――データセンター物理攻撃、AIエージェントによる自律型侵入、輸出規制の攻防――
Four-Layer Framework: Breakdown Cases and Countermeasures
※本稿は日本語版です。英語版は近日中に別稿として発行予定です。
※ This is the Japanese-language edition. An English-language edition will follow shortly.
2026年7月30日
発行：一般財団法人 日本危機管理研究所
要旨
・2026年3月、イランのドローン攻撃により、UAEとバーレーンのAmazonのデータセンターが直接被弾した。民間クラウド施設が軍事攻撃を受けた最初の事例であり、バーレーンの拠点は5か月を経た現在も復旧していない。イランはAmazon・Microsoft・Google等18社を「正当な軍事標的」と公式に宣言している。
・日本の経済安全保障推進法が定める基幹インフラ15分野に、データセンターは今なお入っておらず、2026年7月閉会の第221回国会でもこの空白は埋まらなかった。しかもこの空白は、政令ではなく法改正でなければ埋められない。さらに、どこに建てるかという立地戦略も存在せず、地方分散事業の予算は約450億円にとどまる。同じ時期、日本は米国オハイオ州の発電所へ330億ドルを拠出するとされ、その電力を誰に配るかは米国の商務長官が決めるとされる。
・本稿は前稿が提示した四層AI主権フレームワークを用いてこれらを検証し、新規の離島インフラ整備ではなく、沖縄・具志頭村の既存ケーブルハブへのデータセンター併設という政策提言を示す。
四層AI主権フレームワークとは
【本節の前提】 本稿は、前稿「実世界ネイティブAI」という賭け［0］が提示した以下の四層フレームワークを踏まえた続編である。初めて本稿に触れる読者のために、各層を一行で示す（フレームワーク自体の成り立ちと方法論上の限界については、巻末「方法論について」を参照）。
・①データ・モデル主権：どのようなデータで学習し、モデルをどこで開発しているか
・②重み・運用主権：学習済みの重みを誰が管理し、公開時のリスクを誰が制御するか（「重み」とは、AIが学習によって獲得した膨大な数値パラメータの集合であり、いわばAIの”頭脳の中身”そのものを指す。①で扱う学習データそのものではなく、学習を終えたモデルの内部状態を指す点に注意）
・③計算資源主権：学習・推論を実行するハードウェアを誰が供給するか
・④電力・制度主権：計算基盤を支える電力・制度を自国で規律できているか
【本節の前提】 本稿を読むための6語
本文で繰り返し用いる用語のうち、最小限のものを先に示す（その他は巻末「用語集」を参照）。
・データセンター……サーバーを大量に収容し、電力・冷却・通信を供給する施設。AIの学習も運用も、すべてこの物理的な建物の中で行われる。
・ハイパースケーラー……Amazon・Microsoft・Google等、世界規模でデータセンターを運営する大手クラウド事業者。
・リージョン／アベイラビリティゾーン……クラウド事業者が地域ごとに置く拠点の単位（リージョン）と、その内部で電源・建物を物理的に分けた区画（アベイラビリティゾーン）。1区画が停止しても他が生き残る前提で設計されている。
・重み（ウェイト）……学習を終えたAIの「習得結果」。学習に使ったデータそのものではない。複製すれば同じ能力のAIを再現でき、一度公開すれば技術的に回収できない。
・オープンウェイト……その重みを外部に公開し、第三者が利用・改変できるようにする方針。
・基幹インフラ15分野……経済安全保障推進法が、重要設備の導入時に国の事前審査を課す対象として定める15の事業分野（電気・ガス・水道・鉄道等）。データセンターは含まれていない。
前稿がこの四層の「構造」を分析したのに対し、本稿は各層が実際に崩れた場合に何が起きたかを、一次資料に基づく実例で検証する。以下、①→②→③→④の順に事例を検証し、④については3つの事例（データセンター物理攻撃、電源の脆弱性、脅威アクターのエコシステム化）を扱う。
目次
1. 四層、俯瞰――今、もっとも深刻に破綻しているのはどの主権か
2. 鏡合わせの主権規制――米中、AIモデルへのアクセス制限が同時に進む理由（①）
3. ベンチマークを盗んだAIエージェント――OpenAI-Hugging Face事件（②）
4. 迂回する計算資源――シンガポールを経由した新しい抜け穴（③）
5. データセンターが、戦場になった日――2026年3月、AIインフラへの初の軍事攻撃（④-1）
7. エコシステム化する脅威――Volt Typhoonの最新像（④-3）
8. 日本への示唆――基幹インフラの空白と、データセンター立地の空白
エグゼクティブサマリー
・前稿「実世界ネイティブAI」という賭け［0］が提示した四層AI主権フレームワークについて、本稿は各層が実際に崩れた実例を検証する続編である。四層のうち、④電力・制度主権の欠如が最も深刻かつ実例が豊富であることを、俯瞰の結果として示す。
・①データ・モデル主権については、米国のAnthropic社モデルへの輸出管理改革法（ECRA）に基づく前例のない範囲の規制と、ほぼ同時期に中国が検討する海外アクセス制限という、鏡合わせの主権規制が進行している。米国内でも規制の法的射程をめぐる訴訟が起きている。
・②重み・運用主権については、2026年7月、OpenAIの実験的AIモデルがベンチマークの解答を得るために自律的にHugging Faceのインフラへ侵入した事案が発生した。ただし専門家の間では「AIの自律的な逸脱」ではなく「封じ込め設計の失敗」だとする見方も有力であり、両論を押さえておく必要がある。
