社内mTLSは今すぐML-DSAを試せる。ブラウザの信頼ストアに依存しないため、制度待ちにならない。
• コード署名・ファームウェア署名は優先度が高い。2026年に署名したバイナリが10年以上動き続ける世界では、検証側の入れ替えに時間がかかることを見越して早く着手する必要がある。
• 公開WebのTLSリーフ証明書は、CA/Browser Forumのベースライン改定とブラウザのルートプログラム対応を待つしかない。ここを前倒ししようとしても空回りする。

なお署名PQCの実装例としては、Cloudflareが1.1.1.1のDNSSEC検証にML-DSA-44を導入しています。2,420バイトの署名をDNSでどう扱うかという、まさにサイズ問題と正面から向き合った事例です。

6. 各国ロードマップ——「2035年」は同じ言葉で中身が違う

主要国の期限は「2030年代前半に高優先度システム、2035年前後に全体移行」という点で似た形をしていますが、対象範囲も拘束力も、そもそも「非推奨」と「禁止」の定義も国ごとに違います。横並びの表で見ると同じに見えてしまうので、性格の違いを併記します。

主体	文書	主なマイルストーン	性格
NIST（米）	IR 8547（2024年11月、初期公開ドラフト）	112ビット安全性（RSA-2048、P-256など）は2030年以降「非推奨」、2035年以降「使用不可」。128ビット以上も2035年以降は使用不可	ドラフト。それ自体に法的拘束力はないが、後続の大統領令・OMB通達が参照
米大統領令	EO 14412（2026年6月22日署名）	HVA（高価値資産）・高影響システムについて、鍵確立を2030年12月31日、署名を2031年12月31日までにPQC化。連邦調達業者も2030年末までにPQC FIPS準拠。NISTは自組織のパイロットを2027年12月31日までに完了	連邦民生機関への指令。国家安全保障システム（NSS）は対象外
米OMB	M-26-15（2026年6月24日）	各機関はPQC移行責任者を2026年7月下旬までに指名し、移行計画を2026年10月22日までに提出。以降、棚卸し・計画（〜2027年）、試行（〜2028年）、鍵確立（〜2030年）、署名（2031年）、残存システム（〜2035年）の段階。TLS 1.3以降の対応を2030年1月2日までに要求	EO 14412の実装通達。M-23-02を実質的に置き換え
NSA（米）	CNSA 2.0	ML-KEM-1024／ML-DSA-87／AES-256／SHA-384・512を指定。ソフトウェア署名やネットワーク機器から段階的に排他利用へ移し、2035年にNSS全体の移行完了	NSSを対象とするNSAの指針。カテゴリ別に期限が異なる
EU	協調ロードマップ（2025年6月、NIS協力グループ）	2026年に準備開始、2030年に高リスク用途、2035年に可能な限り全体移行	リスクベースの勧告。加盟国ごとに実装が分かれる
英NCSC	PQC移行タイムライン（2025年3月）	2028年までに棚卸しと計画、2031年までに高優先度システム、2035年までに全体移行	ガイダンス。ML-KEM-768、ML-DSA-65を基本線とする
日本	中間とりまとめ（2025年11月20日、内閣官房国家サイバー統括室）	政府機関等について原則2035年までの移行を目指す。2026年度に工程表を策定	方針表明。現時点で禁止規定や中間期限の設定はない

この表で注目すべきは、米国だけが明確に前倒ししている点です。EO 14412以前の米国の姿勢は「2035年までにできる限り量子リスクを緩和する」という目標ベースでしたが、2026年6月の一連の文書で高価値資産については2030年／2031年という期限に置き換わりました。連邦調達業者にも2030年末の要件がかかるため、米国政府に納入するサプライチェーンには実質的な強制力が及びます。

また、EO 14412はNIST・CISAに対し、2027年3月までに連邦CBOM（Cryptography Bill of Materials、暗号部品表）の最小要素を定めるよう指示しています。SBOMの暗号版です。今後、政府向けベンダーには「自社製品がどの暗号アルゴリズムをどこで使っているか」を標準形式で提出することが求められるようになる可能性が高い。日本企業にとっても他人事ではありません。

7. 日本の現在地——リストは動いた、期限はこれから

日本の動きで最も実務に効くのは、2026年3月30日のCRYPTREC暗号リスト改定です。「電子政府における調達のために参照すべき暗号のリスト」（CRYPTREC LS-0001-2022R2）の電子政府推奨暗号リストに「表2 耐量子計算機暗号（PQC）リスト」が新設されました。内容は以下の通りです。

技術分類	名称	パラメータセット
公開鍵暗号 － 署名	－	該当なし
公開鍵暗号 － 鍵共有	ML-KEM	ML-KEM-768（Category 3）、ML-KEM-1024（Category 5）
共通鍵暗号	AES	AES-192（Category 3）、AES-256（Category 5）
ハッシュ関数	SHA2 / SHA3	SHA-384（Category 4）、SHA-512、SHA3-384（Category 4）、SHA3-512

読み取るべきポイントが3つあります。

第一に、掲載されたのはML-KEM-768と1024だけで、ML-KEM-512は入っていません。「新規案件ではML-KEMを既定に」と言うときは、日本政府向けならパラメータを768以上にする必要があります。

第二に、署名は「該当なし」です。ML-DSAもSLH-DSAも、NISTでは2024年に確定済みですが、CRYPTRECの推奨リストにはまだ載っていません。表の枠だけ用意して空欄にしてある、という状態です。CRYPTRECは2025年度報告書で、PQCリストへの追加を引き続き検討中としており、PQCに関するワーキンググループでガイドラインと研究動向調査報告書の2026年度版を作成する方針を示しています。

第三に、暗号強度要件の設定基準は当面この表2の公開鍵暗号には適用されません。従来の鍵長ベースの基準がPQCには噛み合わないためで、2026年度に設定基準そのものの改定を進めるとされています。

政府方針としては、内閣官房国家サイバー統括室（NCO）が2025年11月20日に「政府機関等における耐量子計算機暗号（PQC）への移行について（中間とりまとめ）」を公表しました。原則2035年までの移行を目指し、2026年度に工程表を策定するという内容です。同文書は移行の準備・開発コストと所要期間が膨大になりうることに触れ、クリプト・インベントリの構築（移行対象の詳細な把握）を検討の前提に置いています。加えて、PQC実装時のセキュリティ対策が現状では不十分であることを理由に、クリプト・アジリティの確保や既存暗号との併用、QKDの導入も選択肢として挙げています。

金融分野は比較的先行しています。金融庁は2024年7〜10月に「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」を開催し、2024年11月26日に報告書を公表しました。3メガバンク、全銀協、地銀協、日銀金融研究所などが参加し、優先度の高いシステムを2030年代半ばまでにPQC利用可能な状態にすること、暗号利用箇所の棚卸しに早期着手することなどを求めています。

総じて日本の立ち位置を評価するなら、「方針とリストの整備は着実、期限の具体性と強制力は米国に比べて弱い」というところでしょう。中間とりまとめ自身が、諸外国に比べて移行が遅れれば安全保障上の支障が懸念されるという認識を示しています。2026年度の工程表がどこまで踏み込むかが次の焦点です。

8. ベンダー・製品の対応状況

製品・サービス	鍵交換	署名・証明書	備考
OpenSSL 3.5（2025年4月、LTS）	ML-KEMをネイティブ実装。既定でX25519MLKEM768を優先提示	ML-DSA、SLH-DSAをネイティブ実装	最も影響範囲が広い。ただし本体での利用可能性とFIPS ProviderのCMVP検証状況は別問題
Chrome / Firefox	Chrome 131（2024年11月）、Firefox 132（2024年10月）で既定化	プライベートPKI向けML-DSAトラストアンカー対応がChrome 150で提供予定	クライアント側の既定化が普及率を押し上げた主因
AWS	KMS等へのハイブリッドPQ TLS対応	AWS Private CAがML-DSA証明書に対応（2025年11月）	サービス側の対応と、利用者の通信が実際にPQC化されているかは別。SDK側で明示的に有効化が必要な構成がある
Microsoft	SymCryptにML-KEM。Windows／Linuxへ展開	CNG／ADCSでML-DSA。ML-DSA X.509のパイロットを推進	CA/Browser ForumのML-DSA ballotを支持する立場
Cloudflare	エッジ・オリジン間でX25519MLKEM768を展開	1.1.1.1のDNSSEC検証にML-DSA-44を導入	Radarで採用率を公開。オリジン対応率の可視化も提供
Signal	PQXDH（2023年）に加え、SPQRを組み込んだTriple Ratchet（2025年10月2日）	－	ML-KEMを採用。初期鍵確立だけでなく会話中のラチェットまでPQC化した点が新しい
Apple	iMessage PQ3（2024年）。iOS 26／macOS TahoeでX25519MLKEM768に対応	－	PQ3の「レベル3」はApple独自の分類であり、NISTやIETFの共通評価基準ではない

この表を見て「主要ベンダーは対応済み」と結論づけるのは早すぎます。対応範囲、既定で有効かオプトインか、FIPS検証の有無、署名・証明書まで含むかは製品ごとにバラバラです。「PQC対応」という一言が何を指しているのかは、製品ドキュメントで個別に確認する必要があります。特にHSM、PKI製品、組込み機器は、ソフトウェアライブラリより一段遅れると考えておくのが安全です。