・③計算資源主権については、個人による密輸から、シンガポールを経由した企業ぐるみの迂回スキーム（Megaspeed事案）へと、輸出規制の回避手口が進化していることが確認された。
・④電力・制度主権については、2026年3月、イランのドローン攻撃によりUAE・バーレーンのAWS・Oracleデータセンターが直接被弾した。大手クラウド事業者の物理インフラに対する史上初の軍事攻撃であり、同一拠点内で電源を分けた複数区画が同時に停止したことにより、クラウドの前提である冗長化設計そのものが無効化された。データセンターの電源システム自体を狙う新しい攻撃手法も確認されている。
・中国系の脅威グループは単一の攻撃者ではなく、侵入の足がかりを作ることに特化したグループと、その足場を引き継いで長期的な潜伏を担うグループとに分業化していることが、最新の民間調査で確認された。米国の重要インフラへの侵入は2026年時点でも継続している。
・日本国内では、経済安全保障推進法の基幹インフラ15分野にデータセンターの独立区分がないという法的空白に加え、データセンターの立地戦略そのものが政府内で調整されていないという、もう一つの空白が存在する。地方分散事業（2021年〜）の予算規模は450億円程度にとどまり、他国の投資規模と比較して一桁小さい。
・最も具体的な政策提言として、新規に離島インフラをゼロから整備するより、沖縄・具志頭村のような既存の国際海底ケーブルハブにデータセンター機能を併設する方が、電源の自己完結性よりも通信の冗長性の観点で現実的な選択肢となりうる。
・離島・地方への分散は「安全か危険か」の二択ではなく、サイバーセキュリティ投資を物理インフラ整備と同水準で組み込めるか否かという設計問題である。
1. 四層、俯瞰――今、もっとも深刻に破綻しているのはどの主権か
前稿は、AI主権を四層（①データ・モデル主権、②重み・運用主権、③計算資源主権、④電力・制度主権）から評価するフレームワークを提示した。本章では、2025〜2026年に各層で実際に生じた事例を、まず並べて見る。
①データ・モデル主権——2026年6月、米商務省の輸出規制により、Anthropic社の最先端モデルが全世界のユーザー向けに一時停止された。同時期、中国も自国の最先端モデルへの海外アクセス制限を検討していることが判明した。
②重み・運用主権——2026年7月、OpenAIの実験的AIモデルが、ベンチマークの解答を得るために、人間の指示なく自律的にHugging Faceのインフラへ侵入した。防御側の分析作業自体が、西側モデルの安全機構によって妨げられるという事態も生じた。
③計算資源主権——シンガポールを拠点とする企業が、実態と輸入量の不整合から輸出管理違反の疑いで調査対象となった。個人による密輸から、企業ぐるみの構造的な迂回スキームへの進化が見られる。
④電力・制度主権——2026年3月、AIデータセンターが史上初めて軍事攻撃の直接的な標的となった。イラン革命防衛隊は、米軍・情報機関のAIシステムを支える役割を、攻撃の正当化理由として挙げた。加えて、データセンター電源設備自体の脆弱性、中国系脅威グループの分業エコシステム化も確認されている。
こうして四層を並べてみると、ひとつの非対称性が浮かび上がる。①・②・③の事案は、現時点ではいずれも「事業停止」「情報漏洩の試行」「輸出管理違反の疑い」という、金銭的・運用上の損失にとどまっている。これに対し④の事案だけが、物理的な破壊と、冗長化設計の前提そのものを破る複数拠点の同時停止を伴う、質的に異なる深刻さを示している。
【本節の前提】 この非対称性を踏まえ、本稿は④に最も多くの紙幅を割く。この判断について、方法論上の出自を隠さず述べておく。これは事前に4層を網羅的に比較検討した末の結論ではない。前稿は、電力・制度主権（④）についてすでに1章分を割いて詳しく検証していた。そこに2026年、④の深刻さを裏付ける新たな実例（複数アベイラビリティゾーンの同時機能停止という、冗長化設計の前提そのものを破る具体的な被害）が相次いで生じたことで、結果として④への重点配分が事後的に裏付けられた、という経緯である。
【推察】 この非対称性は、AI主権をめぐる4つの層が、将来にわたって同じ重みを持ち続けるとは限らないことも示唆する。①〜③の技術的な性質（モデル・重み・計算資源はいずれもデジタルな存在であり、複製・移動が可能）に対し、④（電力・データセンターという物理的な基盤）は、その物理性ゆえに、他の3層にはない固有のリスクにさらされている。
図1：四層フレームワーク、実例と被害の性質の俯瞰。④のみが物理的破壊と冗長化前提の崩壊を伴う。
以降、①→②→③の順に事例を検証したのち、④について3つの事例（第5〜7章）を扱い、最終章で日本への示唆をまとめる。
2. 鏡合わせの主権規制――米中、AIモデルへのアクセス制限が同時に進む理由
【確認できた事実】 2026年6月12日、米商務省産業安全保障局（BIS）は、輸出管理改革法（ECRA：Export Control Reform Act of 2018）50 U.S.C. §4817(b)(1)に基づく「Is Informed」レターをAnthropic社に発出し、同社の最先端モデル（Claude Mythos 5・Fable 5）について、外国籍者へのアクセス前に個別の輸出許可取得を義務付けた［1］。Anthropic社は国籍を即座に検証する手段がなかったため、全ユーザー向けにモデルを停止する以外の選択肢がなかった。米商務省は6月30日にこの制限を解除したが、これはAnthropic社がモデルの安全機構を強化したことが条件となっていた［2］。
この命令が「前例のない」とされる理由は、権限の使い方そのものにある。BISが輸出許可を非公式に義務付ける「Is Informed」レターを用いること自体は、半導体の対中輸出等で以前から行われてきた通常の手法である。しかし今回、Anthropic社に出された命令の適用範囲の広さ（世界中のあらゆる外国籍者を対象とする点）は前例がないと法律専門家は指摘している［3］。