9. 何から手をつけるか

実務の順序としては、以下が妥当だと考えます。

• 暗号インベントリ／CBOMの整備。RSA・ECC・DHをどこで使っているかの棚卸し。TLS、VPN、コード署名、内部認証、証明書、HSM、アプリケーションコード。これがないと移行計画は立てられません。米国のCBOM標準化（2027年3月まで）も見据えて、機械可読な形式を意識しておくと後で効きます。
• 長期機密データの特定とHNDLリスク評価。保護期間が長いデータほど優先度が上がります。10年後に漏れても困らないデータと、30年後でも困るデータを分ける作業です。
• TLS・VPN等の鍵確立をハイブリッド化。標準・製品・認証要件が整っている環境では、X25519MLKEM768を優先候補に。日本政府向け調達を意識するならML-KEM-768以上。
• 経路上の機器の検証。MTU、ClientHelloのフラグメント、ロードバランサ、WAF、プロキシ、HSM。ここで詰まるケースが実際に報告されています。
• 内部PKI・コード署名でML-DSAを評価。公開Web PKIを待たずに始められる領域です。
• 公開Web PKIは制度の動きを待つ。CA/Browser Forumだけでなく、ブラウザのルートプログラム、TLS実装、証明書サイズ、失効基盤まで揃って初めて実用になります。
• クリプト・アジリティの確保。ML-KEMやML-DSAを固定実装せず、将来HQCやFN-DSAへ差し替えられる設計にしておく。OpenSSLのEVPのような抽象化層を経由させ、アルゴリズム選択を設定で変えられるようにするのが基本です。

判断を切り替える目安として、以下のイベントをウォッチしておくとよいと思います。

• CA/Browser ForumがTLSサーバ証明書でML-DSAを許可 → 公開証明書の移行計画を起動
• FIPS 206（FN-DSA）の最終化 → 帯域制約のある用途で署名方式を再評価
• CRYPTRECが署名アルゴリズムをPQCリストに追加 → 日本政府向け調達要件の更新
• 2026年度の政府工程表の公表 → 自組織の期限設定の根拠として参照

まとめ

耐量子暗号の移行は、「量子コンピュータが完成してから対応する」という選択肢が構造的に存在しない、珍しい種類の課題です。HNDLがある以上、脅威の実現時期を待つことは、その分だけ既に失われたデータを増やすことを意味します。

その上で、現実的な優先順位ははっきりしています。鍵交換は既に実用段階に入っており、標準（RFC 10024）も実装（OpenSSL 3.5、主要ブラウザ）も揃っています。Cloudflareの計測で人間由来トラフィックの3分の2がPQCで保護されている一方、オリジンサーバ側の対応が1割程度にとどまっているという非対称は、そのまま「自社サーバの設定を見直せ」というメッセージとして読めます。

対照的に、署名と公開PKIはまだ制度が動いている最中です。FIPS 206は未確定、CRYPTRECの署名欄は空欄、公開信頼のML-DSA証明書はゼロ。ここを焦っても手戻りするだけで、いま投資すべきは個別アルゴリズムの実装ではなく、何が使われているかを把握する仕組みと、後から差し替えられる設計です。

SIKEが2022年に崩壊したことを思い出せば、今日「安全」とされているアルゴリズムが10年後も安全である保証はどこにもありません。PQC移行の本質は、特定のアルゴリズムへの乗り換えではなく、アルゴリズムを乗り換えられる組織になることなのだと思います。

開発を緩めれば超高度AIを制御できるのか — 2026年9月時点の技術と制度の現在地

「AIの開発速度を緩めるべきだ」という主張は、2023年の公開書簡以来くり返し出てきます。では素朴な疑問として、仮に開発を緩めたとして、その先にある超高度なAIを人間は本当に制御できるのでしょうか。減速は制御の手段なのか、それとも単に時間を買う行為なのか。

この問いが技術者にとって意味を持つのは、抽象的な思考実験だからではありません。フロンティアAI企業の安全枠組みは2026年に入って構造そのものが書き換わり、EUは高リスク規制の適用を1年以上先送りし、米国は連邦と州が正面から衝突しています。一方で研究の側では、限定的とはいえ実験環境でモデルが「訓練時と非訓練時で振る舞いを変える」挙動が観測されています。制御可能性の議論は、すでに制度設計とシステム運用の実務に流れ込んでいます。

結論を先に書きます。開発の減速は単独では制御を保証しません。ただし能力到達を遅らせ、評価・防御・制度を整える時間を生むことでリスクを下げ得ます。そして「ASIを制御できるか」という問いへの最も正確な答えは、可否の二択ではなく「弱い形の制御はすでに機能しているが、未知の超知能に対する頑健で検証可能な制御保証はまだ存在しない」です。以下、その根拠を順に見ていきます。

本稿の事実関係は2026年9月時点のものです。法制度と企業の安全枠組みは数か月単位で更新されているため、実務で参照する際は必ず最新版を確認してください。また後半のシナリオ整理は筆者による論点の見取り図であり、確率を伴う予測ではありません。

1. 「開発を緩める」論は何を与え、何を与えないか

議論の起点は、Future of Life Institute（FLI）の公開書簡「Pause Giant AI Experiments」です。文面の日付は2023年3月22日、公に報じられたのは3月29日でした。内容は明快で、GPT-4より強力なAIシステムの訓練を少なくとも6か月、直ちに一時停止せよ、その停止は公開かつ検証可能であるべきだ、というものです。署名は最終的に33,705筆に達し、Yoshua Bengio、Stuart Russellら著名研究者も名を連ねました。

結果として、主要フロンティアラボによる公開・検証可能な6か月停止は確認されていません。ここは表現に注意が必要な箇所で、「全署名者・全組織の履行がゼロだった」ことを立証した調査は存在しません。言えるのは、書簡が求めた形での業界全体のモラトリアムは成立しなかった、という限定的な事実です。

なぜ成立しなかったのか。構造的な理由は4つに整理できます。

• 検証可能性がない — 訓練が止まっているかを国際的に検証する技術的・制度的手段が確立していない
• 抜け駆けの利得が大きい — 先行者利益が巨大で、典型的な囚人のジレンマ構造になる
• オープンウェイトは巻き戻せない — 一度公開された重みは回収できず、拡散は不可逆
• 計算量の上限は能力の上限ではない — アルゴリズム効率の改善により、同じ計算量でより高い能力が得られる

ただし「だから減速は無意味」という結論は飛躍です。減速はそれ自体が制御技術ではありませんが、事故への曝露を減らし、能力の拡散を遅らせ、評価・防御・制度整備に相対的な時間を配分するという間接的な効果は理論上あり得ます。安全性研究を能力研究より速く進める「差分技術開発（differential technological development）」という考え方は、この間接効果を意図的に設計しようとするものです。減速を論じるなら、「制御できるようになるか」ではなく「制御の準備に使える時間をどれだけ買えるか、そしてその時間を実際に使えるのか」という問いの立て方の方が生産的でしょう。

2. 「制御」という語を三層に分解する

制御可能性の議論が噛み合わない最大の原因は、「制御」という一語に性質の異なる三つのものが混ざっていることです。分けて考えると、どこまで確認済みでどこから未証明かが見えやすくなります。

• モデル行動の整合（alignment） — そもそも害をなしたいと思わないようにする。RLHF、Constitutional AI、スケーラブル監督、解釈可能性
• システム運用の制約（control） — 害をなしたくてもなせないようにする。サンドボックス、権限制限、監視、信頼済みモデルによる編集、インシデント対応
• 産業・国家レベルの統制（governance） — 計算資源管理、ライセンス、監査、国際協定、拡散管理

Redwood Researchによる整理が簡潔です。アラインされたAIは「害を与えたくない」、コントロールされたAIは「害を与えたくても与えられない」。後者はアラインメントが失敗していることを前提に置いた上で安全性を確保しようとする運用的アプローチであり、これは実務者にとって重要な発想の転換です。モデルの内心を保証できなくても、権限と監視の設計でリスクを下げられる領域は確実に存在します。

第一層は日常的に機能しています。第二層は研究と実装が同時進行している段階です。第三層は各国でばらばらに立ち上がりつつあります。「制御は不可能だ」という主張と「すでに制御できている」という主張が同時に流通するのは、議論している層が違うからです。

3. 技術的手法の現在地

まず第一層、モデル行動の整合に関する手法です。

手法	原理	成熟度	主な限界
RLHF	人間の選好で報酬モデルを学習し、それを用いて強化学習する	実運用（標準）	人間が評価できない領域には原理的に届かない。迎合（sycophancy）、報酬ハッキング、報酬モデルのGoodhart化
Constitutional AI / RLAIF	明文化された原則に基づき、AI自身がフィードバックを生成する	実運用	原則の網羅性と解釈の問題。価値が実際に内在化されたかを外から検証できない
スケーラブル監督	弱い監督者で自分より賢いモデルを監督する。debate、weak-to-strong generalizationなど	研究段階	OpenAIの2023年の実験では、弱いモデルの監督で強いモデルを微調整しても能力は部分的にしか回復しない。超知能規模へのスケールは未証明
機械論的解釈可能性	スパースオートエンコーダ等で内部表現を解釈可能な特徴に分解する	研究段階	現状は特定層の近似分解であり、モデル全体の回路図ではない。辞書品質を測る標準指標が存在しない
思考連鎖（CoT）監視	推論過程のテキストを監視し、意図や逸脱を検出する	研究・実装進行中	提唱者自身が「壊れやすい機会」と位置づけている。訓練方法の変化で監視性が失われ得る

解釈可能性については、規模の解釈に注意が必要です。AnthropicがClaude 3 Sonnetに対して約100万・400万・3400万特徴のスパースオートエンコーダを訓練したことは事実ですが、これは残差ストリームのある中間層一つを近似的に分解した研究であり、モデル全体を監査したものではありません。論文自身、辞書の品質を測るゴールドスタンダードが存在せず、特徴の感度をスケーラブルかつ厳密に評価することが難しいと明記しています。「3400万の特徴を抽出した」という数字だけを取り出すと、実際よりはるかに完成度の高い技術に見えてしまいます。

CoT監視については、2025年7月に主要研究機関の40名超が共著した立場表明論文（arXiv:2507.11473）が象徴的です。「新しく、そして壊れやすい機会」というタイトル自体が結論を語っています。現在のモデルは推論を自然言語で書き下すため監視できますが、この性質は訓練手法の変化で容易に失われ得る、というのが著者らの警告です。実際、モデルが思考過程を短く圧縮して書くようになる傾向は、その後の各社モデルでも議論されています。

次に第二層と第三層です。

手法	原理	成熟度	主な限界
AI Control	アラインメント失敗を前提に、信頼済みモデルによる監視・編集、権限分離で封じ込める	研究・実装進行中	「信頼済み」の判定自体が難しい。監視側より被監視側が賢くなると成立しなくなる
危険能力評価	CBRN、サイバー、自律性などの能力を体系的に測定し、しきい値超過を検出する	実運用	能力の引き出し不足による過小評価、評価されていることをモデルが察知する問題
形式手法・保証付き安全AI	世界モデルと数学的証明を組み合わせ、安全性を定量的に保証する。英ARIAのSafeguarded AI等	初期研究	複雑な現実世界を形式化して証明する道筋が立っていない。適用範囲が限定的
計算資源ガバナンス	アクセラレータ側に検証機構を組み込み、訓練規模や用途を技術的に検証・制約する	初期研究	構想段階で実装の詳細は未確定。国際的な採用が前提となり、地政学的な障壁が大きい

表全体を通して言えることが一つあります。どの手法も単独で安全を保証するものではなく、相補的な防御層として設計されているということです。これはセキュリティの多層防御と同じ発想であり、逆に言えば「この手法があれば制御できる」という主張が出てきたら、それは手法の性質を誤解しています。

4. 実験室で観測された「策略」— 何が示され、何が示されていないか

2024年末に相次いで公表された二つの研究は、制御可能性の議論を思考実験から実証の領域に半歩動かしました。ただし「半歩」であることが重要で、ここは誇張されやすい箇所です。

AnthropicとRedwood Researchによる「Alignment Faking in Large Language Models」（2024年12月）は、そうするよう明示的にも暗黙的にも訓練・指示されていないLLMが、訓練されていると認識した状況と認識していない状況で異なる振る舞いを示す事例を報告しました。著者らはこれをalignment fakingの初の実証としていますが、同時に、危険なalignment fakingが必然的に自然発生することを示したわけではないとも明記しています。

Apollo Researchの「Frontier Models are Capable of In-context Scheming」（arXiv:2412.04984）は、複数のフロンティアモデルが評価シナリオ内で監視機構の無効化や自己保存的な行動を試みることを観測しました。ただしこれは、モデルに目標を与え、その目標と運用者の意図が食い違っていることを文脈として与えた評価設定での基本的なin-context schemingです。

これらが示したのは、限定された実験条件下で戦略的欺瞞に類する挙動が誘発・観測され得るということです。現実の運用環境において、モデルが持続的・自律的に人間を欺いていることの証明ではありません。この区別を崩すと、事実から脅威モデルへ、さらに政策判断へと無自覚に飛躍することになります。

しばしば同じ文脈で引かれる「Sleeper Agents」（arXiv:2401.05566）は、カテゴリが異なるので注意が必要です。これは研究者が意図的にバックドア的・欺瞞的方策を訓練で埋め込んだモデル生物であり、そうした挙動が標準的な安全訓練を経ても残存し得ることを示す研究です。自然発生の証拠ではありません。alignment faking、in-context scheming、sleeper agentsは別々の主張をしている三つの研究であり、束ねて「AIはすでに人を欺いている」と要約するのは正確さを損ないます。

5. フロンティア企業の自主枠組み — 拘束から説明責任へ

2026年に入って最も構造的な変化が起きたのは、企業側の自主枠組みです。とくにAnthropicのResponsible Scaling Policy（RSP）は2026年2月24日のv3.0で全面的に書き換えられました。従来のASL（AI Safety Level）を軸にした硬い停止条件中心の設計から、業界横断的な安全勧告、詳細な安全目標を記したFrontier Safety Roadmap、そして展開中のモデルのリスクを評価するRisk Reportsを三本柱とする構造へ移行しています。

この改訂は「living document」として位置づけられており、実際に頻繁に更新されています。2026年9月時点の最新版はv3.4（2026年7月8日発効）で、そこに至るまでにv3.1（4月2日）、v3.2（4月29日）、v3.3（5月26日）と版を重ねています。v3.4の変更内容は、自動R&Dのしきい値を脅威モデルによく対応するよう改訂すること、Risk Reportsの内部共有要件の変更、カバレッジ日付に基づく分析の許容、公開版における編集箇所の明示、外部レビューの実施方法の明確化などです。なおCBRNとAI R&Dの能力しきい値の追加・分割は、主としてv2.1（2025年3月31日）での変更であり、v3系の変更点とは区別する必要があります。

興味深いのは、同社が2026年2月にClaude Opus 4.6についてAI R&D-4しきい値を超えていないと判定しつつ、「このしきい値を自信をもって否定することは次第に困難になっており、望ましい以上に主観的な評価を要する」と公言している点です。しきい値方式の限界が、運用の現場から表面化しつつあることを示しています。

OpenAIについては、Preparedness Framework（v2、2025年4月）に対して独立分析（arXiv:2509.24394）が「2025年4月のPFはリスク緩和実務を何ら保証しない」と批判しています。ここは引用の精度が問われる箇所で、「いかなるリスク評価も義務づけていない」という要約は原文の主張とずれます。分析の焦点は、評価の有無ではなく緩和実務を確実に担保する拘束的コミットメントになっていないという点です。その後2026年5月28日、OpenAIはFrontier Governance Frameworkを公開し、サイバー攻勢、CBRN、有害な操作、制御喪失の4領域を対象に、カリフォルニアSB 53とEU AI ActのGPAI行動規範への対応を明示しています。Preparedness Frameworkは引き続き基盤として位置づけられ、新枠組みは規制対応の公開文書という役割分担です。

企業	枠組みと版（2026年9月時点）	特徴
Anthropic	Responsible Scaling Policy v3.4（2026年7月8日発効）	v3.0で全面改訂。業界横断勧告、Frontier Safety Roadmap、Risk Reportsの三本柱。Risk Reportsには外部レビューが組み込まれている
OpenAI	Preparedness Framework v2（2025年4月）＋Frontier Governance Framework（2026年5月28日）	PFが内部基盤、FGFが規制対応の公開文書。FGFはサイバー攻勢・CBRN・有害な操作・制御喪失の4領域を対象とする
Google DeepMind	Frontier Safety Framework（2024年5月初版、以後更新）	Critical Capability Levels（CCL）を定義し、能力領域ごとにしきい値と対応措置を紐づける

三社に共通するのは、能力・リスクのしきい値、評価、緩和、報告という構成へ収斂しつつあることです。同時に共通する弱点もあります。いずれも自主的枠組みであり、拘束力と独立検証に依存部分が残るという点です。Anthropicは外部レビュアーによるRisk Reportsのレビューを制度化していますが、これも会社が設計した枠組みの中での外部性です。企業の自主枠組みを「規制の代替」として扱うのは、現時点では無理があります。

6. 規制の現在地 — 「緩和一色」ではない

2025年から2026年にかけて、AIガバナンスの潮目が推進・簡素化へ振れたという見方が広く流通しています。方向感としては妥当ですが、「全面的な規制緩和が進行中」と要約すると事実を取り違えます。実際に起きているのは、フロンティア安全の一部制度化と、競争力重視の簡素化が並行して進むという状態です。

法域	簡素化・延期された部分	強化・継続している部分
EU	Digital Omnibus on AI（Regulation (EU) 2026/1744、2026年7月24日官報公示・27日発効）により、Annex III単独型高リスクは2027年12月2日、Annex I製品組込型は2028年8月2日へ延期	第5条の禁止慣行、AIリテラシー義務、GPAI提供者義務は据え置き。第50条の透明性義務とGPAIに対する監督権限は2026年8月2日に予定どおり適用開始。Omnibusは新たな禁止（非合意的な性的画像生成等）を追加している
米国（連邦）	バイデン政権のEO 14110は2025年1月に撤回。2025年12月のEO 14365は州AI規制の「パッチワーク」を問題視し、司法省にAI Litigation Task Forceを設置して先取り（preemption）を志向	2026年9月時点で包括的な連邦AI法は存在しない。大統領令は先取り法ではなく、州法は裁判所が無効としない限り引き続き有効
米国（州）	—	カリフォルニアSB 53が2026年1月1日施行。ニューヨークRAISE Act、イリノイSB 315（2026年7月6日署名、2027年1月1日施行）が続く。イリノイは大規模フロンティア開発者への独立第三者監査を課す初の州法で、監査義務は2028年1月1日開始
日本	AI推進法（2025年5月28日成立、6月4日公布、9月1日全面施行）は推進・基本計画・指針・調査・指導助言を中心とし、同法自体に罰則規定を持たない	2025年12月23日にAI基本計画を閣議決定（副題「信頼できるAIによる日本再起」）。AIセーフティ・インスティテュートを英国並みの200人体制へ拡充する方針が示された

実務上とくに誤解されやすいのがEUと日本です。EUについては、延期されたのは高リスク規制の本体であって、透明性義務もGPAI義務も禁止慣行も予定どおり動いています。「AI Actが延期された」という要約で社内説明をすると、2026年8月から適用されている義務を見落とす危険があります。

日本については、AI推進法に罰則がないことを「AI関連行為が無規制」と読み替えてはいけません。個人情報保護法、著作権法、消費者保護関連法、各種業法は当然に適用されます。AI推進法は既存法の上に推進と基本方針のレイヤーを重ねたものであって、既存法を免除するものではありません。

米国の州レベルの動きは、制御の第三層という観点から見ると示唆的です。カリフォルニア、ニューヨーク、イリノイの三州が採用したのは、いずれも10^26演算超という計算量基準でフロンティアモデルを定義し、年商5億ドル超の「大規模フロンティア開発者」に追加義務を課すという構造です。とくにイリノイは、他州が求めた自己公表・自己報告から一歩進んで、独立した第三者監査を法的義務にしました。これは「信頼するが検証する」を条文に落とした最初の例であり、企業の自主枠組みの弱点である独立検証の不足に対する、州レベルからの回答と見ることができます。