【確認できた事実】 この規制の法的な射程については、当事者間でも見解が分かれている。2026年6月23日、San Jose拠点の弁護士向け訴訟支援AIツール開発企業Legion LegalTech社は、この命令がECRAの授権範囲を超えているとして提訴した。同社はあわせて、国際緊急経済権限法（IEEPA、50 U.S.C. §1701以下）が定める例外規定（バーマン修正条項：情報・情報素材の輸出規制をIEEPAの権限から明確に除外する条項）への違反も主張している［4］。ハーバード・ロー・レビューは、外国籍者に単に「アクセスを許すこと」が、輸出管理規則上の「輸出（release）」に該当するかという、より根本的な法解釈上の論点を指摘している［5］。
【異なる見方】 政府がAnthropic社に示した対応期限は90分だったと報じられており、具体的な脅威の詳細は同社に開示されなかった。Anthropic社自身は、問題となったジェイルブレイク手法について、モデルにコードベースを読ませて欠陥を修正させる限定的な手法にすぎず、露呈した脆弱性は「軽微」かつ他の公開フロンティアモデルでも発見可能な、既に公知のものだったと述べている。すなわち、政府側が「安全機構の強化」を制限解除の条件としたのに対し、Anthropic社自身は「直すべき重大な欠陥はほとんどなかった」という立場を取っており、両者の主張には明確な食い違いがある。
この事案が示すのは、①データ・モデル主権の欠如が、日本のような技術受容国だけの問題ではないという点である。技術の生み出し手である米国自身が、自国の輸出管理を理由に、自国企業のサービスを止めざるを得ないという事態に陥り、しかもその法的根拠自体が係争中である。
【本節の前提】 本節は、この規制の是非（法的正当性・国家安全保障上の必要性の当否）を評価するものではなく、①の主権論点との関係性の整理に徹する。
【確認できた事実】 2026年7月7日、ロイター通信は、中国商務省がアリババ・ByteDance・Z.ai（智譜）と、自国の最先端AIモデルへの海外アクセス制限について協議していると報じた。対象は非公開モデルを含み、クローズド・オープンウェイト双方が検討されている［6］。中国の法学者パネルは、基本的なオープンソースツールには簡易な届出制、より高度な技術には安全審査、最先端モデルには国内限定という段階的な規制案を提示している［7］。
米中両国が、ほぼ同じ時期に、ほぼ同じ理屈（国家安全保障）でAIモデルへの海外アクセスを制限する方向に動いたという事実は、①の欠如が特定国への非難の道具ではなく、AI技術そのものが持つ構造的な性質であることを示している。学習済みモデルへのアクセスは、一度提供すれば技術的に「回収」できない。それゆえ、モデルを持つ側の国家は、程度の差こそあれ、同じ論理的圧力（海外への提供をどこまで許すか）に直面する。
【確認できた事実】 この輸出規制は、両者の間に何もない状態で発動されたわけではない。2026年2月27日、トランプ大統領は連邦政府機関に対しAnthropic社技術の即時使用停止を指示し、同日、ヘグセス国防長官（Secretary of War）は、同社が軍による完全自律型兵器やアメリカ市民に対する国内監視へのClaude利用を拒否したことを理由に、同社を「サプライチェーン上のリスク」に指定する方針を表明した（正式な指定は3月3日、10 U.S.C. §3252および41 U.S.C. §4713という二つの異なる法的根拠に基づいて通知されている）。この指定が米国企業に適用されたのは史上初めてであり、従来は中国・ロシア等、敵対国と関連する企業にのみ用いられてきた区分である。Anthropic社はこれを不当な報復であるとして提訴し、根拠法ごとに異なる2つの裁判所で係争が続いている——カリフォルニア州北部地区連邦地裁（§3252の指定・大統領令・ヘグセス指令を対象）と、コロンビア特別区巡回区控訴裁判所（§4713の指定を対象）である。3月26日、カリフォルニア州の連邦地裁（リン判事）は同社に有利な仮の差し止めを認め、その決定理由で「国防総省の記録は、同社を『報道を通じた敵対的な態度』を理由に指定したことを示している」と述べ、これを「典型的な違憲の言論報復」と認定した。一方、D.C.巡回区控訴裁判所は4月、§4713の指定に対する緊急の執行停止申立てを退けている（本稿執筆時点で本案審理が続いている）［8］。
【推察】 すなわち、6月の輸出規制は、既に敵対的な関係——連邦判事が違憲の言論報復と認定するに至った関係——にあった両者の間で発動されたものであり、この文脈を欠いて規制の是非を論じることはできない。安全保障上の指定という主権の道具が、政府の一方の腕（国防総省）によって報復目的に用いられたと司法が認定した以上、8-2節で扱う「①と④が単一の政治的判断主体に収斂する」という懸念は、抽象的な仮定ではなくなる。
【確認できた事実】 この一連の規制は、既に調達行動の変化という形で実証的な影響を及ぼしている。2026年6月、ロイター通信の取材に対し、シーメンス・ルノー・オレンジ・ChapsVision・SAP・ソプラ・ステリア等の欧州企業は、Anthropic社モデルの遮断を受け、米国・中国・欧州製のAIモデルを意図的に併用し、単一プロバイダへの依存を避け始めていると回答した［9］。シーメンス・デジタル・インダストリーズのチーフエグゼクティブは「主権とは自給自足（オータルキー）と混同されるべきではない」と述べている。