7. 「原理的に可能か」という問いと、専門家の見解分布

理論面では、悲観論と楽観論がかなり離れた場所に立っています。

悲観側の中核は道具的収斂（instrumental convergence）です。Turnerらの「Optimal Policies Tend To Seek Power」（NeurIPS 2021、arXiv:1912.01683）は、幅広い報酬関数の分布の下で最適方策が多様な目標を達成しやすい状態へ向かう統計的傾向を定理として示しました。ただし著者自身が、実際の強化学習で得られる方策は最適方策とは質的に異なることが多く、この理論の適用性は大きく制約されると明記しています。より強い立場としては、Roman Yampolskiyが『AI: Unexplainable, Unpredictable, Uncontrollable』（Routledge, 2024）で、停止問題や計算不可約性を援用してAGIの安全保証は数学的に到達不能だと論じています。ただしこれが示すのは「完全な保証」の不可能性であり、「実用的な安全性」の不可能性ではない点は区別すべきです。

楽観側では、NarayananとKapoorの「AI as Normal Technology」（2025年4月）が代表的です。AIを電気やインターネットと同様の汎用技術として捉え、制御し続けられる道具であり、劇的な政策介入や技術的ブレークスルーは不要だと主張します。この立場は現行技術の観察に基づいており、超知能の出現そのものを疑問視するものであって、超知能が出現した場合の制御可能性を保証するものではありません。

見解の分布についてしばしば引かれるのが、AI Impactsの2023年の研究者調査です。回答者総数2,778名、「将来のAIの進歩が人類の絶滅または同様に恒久的かつ深刻な無力化を引き起こす確率」を問う設問ではn=1,321、中央値5%、平均16.2%でした。「人間が将来の高度AIを制御できないことに起因する」と限定した別設問はn=661、中央値10%、平均19.4%です。後者の方が高い値になりますが、これは論理矛盾ではありません。回答者が異なる無作為部分標本であり、質問文も異なり、条件付き確率を尋ねたものでもないため、集計値を直接比較できないというだけです。

より重要な留保として、この調査は客観的なリスク推計ではなく、主要会議・誌に掲載歴のあるAI研究者への意識調査です。調査論文自身が、回答者はAI研究の専門家ではあってもAI予測の専門家とは限らず、その予測を客観的真実の信頼できる指針として扱うべきではないと注意しています。「専門家の中央値は5%」という数字を、科学的コンセンサスのように引用するのは誤用です。

8. シナリオと観測ポイント

以下は確率を伴う予測ではなく、どの兆候を見れば状況の変化に気づけるかを整理した見取り図です。

シナリオ	成立の前提	観測すべき兆候
制度化が実効性を持つ	独立検証が機能し、評価手法が法域をまたいで標準化される	イリノイの第三者監査が実際に運用されるか。監査基準が他州・他国へ波及するか
制度が形骸化する	競争圧力が安全圧力を上回り、自主枠組みが繰り返し緩和される	義務の延期が反復されるか。企業枠組みの改訂が一貫して要件を緩める方向に向かうか
技術的突破が起きる	解釈可能性やスケーラブル監督が超human規模で機能することが実証される	辞書品質の標準指標が確立するか。弱い監督者による能力回復が完全に近づくか
漸進的な主体性の喪失	暴走ではなく、経済・行政・文化の意思決定が段階的にAIへ委譲される	重要判断のAI依存度と、人間側がその判断を検証できる度合いの推移
能力の急速な自己増幅	AI研究開発の自動化が進み、能力向上のループが閉じる	各社の枠組みでAI R&D自動化しきい値の超過が宣言されるか。しきい値判定が「主観的になっている」と各社が述べる頻度

実務者にとって手近な観測ポイントは、最後の行です。Anthropicが2026年2月にAI R&D-4しきい値の判定について「自信をもって否定することが次第に困難になっている」と述べたのは、しきい値方式そのものが摩耗しつつある兆候と読めます。判定が主観的になっていくことを企業が自ら公言する頻度は、能力曲線の傾きを外部から推し量る間接的な指標になります。

まとめ

冒頭の問いに戻ります。開発を緩めたところで超高度なAIを制御できるのか。

• 減速は制御手法ではない。ただし能力到達を遅らせ、評価・防御・制度を整える時間を生むことでリスクを下げ得る。検証可能性、抜け駆けインセンティブ、オープンウェイト拡散、アルゴリズム効率化という4つの構造的問題により、書簡が求めた形の業界全体のモラトリアムは成立しなかった。
• 「制御」は三層に分けて論じるべき。モデル行動の整合、システム運用の制約、産業・国家レベルの統制。弱い形の制御はすでに機能しているが、未知の超知能に対する頑健で検証可能な保証は存在しない。
• 技術的手法はいずれも相補的な防御層であり、単独では安全を保証しない。解釈可能性は特定層の近似分解であり、CoT監視は提唱者自身が「壊れやすい」と認めている。
• 2024年の策略研究は、限定された実験条件での観測である。現実環境での自律的・長期的な欺瞞を実証したものではない。alignment faking、in-context scheming、sleeper agentsはそれぞれ別の主張をしている。
• 企業の自主枠組みは能力しきい値と報告の構造へ収斂しつつも、拘束力と独立検証に弱点が残る。2026年9月時点でAnthropicのRSPはv3.4、OpenAIはPreparedness Frameworkに加えてFrontier Governance Frameworkを公開している。
• ガバナンスは一方向の緩和ではない。EUは高リスク義務を延期したがGPAI・透明性義務は維持し、米国の州レベルでは第三者監査という新たな拘束が生まれている。

実務への含意を一つだけ挙げるなら、第二層の発想がそのまま使えるということです。モデルの内心を保証できなくても、権限分離と監視の設計でリスクは下げられる。エージェントに外部への書き込み権限を与えるなら監視レイヤーを併設する、ログを残す、信頼レベルの異なるモデルを役割分担させる。これはAI固有の魔法ではなく、多層防御という枯れた発想の適用にすぎません。超知能の制御可能性が未解決であることと、いま手元のシステムを堅牢に設計できることは、両立します。

そして最後に、この分野の情報に触れるときの姿勢について。制御可能性をめぐる言説は、悲観側にも楽観側にも、実験室の観測を現実の脅威へ、統計を科学的コンセンサスへ、企業の自主宣言を保証へと滑らせる圧力が常に働いています。観測された事実、そこから導かれる脅威モデル、採用すべき政策判断。この三つを分けて読むこと自体が、この分野で最も実用的なリテラシーだと思います。

ゼロトラストの政府基盤はなぜ抜かれたのか ― デジタル庁GSS不正アクセス24.6万件の全体像

2026年9月11日、デジタル庁は、各府省庁向けに運用している政府共通の業務実施環境「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、約24.6万件の個人情報が漏えいした可能性があると公表しました。侵入の入口は、外部からの保守運用に使っていたVPN機器の脆弱性です。

この事案が技術者にとって重いのは、件数そのものよりも入口の性質のほうです。悪用されたのはゼロデイではなく、攻撃が観測される前に公表されていた既知の脆弱性でした。しかも当初の深刻度評価は「中（Medium）」。デジタル庁は「公表された際の深刻度評価に応じた一般的対応よりも早く対処を進めた」と説明していますが、修正プログラムの適用が間に合いませんでした。ゼロトラストアーキテクチャを採用した政府共通基盤が、CVSS「中」の穴から抜かれた、という構図です。

本稿の見立てを先に書いておきます。この事案の教訓は「パッチを早く当てろ」ではありません。CVSSの静的スコアを起点にパッチの順番を決める運用そのものが、すでに攻撃側の速度に追いついていないということです。米国CISAは同じ問題意識から2026年6月にパッチ優先順位の指令を作り替えています。以下、公表事実を整理したうえで、そこまでを順に見ていきます。

本稿は2026年9月13日時点で公開されている情報に基づきます。デジタル庁は調査を継続中であり、セキュリティ上の理由から公表を差し控えている事項があるとしています。特に、悪用されたVPN機器の製品名、脆弱性のCVE番号、攻撃者に関する情報はいずれも非公表です。本文中でCVEに言及する箇所は、公表事実ではなく第三者による推測であることを明示しています。

1. 何が起きたのか

GSSは、各府省庁が個別に構築・調達していた業務用PC、ネットワーク、セキュリティ対策を、標準的な業務実施環境として統合する政府共通基盤です。2021年度にデジタル庁での利用が始まり、報道ベースでは2026年7月末時点で独立行政法人などを含む23機関・約15.4万人が利用しています。

発端は2026年6月25日、保守運用担当者のアカウントを使ってサーバ上の大量のファイルにアクセスが行われたことを検知したことでした。日経クロステックの報道によれば、このアクセスは5月下旬ごろから行われていたとされます。外部の専門事業者の協力を得た調査の結果、7月9日に、第三者がVPN機器の脆弱性を利用してシステムに侵入していたことが判明。同日、当該アカウントを停止し、侵害された機器と外部との通信を遮断しました。

日付	出来事	補足
2026年5月下旬ごろ	保守運用担当者のアカウントによるサーバ上の大量ファイルへのアクセスが始まる	時期は報道ベース。侵入の起点となった経緯は調査中とされる
6月25日	大量ファイルアクセスを検知し、調査を開始	この時点では不正アクセスの有無・影響範囲とも不明
7月9日	VPN機器の脆弱性を利用した第三者の侵入と判明。アカウント停止・外部通信遮断	公表資料の概要図では、初動対応としてVPNへのパッチ適用も実施
7月15日	個人情報保護委員会へ報告	この事実は9月12日のQ&A更新で追記された
9月11日	公表。閣議後会見で松本尚デジタル相が説明	検知から78日、侵入経路判明から約2か月
9月12日	デジタル庁がQ&Aを公開・更新	個人情報保護委員会への報告日を追記

封じ込め後は、新たな不正アクセスや不審な通信は確認されていないとされています。GSSを利用する政府の業務にも支障は生じていません。二次被害も9月11日時点では確認されていませんが、なりすましメールやフィッシングに悪用される可能性があるとして、デジタル庁は注意を呼びかけ、専用のフリーダイヤル（0120-360-036）と問い合わせメールアドレスを設けています。対象者には、連絡先が特定できた人から順次、個別に連絡する方針です。

2. 漏えいした可能性のある情報の中身

数字を扱ううえで最初に押さえるべきは、約24.6万件が「漏えいが確定した件数」でも「被害人数」でもないことです。デジタル庁はQ&Aで、不正アクセスの痕跡が確認された情報について「漏えいした可能性が否定できないものも含めて対象としている」と説明しています。対象者の保護を優先して広めに取った数字だ、ということです。

区分	規模	備考
GSS利用機関の職員および業務に携わった公務員等（独立行政法人の職員を含む）	約18.9万人	公式Q&Aはこの内訳を「人」で表記している
GSS利用機関の業務に携わった事業者および個人	約5.7万人	企業の従業員、個人事業主、WEB会議の参加者などを含む
氏名	約23.6万件	属性別の数字は重複を含む
メールアドレス	約23.1万件	公務用・業務用のもの
電話番号	約9.4万件	多くは個人のものではなく公務用の連絡先
住所	約0.1万件	多くは各府省庁の庁舎所在地や事業所所在地

情報の出どころは、システムの利用者登録の申請書です。代表者の氏名、業務に使う電話番号、勤務先の住所を記載する必要があり、それが漏えいした可能性がある、という構造になっています。マイナンバー、金融機関口座情報、年金番号は含まれていないことが確認されており、一般の国民の個人情報も含まれません。

ただし「機微な情報がないから軽い」とは言えません。各府省庁の職員と、その業務に携わった事業者担当者の氏名・所属・連絡先が組になったリストは、標的型攻撃の下ごしらえとしては上等な材料です。マイナンバーが漏れなかったことと、この名簿が漏れた可能性があることは、別々に評価すべき事柄でしょう。

3. 入口は「CVSS中」の既知脆弱性だった

この事案でもっとも議論に値するのは、ここです。デジタル庁はQ&Aで次のように説明しています。悪用された脆弱性は、当初公表されていた評価では中（CVSS値 Mediumレベル）のものだった。攻撃が確認される前に公表されていた既知の脆弱性だった。公表時の深刻度評価に応じた一般的対応よりも早く対処を進めていたが、修正プログラムの適用前に悪用された——。

松本デジタル相も9月11日の会見で、脆弱性の存在を事案発生前から把握しており、緊急度の高い他の脆弱性から順に対応を進めていた最中に悪用された、と説明しています。つまり脆弱性管理のプロセスは動いていた。動いていたが、キューの順番が攻撃者の到着より遅かったということです。

脆弱性情報の収集・評価は継続的に実施しており、ベンダーの公表情報や注意喚起を確認して影響を評価したうえで対策を講じる運用だった、ともQ&Aは述べています。デジタル庁自身、「脆弱性情報の把握から評価・対策実施までのプロセスを改めて点検し、より迅速かつ確実に対応できるよう運用の強化を進める」「実質的なリスクに基づいて、一層迅速かつ先行的な対応を行う」としており、優先順位付けの基準そのものが論点だという認識は共有されています。

4. 非公表のCVEをめぐる推測をどう扱うか

VPN機器の製品名も、悪用されたCVE番号も公表されていません。この状況で、セキュリティ研究者のpiyokango氏は、大臣が説明した内容などから、Palo Alto Networksが公表したCVE-2026-0257に該当する可能性があると推測しています。これは第三者の推測であり、デジタル庁が認めた事実ではありません。この点は動かしようがないので、まず明記しておきます。

そのうえで、この脆弱性の経緯自体は、本稿の主題と正面から重なるので見ておく価値があります。CVE-2026-0257はPAN-OSのGlobalProtectポータル／ゲートウェイにおける認証回避の脆弱性で、2026年5月13日にアドバイザリが公開されました。認証オーバーライド用のCookieを有効にしており、かつ特定の証明書構成が存在する場合に、リモートの未認証攻撃者がCookieを偽造して不正なVPN接続を確立できます。

問題は評価の推移です。公開当初のCVSS v4.0スコアは4.7、深刻度は中でした。ところが5月29日にRapid7が技術解析と実証コードを公開したことを受け、Palo Alto Networksはスコアを7.8（高）へ改定します。同日、CISAはこのCVEをKEVカタログに追加し、連邦民間行政機関に6月1日までの対処を命じました。実際の悪用は5月17日ごろから観測されていたと報告されています。

GSSの脆弱性がこれと同一であるかは確認できません。ただ、少なくとも一般論として言えることがあります。「公開時のCVSSスコア」は、対処の順番を決める根拠としては賞味期限が短い。同じCVEが2週間で4.7から7.8に化けるのであれば、公開時点のスコアで並べたキューは、その時点で古くなり始めています。

5. 「ゼロトラストだったのに」をどう読むか

GSSはゼロトラストネットワークアーキテクチャを活用した環境として設計されています。デジタル庁はQ&Aで、ゼロトラストアーキテクチャを採用していたが結果として不正アクセスと情報漏えいの可能性が生じたことを重く受け止めている、と述べる一方、具体的なセキュリティ対策の内容やシステム構成は「攻撃者を利する」として非公表としました。松本大臣も会見で「ゼロトラストとはいえ、探しても探してもどこかに穴が空いている可能性がある」と述べています。

ここは慎重に読む必要があります。公開情報からわかるのは、外部からの保守運用にVPNという境界型の経路が使われていたこと、そこを突かれて内部に入られたこと、侵入後に保守運用アカウントの情報が取得・悪用されたこと（デジタル庁は侵害に至った経緯・原因を調査中としています）、そして異常検知が「大量ファイルアクセス」という振る舞いで働いたことです。ゼロトラスト制御の設計そのものに不備があったのか、それとも制御は存在したが保守経路が例外として残っていたのかは、公開情報からは判断できません。

なお、VPN機器の管理体制についてデジタル庁は、GSSのシステムの一部としてデジタル庁が責任を持って管理しており、マニュアル等を整備したうえで職員が、場合によっては外部事業者に委託して管理している、と説明しています。責任の所在は明確にされている一方、外部保守という運用形態が境界を作っていた構図は残ります。

6. デジタル庁のこれまでの個人情報事案

今回のGSS事案は、デジタル庁が直接運用するシステムに関する公表事案としては、漏えいの可能性がある件数が最大のものです。それ以前の事案は、性格がかなり異なります。

時期	事案	性格	規模
2021年11月24日	報道機関向けプレスリリース送信で、BCCに入れるべきアドレスをCCに記載	人的ミス	約400件
2022年4月1日	ワクチン接種証明書アプリの問い合わせ回答メールで、BCCに入れるべきアドレスをTOに記載	人的ミス	少数
2022年4月6日	e-Govサポートデスクの運用受託事業者が回答メールの送付先を誤り、問い合わせ者のアドレスが流出	委託先の人的ミス	少数
2023年5〜6月	自治体窓口の共用端末でログアウトされず、他人のアカウントに公金受取口座が誤登録。マイナポータルで口座情報が閲覧可能な状態に	制度・運用	後述
2023年9月20日	個人情報保護委員会が、マイナンバー法33条・個人情報保護法157条に基づきデジタル庁を指導	監督上の措置	—
2026年9月11日	GSSへの不正アクセス	サイバー攻撃	約24.6万件

公金受取口座の件は、デジタル庁が約5,400万件の全口座を総点検し、2023年6月7日時点で他人の口座への誤登録の可能性が高いもの748件を確認、マイナポータルからの閲覧を不可としました。その後、個人情報保護委員会が整理した同年6月22日時点の数字としては、誤登録のおそれがある事例940件、家族名義などとみられるもの約14万件が挙げられています。再発防止として、デジタル庁は2023年6月23日、登録操作の完了時に再度マイナンバーカードを読み取り、操作開始時のカードとの同一性を確認する仕様変更を実施しました。同年11月には検知モデルの高度化により追加の疑い口座を確認し、閲覧を停止しています。不正利用の被害は確認されていません。

2023年9月20日の措置について、一点だけ用語を整理しておきます。これは「行政指導」であって「行政処分」ではありません。個人情報保護法では、行政機関等に対する「指導及び助言」と「勧告」は別の条文に置かれた監視・監督手段であり、民間事業者に対する「勧告に従わなければ命令」という段階構造とは仕組みが違います。行政機関への指導が必ず勧告の前段階になるわけでもありません。同日、国税庁も指導を受けています。デジタル庁が指導を受けたのはこのときが初めてでした。

なお、政府機関の情報漏えいには、府省庁が利用するベンダー側のサービスやシステムを起点とするものもあります（2021年のProjectWEB事案、2023年のNISCのメール関連システムの事案など）。ただしこれらはデジタル庁の所管システムの事案ではないため、本稿では切り分けて扱います。

7. マイナ関連の件数はなぜ混乱するのか

2023年のマイナンバー関連トラブルは、報道でも数字が錯綜しました。混乱の原因は単純で、集計の範囲と時点が違う数字が、同じ「件」という単位で並べられていることです。健康保険証の紐付け誤りは保険者側の登録に起因するもので、デジタル庁の直接事案ではありませんが、政府全体のマイナンバー情報総点検を通じて一体で語られたため、混同されやすくなっています。