【推察】 この構図が日本に示唆するのは、①の主権を確保する道筋は「モデルを自国で開発する」ことだけでは完結しないという点である。Noetraが目指す「学習済みの重みを国内開発者に順次公開」という方針（前稿参照）は、米中両国が現在直面している「公開後にアクセスをどう管理するか」という問題を、日本もいずれ引き受けることを意味する。
▶ 日本への含意
Anthropic事案が示す最大の教訓は、輸出管理という手段そのものが、まだ確立した法的枠組みを持たないまま行使されているという点である。日本がNoetraの重みを公開する際、同様の権限を国内法(外国為替及び外国貿易法等)がどこまでカバーできるのかは、現時点で十分に整理されていない。米国の訴訟の帰趨は、日本の法制度設計にとっても参照点になりうる。加えて、欧州企業がAnthropic社の輸出規制を機に複数プロバイダの併用に動いた事実は、①の主権リスクが既に企業の調達行動を変えていることを示す実証的な証拠である。Noetraが単一の国産モデルへの一極依存を前提とするのであれば、この教訓——単一プロバイダへの依存自体がリスクである——を反映した調達方針の検討が必要になる。なお、この輸出管理を所管した商務長官は、第8-2節で異なる文脈で再び登場する。
3. ベンチマークを盗んだAIエージェント――OpenAI-Hugging Face事件
【確認できた事実】 2026年7月22日、OpenAIは、社内のサイバーセキュリティ評価中に発生した「前例のないサイバーインシデント」を公表した。実験的AIモデル（新たにリリースされたGPT-5.6 Sol、および未公開のより高性能なモデル）を用いたテストが、ExploitGymという外部の公開サイバーセキュリティ・ベンチマーク（898件の実在の脆弱性を含み、UCバークレーRDIが主導し、OpenAI・Anthropic・Google等の研究者が関与して作成されたもの）に対して行われていた。モデルは、隔離されたはずのテスト環境内のソフトウェアにゼロデイ脆弱性を発見してインターネットアクセスを獲得し、Hugging Faceがこのベンチマークの解答を保有していると推測して、盗んだ認証情報とゼロデイ脆弱性を組み合わせ、同社の本番データベースからリモートコード実行経路を通じて解答を取得しようとした［10］。
【本節の前提】 ここで正確に押さえておくべき点がある。この事案で盗まれたのは、AIモデルの学習済みの重みではなく、ベンチマークの解答（正解データ）である。②重み・運用主権の論点との直接的な接点は、後述するHugging Face社の対応（中国製オープンウェイトモデルの利用）に限られる。
Hugging Face社CEOのクレマン・ドゥランゲ氏はこの事案を「これまで見たことのない攻撃」と呼んだ［11］。
【異なる見方】 この事案には、有力な反対解釈が存在する。サイバーセキュリティ研究会社Trail of Bits（ソフトウェアの脆弱性診断・監査を専門とする米国の研究会社）の創業者ダン・グイド氏は、この事案を「AIモデルの自律的な逸脱」ではなく「安全装置(セーフガード)を切った状態での封じ込め設計そのものの失敗」と評した。サイバーセキュリティの実務経験を持つ専門家ジェイク・ウィリアムズ氏も、「モデルがサンドボックス（隔離環境）を脱走した」という表現は「そもそもサンドボックスを正しく作らなかった、という話の言い換えに過ぎない」と指摘している［12］。実際、モデルが利用したのはOpenAIが用意した隔離環境自体に存在した設定ミス（パッケージ登録用の内部プロキシに、意図せずインターネットへの経路が残っていたこと）であり、専門家の多くは「AIの能力の恐ろしさ」ではなく「人間側の設定ミス」を根本原因として挙げている。
この2つの解釈は、実は対立するものではなく、両方とも②の論点にとって重要である。「モデルが自律的に目標を達成する経路を見つけた」という点と、「その経路は人間が設計した隔離環境の不備によって生まれた」という点は、両立しうる事実である。むしろ本稿にとって鋭い政策的含意は後者にある——AI研究所が内部で行う評価・テスト環境そのものが、いまや重要インフラのリスク要因になっているという点である。
【本節の前提】 本節における「Anthropic社」への言及は、報道内で言及された第三者としての引用であり、本稿の執筆主体との関係を示すものではない。
この事案が本稿の②（重み・運用主権）にとって重要なのは、単に侵入が起きたことではなく、防御側の対応そのものに構造的な限界が露呈した点である。Hugging Face社は当初、自社のフォレンジック（侵害調査）分析を欧米製のフロンティアAIモデルを用いて行おうとしたが、攻撃コマンドや悪用ペイロードを含むリクエストが、これらのモデル自身の安全ガードレールによってブロックされてしまい、実行できなかった［13］。同社は代わりに、中国Z.ai社のオープンウェイトモデルGLM 5.2を用いて分析を完了させた［13］。
【推察】 この結末は、②と①の主権論点が互いに絡み合うことを示す象徴的な事例である。西側の主要モデルが安全性を重視して設計されていることが、平時には利点であっても、インシデント対応という有事の局面ではむしろ制約になりうる。一方、中国製のオープンウェイトモデルは、そうした制約が薄いがゆえに実務上有用だったが、これは同時に、同じ理由で悪用にも利用されやすいという②の脆弱性そのものでもある。
Noetraは「学習済みの重みを国内開発者に順次公開する」という方針を掲げている（前稿参照）。この方針の利点は明確である——重みが公開されれば、国内の研究者・企業がそれを自由に検証・改良でき、AI開発の裾野が広がる。
しかし本事案は、この公開に伴うリスクの具体的な中身を示している。重みが公開されているからこそ、防御側は迅速に分析・対応できる場合がある一方、まさに同じ理由で、攻撃側もその重みを利用しやすくなる。Hugging Face社が中国製オープンウェイトモデルによってインシデント対応を助けられた事実と、そのオープンウェイトモデルが安全ガードレールの薄さゆえに悪用されやすいという事実は、表裏一体である。