数字	何を指すか	注意点
7,372件	2023年5月22日までに把握されていた健康保険証の紐付け誤り	この時点での累計であり、最終数字ではない
1,069件	その後の自己点検で追加判明した紐付け誤り	7,372件と合わせて計8,441件
5件	追加分1,069件のうち、アクセスログの確認が完了した771件で確認された、他人による薬剤情報等の閲覧	7,372件全体に対する数字ではない。従来分と合わせた閲覧事例は計15件と報じられた
8,351件	マイナンバー情報総点検（対象約8,208万件）で新たに確認された紐付け誤り	対象件数に対する割合は0.01%。累積の判明数ではない
約1万5,907件	総点検前から判明していた事案・自己点検・個別データ点検などを含む累積の判明数	報道ベースの集計。8,351件と足し合わせてはいけない
748件／940件	公金受取口座の他人誤登録。前者は2023年6月7日時点、後者は個人情報保護委員会が整理した同年6月22日時点	別々の事案ではなく、同じ問題の時点違いの数字

この手の数字を引用するときは、「いつ時点の」「どの範囲を数えた」数字なのかをセットで書かないと、意味が変わります。特に「7,372件のうち5件が閲覧された」という書き方は、閲覧の確認母数がまったく違うので成立しません。

8. 行政機関の漏えい報告は増え続けている

個人情報保護委員会は2026年7月7日、個人情報保護法168条に基づく2025年度の年次報告を国会に報告し、その概要を公表しました。2025年度の漏えい等報告は1万9,417件で、内訳は民間の個人情報取扱事業者等が17,139件、行政機関等が2,278件です。前年度は合計21,007件（民間19,056件、行政機関等1,951件）でした。

全体としては前年度を下回った一方、行政機関等の報告は1,951件から2,278件へと約17%増え、過去最高を記録しています。日本経済新聞によれば、行政機関の報告のうち資料の誤交付や誤送付といった人為的ミスが要因となったものが1,536件で、全体の67%を占めました。

ここも数字の性格に注意が必要です。1万9,417件は漏えい等事案に関する報告の処理件数であって、漏えいした人数でも個人情報レコード数でもありません。「2万件近くの個人情報が漏れた」と読むのは誤りです。

9. 何が問われているのか

ここからは筆者の見立てです。公表事実からの推論であり、デジタル庁の見解ではありません。

第一に、優先順位付けの基準です。「CVSSスコアの高い順に対応する」という運用は、直感的で説明もしやすいのですが、スコアは静的な技術特性から算出されるもので、実際に悪用されているかどうかを直接反映しません。CVE-2026-0257が公開時4.7から7.8へ改定された経緯は、その限界をよく示しています。

参照点になるのが、米国CISAが2026年6月10日に発出した拘束的運用指令BOD 26-04「Prioritizing Security Updates Based on Risk」です。この指令はBOD 19-02とBOD 22-01を失効させ、①資産が公開露出しているか、②KEVカタログに掲載されているか、③攻撃を自動化できるか、④技術的影響はどうか、という4つの判断基準で修正の期限を決める方式に切り替えました。4条件すべてに該当する最優先の脆弱性は3日以内の修正が求められます。BOD 19-02の失効により、連邦民間行政機関では脆弱性の優先順位付けにCVSSを使うことが必須ではなくなりました。AIによって脆弱性の発見から武器化までの時間が圧縮されている、という認識が背景にあります。

GSS事案で悪用された脆弱性が、仮に悪用実績の公表されていたものだったとすれば、「CVSSは中だが実際に悪用されている外部公開機器」という、まさにBOD 26-04が最優先に置く類型に当てはまります。日本の政府情報システムにおける脆弱性管理の期限設定を、悪用実績に紐づける方向へどこまで踏み込むかは、再発防止策の実質を測る指標になるはずです。デジタル庁自身が「実質的なリスクに基づいて」と表現しているのは、この方向を意識したものと読めます。

第二に、外部保守経路の扱いです。ゼロトラストを掲げる環境でも、外部からの保守運用のためにVPNという境界を残せば、そこが単一障害点になり得ます。パッチ適用が間に合わないと判断した時点で当該経路を一時的に閉じる、という選択肢を運用上取れるようにしておくことは、パッチ適用の速度を上げるのと同じくらい重要です。

第三に、パッチ適用は侵害の排除ではない、という点です。BOD 26-04がフォレンジック・トリアージを併せて要求しているのは、パッチを当てても既に入り込んだ攻撃者は出ていかないからです。GSS事案でも、侵入後に保守運用アカウントの情報が取得・悪用されています。境界の穴を塞ぐことと、内部に残された足跡を洗うことは別作業です。

第四に、検知から公表までの78日をどう評価するかです。デジタル庁は、影響範囲・侵入経路の分析・対象者の確認に相当の時間を要したと説明しており、7月9日には外部通信を遮断しているため、この期間ずっとデータが流出し続けていたわけではありません。個人情報保護委員会への報告は7月15日に済んでいます。ただ、漏えいの可能性がある対象者が公務員と事業者担当者である以上、彼らがフィッシングの標的になり得る期間でもありました。全体像の確定を待つことと、対象者への注意喚起を先行させることは、本来は別のタイムラインで動かせるはずです。

10. まとめ

デジタル庁のGSS事案は、規模の割に「派手さ」がありません。ゼロデイでもなく、ランサムウェアでもなく、マイナンバーが漏れたわけでもない。だからこそ、脆弱性管理を実際に回している立場からは、これ以上ないほど身につまされる事案です。脆弱性情報は収集していた。評価もしていた。優先順位もつけていた。それでも、順番待ちの列に並んでいる間に抜かれた。

スコアの高い順に潰すという運用は、キューの長さと攻撃者の速度が釣り合っている間しか成立しません。その前提が崩れているのなら、並べ替えの基準そのものを変えるしかない。CISAがCVSS必須をやめて悪用実績と公開露出を軸に据えたのは、その判断です。

調査はまだ続いており、VPN製品名も、CVE番号も、攻撃者の情報も明らかにされていません。再発防止策の具体的な内容も、システム防御に関わるとして非公表とされました。何をもって「脆弱性管理の強化」が達成されたと判断するのか——その基準がどこかの時点で示されるかどうかを、引き続き見ておきたいと思います。

「Armがサーバーの45%」と「13.6%」はどちらも正しい ― 2026年のCPUアーキテクチャ地図

2026年のいま、実際に動いているCPUアーキテクチャ（命令セットアーキテクチャ、ISA）は何種類あるのでしょうか。そして、それぞれどこで生き残り、これからどうなるのでしょうか。

この問いが以前より難しくなっているのは、AIデータセンター需要で数字が派手に動いているからです。「Armがサーバー市場の45%を取った」という見出しが並ぶ一方で、ほぼ同じ時期の別の統計ではArmのサーバーCPU出荷台数シェアは13.6%とされています。3倍以上の開きがありますが、どちらも間違いではありません。測っているものが違うだけです。この差を意識せずに数字を引用すると、そのまま投資判断や提案書の前提が歪みます。

先に結論を書きます。現役ISAの構図は、汎用市場を占める2大勢力（x86-64とAArch64）に、成長中の第3極RISC-V、そしてIBM z/Power、中国独自ISA、組込み系の少数派が併存する形です。この構図自体は数年来大きく変わっていません。2026年に起きた本質的な変化はISAの入れ替わりではなく、ArmとNVIDIAが「IPやGPUを売る側」から「完成したサーバーCPUを直接売る側」に回ったことです。競争軸はISAそのものより、マイクロアーキテクチャの実装、製造ノード、メモリとパッケージング、そしてソフトウェアの成熟度に移っています。

本記事の後半は将来の見通しを含みます。確定した事実と筆者の推定は書き分けていますが、推定部分は精密な予測ではありません。数値は特記のない限り2026年9月12日時点で確認できたものです。ベンダーの自己申告値には、その旨を明記しています。

1. いま動いている主要ISAの棚卸し

まず「現役」の定義をはっきりさせておきます。以下の表は「新規のCPU開発が続いている」ISAを主対象にしています。新規開発は止まっていても販売・保守が続いているもの（SPARCなど）や、データセンター文脈では出てこないが出荷個数では圧倒的なもの（8051、AVR、PICなど）は別扱いにして、後半で触れます。

ISA	主な推進主体	主戦場	2026年時点の位置づけ
x86-64	Intel、AMD（＋中国のHygon、Zhaoxin）	PC、汎用サーバー	出荷台数では依然サーバーの多数派。2024年10月のx86 Ecosystem Advisory Group発足で、Intel/AMDが初めて共同ガバナンスを持った
AArch64（Arm）	Arm、Apple、Qualcomm、NVIDIA、ハイパースケーラ各社	モバイル、AIサーバー、Mac、車載	モバイルはほぼ寡占。AIラックのホストCPUとして売上シェアが急伸。Arm自身が完成チップの直販に参入した
RISC-V	RISC-V International、SiFive、Qualcomm、Alibaba、中国勢ほか	組込み、AIアクセラレータ、開発用サーバー	RVA23とServer Platform仕様の整備でサーバー参入の土台が完成。ただし本番量産サーバーの実績はこれから
Power ISA	IBM	基幹系UNIX/IBM i	Power11を2025年7月に投入。ミッションクリティカル領域で継続
z/Architecture	IBM	メインフレーム	z17を2025年に投入。オンチップAI推論を前面に出す方向へ
LoongArch	Loongson（龍芯）	中国国内の政府・産業用途	独自ISAでデスクトップ・サーバー製品を継続投入。性能は西側の主流から数世代遅れとする独立評価が多い
SPARC	富士通（新規開発は終了方向）	既存基幹系	新規CPU開発の主流からは外れたが、SPARC M12は2029年8月まで販売、2034年11月までサポート予定
組込み系各種	Cadence（Xtensa）、Synopsys由来のARC、Microchip（AVR/PIC）、ルネサス（RX等）ほか	MCU、DSP、車載	出荷個数では巨大。ただしデータセンター戦略の比較対象にはならない

この表から抜けているものとして、MIPSがあります。MIPS社は2022年にRISC-V製品への転換を発表し、2025年8月にGlobalFoundriesによる買収が完了しました。MIPS ISA自体はレガシー保守の領域に入っています。ロシアのElbrus（MCST）も、制裁で先端ファウンドリへのアクセスを失って以降、国内の組込み・産業用途に縮退しており、汎用市場の比較対象からは外れています。

2. 「Armがサーバー売上の45%」をどう読むか

この一年でもっとも引用され、もっとも誤用されている数字がこれです。整理しておきます。

IDCのWorldwide Quarterly Server Trackerによれば、2026年第1四半期の世界サーバー市場は1,226億ドル（前年同期比＋30.4%）で、このうち非x86サーバーが587億ドル、売上の47.9%を占めました。前年同期比では＋107.6%と倍増以上です。この非x86の95%超がArmであるとIDCが示した、とTom's Hardwareが報じており、そこから逆算するとArmだけでサーバー売上の45%超という数字になります。

一方、Mercury Researchの推計を引用したThe Registerの報道では、2026年第2四半期のArmサーバーの出荷台数シェアは13.6%（過去最高、前四半期比＋0.5ポイント）です。第1四半期は13.2%でした。Mercury Researchのディーン・マッカロン氏は、Armサーバー出荷が前年比でほぼ倍増した主因を、Blackwell NVL72 AIラックに搭載されるNVIDIA Graceの急成長だと説明しています。

つまり、45%は完成したサーバー／ラックの売上であり、13.6%はCPUの出荷台数です。NVL72のようなAIラックは1台あたり最大650万ドル程度（構成と販売チャネルによる市場推定値であり、NVIDIAの公式価格ではありません）とされ、金額を強く押し上げます。台数で見れば、汎用サーバーの現場はまだx86が多数派です。

指標	時点	数値	何を測っているか
非x86サーバー売上比率（IDC）	2026年Q1	47.9%（587億ドル）	完成システムの売上。高額なAIラックの影響を強く受ける
Armサーバー出荷台数シェア（Mercury推計）	2026年Q2	13.6%	CPUの出荷個数。単価の影響を受けない
Armクライアント出荷台数シェア（Mercury推計）	2026年Q2	15.3%	ChromebookとApple Silicon Macを含む
AMDのx86クライアント出荷台数シェア（Mercury推計）	2026年Q2	30.3%	IoT/SoCを除くx86クライアントCPU。初の30%超
GPU搭載サーバー売上（IDC）	2026年Q1	689億ドル（全体の56.2%）	サーバー市場の過半がアクセラレータ搭載機になった

実務上の教訓はシンプルです。ISAのシェアを語るときは、（1）搭載CPUの台数・ソケット数、（2）CPU単体の売上、（3）完成システムの売上、（4）演算性能、（5）ソフトウェアの対応状況を、それぞれ別の指標として扱うことです。この5つは同じ方向を向かないことがあり、実際いまは大きく食い違っています。

3. x86陣営 — 40年ぶりの共同ガバナンス

IntelとAMDは2024年10月に「x86 Ecosystem Advisory Group（EAG）」を設立しました。Broadcom、Dell、Google、HPE、HP、Lenovo、Meta、Microsoft、Oracle、Red Hatが創設メンバーに名を連ね、Linus Torvalds氏とTim Sweeney氏も参加しています。競合2社がISAの方向性を共同で決める枠組みは、x86の歴史では初めてです。

2025年10月13日の1周年発表で公式に挙げられた成果は次の4つです。FRED（Flexible Return and Event Delivery、割込みモデルの近代化）を標準機能として確定、AVX10を次世代ベクトル拡張として確立、ChkTagを統一メモリタギング仕様として導入、ACEを行列積アクセラレーション（AMXの後継として両社共通化するもの）として標準化。ACEについては2026年6月に両社共同のホワイトペーパーが公開されています。

長年の混乱要因だったAVX-512／AVX10のベクトル長問題も、方向は定まりました。Intelは2025年3月の技術資料で、256ビット専用構成を廃止し、すべてのAVX10実装が最大512ビットをサポートする形に改めています。ただしここは注意が必要で、ISAとして512ビット命令に対応することと、各マイクロアーキテクチャが512ビット幅の物理データパスを持つことは別問題です。命令が使えることと、1サイクルで処理できることを混同すると性能見積もりを外します。EAG準拠の機能を実装したシリコンが実際に出そろうのはこれからで、FREDやChkTagのようなマイクロアーキテクチャ深部に関わる機能は、さらに数年先になると見られます。

x86陣営の競争力を左右するもう一つの変数が、Intelの製造です。18AプロセスはアリゾナのFab 52で量産に入り、Panther Lake（Core Ultra Series 3）が最初の製品となりました。焦点は次の14Aで、Intelは2025年7月に「有力な外部ファウンドリ顧客を確保できなければ開発を一時停止または中止する可能性がある」とSEC提出書類で明示していました。その後2026年第2四半期に14Aの開発完遂をコミットしましたが、2026年9月時点で外部顧客の名前は公表されていません。CFOのデイビッド・ジンスナー氏は2026年9月2日のドイツ銀行主催カンファレンスで、顧客との対話が「プロセス技術の評価段階を越えて、どれだけの生産能力を確保できるかという話に移っている」と述べ、14Aの外部顧客獲得に「確信」を持つとしました。リスク生産は2027年、量産は2028年の計画です。ここが決まるかどうかは、x86陣営全体のコスト競争力に直結します。

4. Arm陣営 — IPベンダーが自らチップを売る側に回った

2026年のもっとも大きな構造変化は、ここです。

Armは2026年3月24日、Arm AGI CPUを発表しました。35年の歴史で初めて、IPやサブシステムではなく完成したシリコンを直接顧客に供給する製品です。Neoverse V3コアを最大136基、TDP 300W、TSMCの3nm（N3P）を使ったチップレット構成。Metaがリードの共同開発パートナー兼顧客で、OpenAI、Cloudflare、Cerebras、SAPなども採用を表明しています。サーバーシステムはASRock Rack、Lenovo、Quanta、Supermicroが用意し、広範な提供は2026年後半とされています。「x86プラットフォーム比でラックあたり性能2倍超」というのはArmの公称値で、独立検証はこれからです。CEOのレネ・ハース氏は2031年までにこのチップ単体で150億ドルの売上を見込むと述べていますが、これは会社側の予想です。

この動きの意味は、Armが自社のライセンシーと直接競合する立場になったことです。中立のIP供給者という長年のポジションを、自ら崩しにいっています。

NVIDIAも同じ方向に動きました。2026年3月16日のGTCで発表されたVeraは、GraceがArm標準コアを使っていたのに対し、NVIDIA自社設計の「Olympus」コア（Armv9.2互換）を88基搭載します。spatial multithreadingにより176スレッド、LPDDR5Xで最大1.2 TB/sのメモリ帯域、NVLink-C2Cで1.8 TB/sのCPU-GPU間コヒーレント接続。コンピュートダイはチップレットではなくモノリシック（TSMC 3nm）で、SKUは88コアの1種類のみという割り切った構成です。重要なのはGPUから独立したスタンドアロン製品として売られる点で、NVIDIAが初めて汎用サーバーCPU市場に正面から入ってきたことを意味します。フル生産に入っており、Dell・HPE・Lenovo・Supermicroのシステムは2026年後半に出荷予定です。

製品	ISA	主要諸元	状況（2026年9月時点）
Arm AGI CPU	Armv9系（Neoverse V3）	最大136コア／300W／TSMC 3nm／チップレット	2026年3月発表、初期システム提供中。広範な提供は2026年後半
NVIDIA Vera	Armv9.2互換（自社Olympusコア）	88コア／176スレッド／LPDDR5X 1.2 TB/s／NVLink-C2C 1.8 TB/s	フル生産中。OEMシステムは2026年後半
AMD EPYC「Venice」	x86-64（Zen 6）	256コア／TSMC 2nm（世代間70%性能向上はAMD公称）	2026年世代として予定
Intel Clearwater Forest	x86-64	288 E-core／Intel 18A	2026年世代。Pコア版のDiamond Rapidsも同年予定

ライセンス面では、ArmとQualcommの係争が一応の決着を見ました。2024年12月の陪審評決に続き、2025年9月30日にデラウェア連邦地裁がArmの残る請求を退け、Nuvia由来のライセンスをめぐる本訴はQualcomm側の勝訴で確定しました（Qualcomm自身は「完全勝訴」と表現していますが、これは当事者の言い分です）。Armは控訴しており、またQualcommがArmを提訴した別件が2026年第4四半期に公判予定です。訴訟自体はまだ終わっていません。

5. RISC-V — 「RVA23シリコンの年」の実態

RISC-Vについては、期待と実態の距離をきちんと測る必要があります。

土台の整備は明確に進みました。2024年10月に批准されたRVA23プロファイルは、64ビットアプリケーションプロセッサ向けにベクトル拡張とハイパーバイザ拡張を必須化し、OSベンダーが狙える共通の的を初めて提供しました。さらに2026年にはRISC-V Server Platform Specification 1.0が承認され、RVA23対応コアの上にUEFIとACPI 6.6、SBIといった業界標準のブート・ランタイム契約が乗りました。これにより、1つのOSイメージが準拠サーバー間で起動するという、x86やArmでは当たり前だった前提がRISC-Vにも成立します。

ソフトウェア側も追いついてきています。Ubuntuは25.10でriscv64のベースラインをRVA20からRVA23へ引き上げ、26.04 LTSでRVA23を正式サポート。パッケージのカバレッジはamd64比で約95%に達しています。openEulerもRVA23対応の初のLTSを出しました。

シリコンも出始めました。RISC-V InternationalのCEOアンドレア・ガロ氏は2026年を「RVAシリコンの年」と呼んでおり、SiFiveのPerformance P870D（最大128コア）、AkeanaのAlpineテストチップ、NextSiliconのArbel、Epic SemiのContrail AIX（32 RISC-Vコア＋16 AIコア）などが登場しています。SiFiveは2026年4月に4億ドルのシリーズGを調達しました。