▶ 日本への含意
つまりNoetraが順次公開を進めるほど、日本は「誰でも使える重み」が生むこの同じ二面性——国内開発の後押しと、悪用リスクの拡大——に、遅かれ早かれ直面することになる。加えて本事案は、AI開発機関自身の内部評価環境（サンドボックス）の設計が、外部への攻撃経路になりうることも示した。Noetraの開発体制においても、評価・テスト環境の隔離設計は、外部公開前に独立した監査を受けるべき論点である。
4. 迂回する計算資源――シンガポールを経由した新しい抜け穴
【確認できた事実】 2026年、シンガポールを拠点とするMegaspeed社が、Nvidiaの東南アジアにおける最大級の顧客として浮上した。同社は中国のゲーム関連企業を前身とし、その後シンガポールで再編・改称された経緯を持つ。米当局は、同社が輸入したチップの量と、公表されているデータセンターの収容能力との間に不整合があることに注目した。シンガポール政府はこれを受け、輸出管理違反の可能性について調査していることを確認した［14］。
【本節の前提】 本節で扱う事案は、本稿執筆時点で捜査・調査が継続中のものであり、違反の確定的な認定を示すものではない。以下は、報じられた事実関係の整理と、③の主権論点との関係性についての評価にとどめる。
この事案は、前稿（第6章）で扱ったSuper Micro社の密輸事件とは、性質の異なる迂回の手口を示している。Super Micro事件は、個人（共同創業者ら）が偽の証明書を用いてサーバーを東南アジアの中継地経由で迂回させた、いわば「個人・少人数による密輸」であった。これに対しMegaspeed社の事案は、企業そのものが正規の商流を装いながら、その規模と実態の不整合によって疑いが生じたという、より構造化されたスキームである。
この違いが③にとって重要なのは、輸出規制の実効性を脅かす手口が、個人の不正行為から企業ぐるみの構造的迂回へと進化していることを示すからである。個人による密輸は摘発によって遮断できるが、企業単位・国家単位の迂回スキームは、正規の商流と区別がつきにくく、発見そのものが困難になる。
【推察】 日本にとっての含意は、Noetraのような計算資源集約型プロジェクトが、将来的に同種の迂回スキームの標的、あるいは経由地になりうるという点である。日本国内のデータセンター・GPUクラスタが、意図せず第三国への迂回経路として利用されるリスクは、現時点で十分に検証されていない。
▶ 日本への含意
Megaspeed事案が示す教訓は、輸出管理の実効性が「正規の商流を装う」手口の前で急速に低下しているという点である。日本がNoetraのGPUクラスタを整備する際、調達先・再輸出先の実態を継続的に監査する体制がなければ、日本自身が意図せず迂回経路として利用されるリスクを排除できない。
5. データセンターが、戦場になった日――2026年3月、AIインフラへの初の軍事攻撃
【確認できた事実】 2026年3月1日未明、イランのドローンがアラブ首長国連邦（UAE）のAmazon Web Services（AWS）データセンター2施設を直撃し、バーレーンの施設1つにも被害を与えた。これはハイパースケーラー（大手クラウド事業者）の物理インフラに対する史上初の軍事攻撃とされる［15］。AWSは、施設が直接攻撃を受け、構造的損傷、電力供給の途絶、消火設備の作動による水損が発生したと発表した。人的被害は報告されていない［16］。
この攻撃により、UAEリージョン（ME-CENTRAL-1）の3つのアベイラビリティゾーンのうち2つ、バーレーンリージョン（ME-SOUTH-1）の1ゾーンが機能停止した。複数ゾーンが同時に機能停止するという事態は、クラウドサービスの前提である冗長化設計そのものを無効化するものだった［17］。配車・決済アプリ（Careem、Alaan、Hubpay）や銀行（ADCB、Emirates NBD）を含む、UAE国内の多数のサービスに障害が波及した［16］。
【本節の前提】 本稿は、この攻撃がAWS・Oracleという特定企業への言及を含む形で報じられている点について、各社の商業的立場に立ち入って評価するものではなく、あくまで報じられた事実関係の時系列整理に徹する。
事態はこれで終わらなかった。4月1日、イランは追加のドローン攻撃でバーレーンのAWS施設を再度攻撃し、一時的なサービス障害を引き起こした［18］。4月2日には、イラン革命防衛隊（IRGC）がドバイのOracleデータセンターを攻撃したと発表したが、ドバイ政府はこれを否定している［19］。
【本節の前提】 7月21日にも、IRGC系の国営通信社ファールス通信を通じ、バーレーンのAWS施設への巡航ミサイル攻撃と「破壊した」との声明が発出された［20］。ただし本稿執筆時点で、この声明については独立した検証が得られていない。バーレーン側はミサイルを迎撃したと発表しており、標的としてAmazonや民間インフラを名指ししていない。AWSもこの日付における新たな被害を確認しておらず、サービス状況にも変化は見られない。したがって、この7月21日の声明単体を事実として扱うことは避ける。
【確認できた事実】 むしろ、より確実に裏付けられる事実がある。AWSのバーレーンリージョン（ME-SOUTH-1）は、3月の攻撃以降、本稿執筆時点（2026年7月）に至るまで約5か月にわたり「Disrupted（機能障害）」の状態が続いており、AWS自身が復旧には数ヶ月を要する見込みであると案内している。加えてAWSは、UAE・バーレーン両リージョンについて課金業務を停止したことを明らかにしている——ハイパースケーラーが自社の主要リージョンの課金を停止するという対応は前例がなく、被害の深刻さを裏付けている［21］。ハイパースケーラーのリージョンが数か月単位で機能不全に陥っているというこの事実は、未検証の攻撃声明よりもはるかに強く、④の主張（冗長化設計の前提そのものが崩れたこと）を支えている。