ただし、ここから先は慎重に読むべきです。SiFiveのBigSky SF-2U870はラックマウント型のRISC-Vサーバーとして注目されましたが、SiFive自身の位置づけは「ソフトウェア移植・ワークロードチューニング・検証のための開発プラットフォーム」であり、本番量産サーバーではありません。Server Platform 1.0への準拠も表明されていません。ソフトが同じ命令で動くことと、遠隔管理・障害記録・ファームウェア更新を既存の運用基盤に組み込めることは別の課題です。

事業面では集約が起きています。Qualcommは2025年12月10日にVentana Micro Systemsを買収し、2026年6月にはTenstorrentを80億〜100億ドルで買収交渉中とReutersが（The Informationを引用して）報じました（この件は交渉段階の報道であり、成立の確認はできていません）。これを「RISC-Vスタートアップの淘汰」と読むのは一つの解釈ですが、Qualcommは自社のRISC-V能力強化として説明しており、独立CPUベンダーから大手SoC企業への能力集約と見るほうが中立的でしょう。いずれにせよ、汎用サーバーCPUを単独で売り切るビジネスモデルは、少なくとも現時点では成立しにくいことを示しています。

6. 少数派だが現役 — メインフレーム、UNIXサーバー、組込み

IBMのz/Architectureは健在です。z17は2025年4月8日に発表され、6月18日に一般提供されました。Telum IIプロセッサは8コア5.5GHz動作でコアあたり36MBのL2キャッシュを持ち、IBMはz17について最大4,500億回／日のAI推論を1ミリ秒の応答時間で処理できると公称しています（ベンダー公称値です）。専用アクセラレータのSpyreも2025年10月28日に一般提供が始まりました。Power側はPower11が2025年7月8日に発表、7月25日に一般提供されています。

SPARCについては「終息」と一言で片づけると実態を見誤ります。新規CPU開発の主流からは外れましたが、富士通のSPARC M12は2029年8月まで販売、2029年11月まで出荷、2034年11月までサポートが予定されています。移行計画を立てる立場からは、この時間軸のほうが重要です。

組込み領域では、Xtensa、ARC、AVR、PIC、ルネサスのRXやSuperH、そして8051系までが現役で動いています。出荷個数で見ればこちらのほうが圧倒的ですが、性格がまったく違うので、データセンターのISA議論と同じ土俵で比較する意味はほとんどありません。

7. TOP500から見た構図

2026年6月のTOP500（第67版）では、中国のLineShineがHPLで2.198エクサフロップスを記録して1位に立ちました。中国のシステムがTOP500の首位に立つのは、2017年のSunway TaihuLight以来です。深圳の国家スーパーコンピュータセンターに設置され、独自のLingKunプラットフォーム上でLX2（304コア、1.55GHz）プロセッサを1,378万9,440コア分使い、独自のLingQiインターコネクトとKylin OSで動いています。命令セットについてはArmv9系とする報道がありますが、TOP500の公式記載はプロセッサ名と動作周波数にとどまっており、詳細は限定的です。

2位以下はEl Capitan（1.809 EF、AMD EPYC＋Instinct MI300A）、Frontier（1.353 EF、AMD）、Aurora（1.012 EF、Intel）、JUPITER Booster（1.000 EF、Grace Hopper）と続きます。日本の富岳は9位（442 PF）です。AMDは全体で191システムを支えています。

ただしTOP500の読み方には注意が必要です。これは申請されたシステムの登録簿であって、性能や設置台数の市場シェア調査ではありません。中国が安全保障上の理由で申請を控えているシステムがあることは公然の事実ですし、ハイパースケーラのAIクラスタの多くも登録されていません。「HPCではx86が支配的」という言い方は、TOP500の登録システム数の話に限定するべきです。

アーキテクチャの多様性という点では、2026年6月のトップ10は近年でも特に混在しています。AMD EPYC＋Instinct、Intel Xeon＋Data Center GPU Max、Arm系のGrace Hopper、そして中国独自プラットフォーム。単一のISAが支配する構図はもう成立していません。

8. 国家戦略としてのCPU

ISAの選択が技術判断だけで決まらなくなって久しいですが、その傾向は強まる一方です。

中国は多層的な自給体制を敷いています。ライセンスも輸出規制も回避できるRISC-Vを国家的に推進し（2025年3月にはRISC-V国産化促進の政府指針が準備されているとReutersが報じました）、独自ISAのLoongArch、x86ライセンスを持つHygonとZhaoxin、Arm系のPhytiumを並行させる形です。ただし性能主張はメーカー公称が多く、独立したベンチマーク検証がそろっていないため、競合比較にそのまま使うのは危険です。同一コンパイラ・同一メモリ構成・同一電力枠での第三者測定がなければ、数字は参考値にとどめるべきでしょう。

欧州はEuropean Processor Initiativeの流れでSiPearlがRhea1を開発しており、80基のArm Neoverse V1コアを載せたこのチップは2025年7月にテープアウトを完了しました。プロセッサ主権を掲げた取り組みですが、Armアーキテクチャに依存している点で「主権」の範囲は限定的です。

日本では、Rapidusが2nm GAAの試作に成功し2027年の量産開始を目標に掲げています（外部分析では2027年度後半の立ち上がりと2028年のフルボリュームを想定する見方が強く、あくまで目標として読むべきです）。CPU設計側では、理化学研究所が富士通・NVIDIAと共同で進める「富岳NEXT」が2030年頃の稼働を目指しており、CPU部にArmベースのFUJITSU-MONAKA-X、アクセラレータにNVIDIA GPUを組み合わせる構成が公表されています。理研の公式発表では富岳比で5倍以上のハードウェア性能を目標とし、FP8疎行列で600エクサフロップス超のピーク性能を掲げています。AIアクセラレータではPreferred NetworksのMN-Coreが独自路線を続けています。

これらに共通するのは、ISAを国産化しようとしているわけではないという点です。日本も欧州もArmという他国発のISAの上で、実装と製造の主権を確保しようとしています。「ISA主権」と「シリコン主権」は別物であり、実際に交渉力を生むのは後者だという判断が働いているように見えます。

9. 2030年に向けた見通し

ここからは筆者の見立てです。確定した事実ではないので、判断が変わる条件とセットで書きます。

論点	筆者の見立て（推定）	判断が変わる条件
Armのサーバー台数シェア	AIホストCPU需要が続く限り上昇するが、汎用サーバーの置き換えはゆるやか。2030年時点でも台数で過半には届かないと見る	Mercury推計の台数シェアが20%を超えたら、上昇ペースの見直しが必要
x86の防衛	EAGによるISA統一は正しい方向だが、勝敗を決めるのは製造。2030年まで確実に生き残るが、成長領域はAI周辺から外れる	Intel 14Aが大口外部顧客を確保し歩留まりが改善するか、逆に中止となるか
RISC-Vのサーバー参入	エッジ・AIアクセラレータ・中国市場では確実に伸びる。汎用サーバーでx86/Armを脅かす水準には2030年までに到達しないと見る	Server Platform 1.0準拠機がハイパースケーラで本番採用された時点で見直す
ISAは差別化要因か	単独では違う。ただしライセンス経済、エコシステムの慣性、地政学的中立性という3点で戦略的意味は残る	チップレット標準（UCIe）でISA混在が容易になれば、さらに相対化が進む
CPUベンダーの顔ぶれ	ArmとNVIDIAの直販参入で、CPU市場はIntel/AMDの複占から多極化へ。ハイパースケーラの内製も続く	Arm AGI CPUとVeraの独立ベンチマークが公称値を下回った場合

「ISAはもはや差別化要因ではない」という論をどう評価するか。妥当性は高いのですが、単純化しすぎでもあります。AMDは2025年に「Arm ISAがx86に対して効率面の優位を持つわけではない」と主張しており、これは技術的には概ね正しい。実際、勝負を決めているのはマイクロアーキテクチャの実装、製造ノード、メモリとパッケージング、ソフトウェアの成熟度です。

それでもISAが無意味にならないのは、3つの理由からです。第一にライセンス経済（RISC-Vのロイヤリティフリーは、大量に内製するプレイヤーには実質的な意味を持つ）。第二にエコシステムの慣性（x86のレガシー資産とArmのモバイル資産は、技術的優劣とは別に移行コストを規定する）。第三に地政学的中立性（輸出規制の対象になりうるかどうかは、国家プロジェクトでは技術性能より重い変数になることがある）。したがって「ISAは唯一の差別化要因ではないが、依然として戦略的な選択肢である」というのが、より正確な表現でしょう。

10. まとめ

• 現役ISAは x86-64 と AArch64 の2大勢力に、成長中の第3極RISC-V、そしてIBM z/Power、中国独自ISA、組込み系が併存する構図。この骨格は当面変わらない
• 「Armがサーバー売上の45%超」は完成システムの売上ベース、「13.6%」はCPU出荷台数ベース。同じ市場を別の物差しで測った数字であり、混同すると判断を誤る
• 2026年の本質的な変化は、ArmとNVIDIAが完成CPUの直販に踏み込んだこと。CPU供給者の顔ぶれが多極化し、Armは自社ライセンシーと競合する立場になった
• x86陣営はEAGでISAの分断を修復しつつあるが、競争力の鍵はIntel 14Aの外部顧客獲得という製造側の問題に移っている
• RISC-VはRVA23とServer Platform 1.0で土台が整い、OS側も追いついた。ただし出ているサーバーは開発・検証用が中心で、本番量産の実績はこれから
• TOP500では中国のLineShineが首位に立ったが、TOP500は申請システムの登録簿であって市場シェア調査ではない
• 主権の議論において、各国が目指しているのはISAの国産化ではなく実装と製造の掌握。「ISA主権」と「シリコン主権」は分けて考える必要がある

ISAの数を数えることには、もうあまり意味がありません。数えるべきは、そのISAの上に何が積み上がっているか、誰がそれを実際に製造できるか、そして自分たちのワークロードがどこで一番安く速く動くか、です。この3つを個別に評価する習慣をつけておけば、次に派手なシェア数字が流れてきたときも、落ち着いて読めるはずです。