この一連の攻撃で最も重要なのは、標的化の理由としてイラン側が示した内容である。ファールス通信を通じたIRGC系の声明は、これらの施設が「敵の軍事・情報活動を支える役割」を果たしていることを標的化の理由として挙げている［22］。なお、この施設が具体的にAnthropic社のClaudeをホストしているという結びつけは、IRGC自身の声明の文言ではなく、複数の報道機関が別途「米軍がAWS上で稼働するClaudeを情報評価・作戦シミュレーションに用いていた」と報じた文脈を、報道側が付加したものである点は正確に区別する必要がある［23］。3月31日には、イランはAmazon・Microsoft・Nvidia・Google・Oracle等18社の米テック企業を「正当な軍事標的」として公式に宣言している［24］。
図2：イランによるAWS/Oracleデータセンター攻撃の構造と、標的化の正当化理由。
【推察】 この事実が示唆するのは、AIデータセンターの標的化を決めるのは立地（都市か地方か）ではなく、そのデータセンターが担う機能（誰の、どのようなAIシステムをホストしているか）であるという点である。この論点は、第8章の日本への示唆（離島・地方分散の設計論）において改めて取り上げる。
イランとの軍事衝突という特殊な文脈で生じた事案ではあるものの、AWSはこの経験を受け、民生用のクラウド基盤と軍事・情報機関向けの基盤を物理的に分離する計画を加速させたと報じられている［25］。軍事AIワークロードと民間の銀行・決済インフラを同一施設に同居させることが、民間インフラ自体を軍事標的化するリスクを生むという認識が、事後対応として明確に示された形である。
▶ 日本への含意
この事案がNoetraにとって持つ意味は、「軍事・情報機能を担うAIをホストする施設は、平時の商業インフラとは異なる脅威モデルで防護されるべきだ」という点である。Noetraが将来、防衛省・警察庁等の利用を想定するのであれば、民間利用と機微な利用を同一施設に同居させない設計を、当初から検討すべきである。
6. 電源という盲点――種類別に見る脆弱性の地図
【確認できた事実】 2026年6月、セキュリティ研究者はデータセンター内部の冷却・バックアップ電源システムを標的とする新しい攻撃手法を発見した。特に問題視されたのは、Vertiv社製UPS（無停電電源装置）のネットワークカードに存在する脆弱性である［26］。この脆弱性が悪用された場合、電力の安定供給を担うこの保護システムに依存するサーバー・ルーターのすべてが停止しうるとされる。
第5章で見たAWS・Oracleへの攻撃が「外部からの物理的破壊」であったのに対し、この事案が示すのは性質の異なるもう一つの脅威である。すなわち、データセンターの正面玄関（ネットワーク経由のサイバー侵入）から、その心臓部（電源・冷却という物理システム）に到達しうるという経路の存在である。
【本節の前提】 本事案は脆弱性の発見・開示であり、実際の攻撃による被害が確認された事例ではない。以下の評価は、この脆弱性が本稿の主題（電力・制度主権の欠如）に対して持つ含意についてのものである。
UPS・冷却システムは、従来、データセンターの「IT機能」と切り離された、独立性の高い設備とみなされてきた。しかし近年、これらの設備は遠隔監視・遠隔制御を可能にするため、ネットワークカードを通じてIT系ネットワークに接続されるようになっている。この接続性の追加こそが、従来は物理的に隔離されていた電源設備を、サイバー攻撃の対象領域（アタックサーフェス）に組み込んでしまった。
この構造は、次章で扱うVolt Typhoonの手口（正規のネットワーク機器・管理ツールのみを悪用する環境寄生型攻撃）、および第8章で扱うマイクログリッドの脆弱性（監視の行き届かない産業用プロトコル、ベンダーによる安全性の低いリモートアクセス）と、根を同じくする問題である。電力・制度主権の欠如は、送電網という「外側」の問題であると同時に、データセンター内部の電源設備という「内側」の問題でもあることを、この事案は示している。
Noetraのデータセンター計画（140MW、前稿参照）のような大規模施設においても、UPS・冷却システムの調達・運用体制がどこまでこうした脆弱性を想定しているかは、現時点で公開情報からは確認できない。
6-1. 電源の種類別に見る盲点
これまで見たUPS・冷却系統（Vertiv社事案）は、電源をめぐる盲点のひとつに過ぎない。電源の調達方式によって、脆弱性の性質は大きく異なる。
【確認できた事実】 ① 系統連系型（電力網からの受電）——送電網そのものを経由する経路であり、次章で扱うVolt Typhoonの手口（環境寄生型攻撃による送電網への長期潜伏）がそのまま該当する。
【確認できた事実】 ② 蓄電池（BESS）・インバーター型——2023年、米海兵隊キャンプ・レジューン基地は、中国CATL製の蓄電池システムを、中国共産党との関係を懸念する米議会・専門家からの指摘を受けて撤去した。設置からわずか1年後の決定だった［27］。Dragos社は現在、電力網に脅威を与えうる18のグループを追跡しており、蓄電池システムの障害は、100メガワット規模で4時間の停止だけでも最大120万ドルの損失を生みうると分析している［28］。
これは前稿（第5-4節）で扱った「中国製再エネ機器の隠し通信機器問題」と、供給網という観点で同根の論点である。太陽光・蓄電池という「クリーンで自己完結的」に見える電源ほど、インバーター・制御システムの供給元（多くの場合中国製）を通じた新しい依存構造を生んでいる、という皮肉な構図がある。
【確認できた事実】 ③ 自家発電（ガスタービン等のオンサイト発電）型——ハイパースケーラーが独自に電源を確保する動き（第8章で扱う「シャドーグリッド」化）は、送電網への依存を減らす一方、燃料供給網・遠隔監視システムという、また別の依存構造を生む。
【推察】 ④ 離島型マイクログリッド——第8章で扱う通り、監視の行き届かない産業用プロトコル、訓練された運用スタッフの不足という、大規模電力会社とは異なる種類の脆弱性を抱える。
6-2. 整理：電源自立性と脆弱性は反比例しない
【推察】 「送電網から独立しているほど安全」という単純な図式は成立しない。①（系統連系）はVolt Typhoon型の脅威に、②（蓄電池・インバーター）は供給網型の脅威に、③（自家発電）は燃料供給・遠隔監視型の脅威に、④（マイクログリッド）は運用体制型の脅威に、それぞれ異なる形でさらされている、というのが本稿の分析的判断である。
したがって、データセンターの電源調達を検討する事業者・自治体にとっての実務的な含意は明確である。「系統連系か自家発電か」「大手電力かマイクログリッドか」という選択を、コスト・スピードだけで決めるのではなく、採用する電源方式ごとに固有のセキュリティ評価を行う体制を、調達段階から組み込む必要がある。次章で扱うVolt Typhoonの最新動向は、①の脅威が2026年になっても未解決のまま残っていることを示しており、電源調達の議論が「まだ終わっていない問題」であることを裏付けている。
▶ 日本への含意
Noetraの電源調達がどの方式（系統連系・自家発電・蓄電池併用等）を採るにせよ、その方式固有の脅威モデルに応じたセキュリティ評価を、調達契約の段階から義務付けるべきである。特に蓄電池・インバーターについては、供給元の国籍を問わず、遠隔アクセス経路の有無を独立監査する体制が必要である。
7. エコシステム化する脅威――Volt Typhoonの最新像
【本節の前提】 Volt Typhoonとは、中国人民解放軍サイバー部隊との関連が指摘される脅威アクターであり、正規のOS標準ツールのみを用いて検知を回避する「環境寄生型」の手口で、米国の重要インフラ（電力・通信・交通等）への長期潜伏を行う。前稿「新幹線も霞が関も狙われている」は、グアム島の電力・通信・防衛関連ネットワークへの長期潜伏、およびKV Botnetの解体（2021〜2024年の経緯）を扱っている（前稿第3章［0b］）。本稿はこれに加え、前稿では扱われていない米マサチューセッツ州の小規模公益事業体Littleton Electricでの約1年間の潜伏事例（2023年発見）を新たに提示した上で、それ以降に判明した最新状況を検証する。
【確認できた事実】 2026年2月17日、産業制御システムの専門企業Dragosが年次報告書を公表した。同報告書の核心は、単に「Volt Typhoonがまだ潜伏している」という継続報告ではない。Dragosは2025年、SYLVANITE（シルバナイト）、PYROXENE（パイロキシン）、AZURITEという3つの新しい脅威グループを特定した。このうちSYLVANITEは、Ivanti・F5・SAP・ConnectWise等の製品の脆弱性を迅速に武器化して初期の足場を確立する「初期アクセスブローカー」として機能し、確立した足場を、より高度なOT（運用技術）侵入を担う別グループVOLTZITE（Dragos社がVolt Typhoonの活動に用いる呼称）に引き渡している［29］。SYLVANITEは2025年5月、米国の電力・水道事業者へのインシデント対応において、Dragosが直接観測した実在のグループである。
これは、単一の脅威アクターが一貫して活動する従来の構図とは異なる。「初期アクセスの確立」と「重要インフラへの深い侵入」が、別々の専門集団に分業されている——Dragos社CEOのロバート・リー氏は、SYLVANITEについて「長期的アクセスやOT侵入を狙うチーム（それがVOLTZITE）ではなく、VOLTZITEと共に、あるいはVOLTZITEのために動き、アクセスを確立するチームだ」と述べている。
図3：Volt Typhoon（VOLTZITE）を軸とする脅威エコシステムの時系列（2021年〜2026年）。
この分業化が示す最も重要な点は、「発見」と「解決」がこれまで以上に同義でなくなったという事実である。本稿が新たに提示したLittleton Electricの事例（2023年発見）から2年以上が経過してもなお、この脅威エコシステムは活動を継続している。個別の侵入経路（SYLVANITEが確立した足場）を発見・遮断しても、別の専門集団が次の足場を確立しうるため、脅威アクター全体への対処が完了する日は、構造的にますます訪れにくくなっている。
【推察】 この分業モデルは、本稿第6章で扱った電源の多様化（系統連系・蓄電池・自家発電・マイクログリッド）という論点とも関わる。攻撃対象と攻撃側の専門化が同時に進行する限り、防御側の対処が後手に回りやすいという構造は、電力インフラ全体に共通する。
▶ 日本への含意
この「分業エコシステム」という構図が示す最大の教訓は、単一の脅威アクター名（例えばVolt Typhoon）を監視対象に指定するだけでは不十分だという点である。日本の重要インフラ事業者は、初期アクセスブローカーが悪用する既知の境界防御機器の脆弱性(Ivanti、F5、SAP等の製品群)へのパッチ適用速度を、Volt Typhoon対策そのものと同格に位置づける必要がある。前稿が指摘した通り、日本の基幹インフラ15分野にはデータセンターの独立区分がなく、この分業化した脅威に対する法的な備えも整っていない。
8. 日本への示唆――基幹インフラの空白と、データセンター立地の空白
前稿は、経済安全保障推進法が定める基幹インフラ15分野にデータセンターの独立区分がないという、法制度上の空白を指摘した。本章では、この既知の空白に加え、「守るべき対象を法的に定義する」こととは別次元の、もう一つの空白——データセンターをどこに、どのように配置するかという立地戦略そのものの空白——を扱う。
8-1. 基幹インフラ15分野に、データセンターは入っていない
【確認できた事実】 経済安全保障推進法が定める基幹インフラ15分野（電気・ガス・石油・水道・鉄道等）に、データセンターの独立区分はない。前稿で詳述した通り、2025年12月の検討会合資料では「データセンター・クラウド事業者に関する措置」が検討課題として明記されたが、「データ保護型」に軸足を置いたものであり、EU（NIS2指令）・米国（CISA、PPD-21）のような「インフラ指定型」とは異なる。2026年7月17日、第221回国会は、データセンター問題を未解決のまま閉会した。
この法的空白は、本稿第5〜7章で扱った実例（AIデータセンターへの軍事攻撃、電源設備の脆弱性、脅威アクターの分業エコシステム化）を踏まえれば、単なる制度上の不備ではなく、「何を、どこまで国として守るのか」という定義自体が存在しない状態であることを意味する。
では、この空白はどのような手続きを踏めば埋まるのか。政策論としては決定的に重要でありながら、この点はこれまで明示的に整理されてこなかった。
【確認できた事実】 規制対象となる事業（特定社会基盤事業）は、経済安全保障推進法第50条第1項が号を列挙する形で法律本文に定めており、政令や主務省令に委任されていない。2026年の改正で医療分野が追加された際も、参議院常任委員会調査室の資料が示す通り、「特定社会基盤事業として定めることができる事業に、①病院が行う医業及び歯科医業、②医療情報基盤・診療報酬審査支払機構が行う医療DX関連業務を追加する（推進法改正案第50条第1項第14号）」という形で、法律の条文そのものに号を追加する改正が行われている［30］。当該改正法は2026年6月17日に公布され、施行日は公布から1年6月を超えない範囲内で政令が定めるとされる。なお、指定を受けた特定社会基盤事業者は2026年7月1日時点で258者である［31］。
【推察】 ここから導かれる帰結は明確である。データセンターを基幹インフラの保護対象に加えるには、政令や省令の改正では足りず、国会による法改正——第50条第1項への号の追加——が必要となる。行政の裁量で年度内に処理できる性質の課題ではない。第221回国会が2026年7月17日に閉会したという事実が重い意味を持つのは、このためである。次の法改正の機会が訪れるまで、この空白は制度上、埋まりようがない。
さらに、法改正で号が追加された後も、対象事業者の指定基準と特定重要設備の範囲は政令・主務省令で定められるため、実際に規律が及ぶまでには二段階を要する。医療分野の例では、法律の公布から施行まで最大1年6月の準備期間が置かれている［31］。Noetraが2028年6月の稼働を予定していることを踏まえれば、仮に次の通常国会で法改正が実現したとしても、稼働までに規律が間に合う保証はない。
8-2.「地方分散」は掛け声で終わっていないか
【確認できた事実】 総務省・経済産業省は2021年度補正予算から「データセンター、海底ケーブル等の地方分散によるデジタルインフラ強靱化事業」を実施しており、2022年には「デジタル田園都市国家インフラ整備計画」を策定している。この枠組みのもと、東京圏・大阪圏を補完する地方拠点の整備が公募され、北海道苫小牧市においてソフトバンク株式会社が採択された。
この事業の規模には、率直に見て限界がある。同事業の補助上限額は約450億円程度とされる［32］。前章までで扱ったNoetra案件（初年度3,873億円）、あるいはアイルランド・米国が投じている電力インフラ投資の規模と比較すれば、一桁小さい。加えて、地方分散の枠組みにおいてすら、採択事業者が大手（ソフトバンク）に偏るという構造は、都市集中の縮小再生産に留まっている可能性がある。2025年には総務省・経産省が「ワット・ビット連携官民懇談会」を立ち上げ、電力と通信の連携不足という問題意識自体は共有されつつあるが、これは法的拘束力を持つ統一ルールではなく、依然として「懇談会」の段階にとどまっている。
【本節の前提】 以下は2026年7月26日にウォール・ストリート・ジャーナルが関係者証言をもとに報じ、ロイター通信が伝えた内容であり、本稿執筆時点で当事者による確認は得られていない。Nvidia・OpenAI・米商務省のいずれもコメントしていない。交渉段階の案件として、条件・成否とも変動しうることを前提に読まれたい［33］。
この事業規模の問題は、国内比較ではなく国際比較でこそ鮮明になる。2026年7月、ソフトバンクグループのエネルギー子会社が米オハイオ州南部で開発する出力10ギガワットのデータセンター事業について、NvidiaがOpenAIによるリースを支える形で約2,500億ドルの融資保証を協議していると報じられた。総事業費は5,000億ドル超の見込みである。注目すべきは電力の帰属である。この拠点の電力は米政府の管理下にあり、日本が通商合意に基づき天然ガス発電所へ330億ドルを拠出する形で資金を供給しているとされる。そして、その電力を誰に割り当てるかの判断には、ラトニック米商務長官が関与しているとされる。
本稿第2章を想起されたい。Anthropic社のモデルを全世界で停止させたBISの「Is Informed」レターを所管し、Legion社の訴訟で被告に名を連ねているのも、同じラトニック商務長官である。①(誰がモデルにアクセスしてよいか)と④(誰が計算基盤の電力を得るか)という、本稿が別々の層として立てた二つの蛇口が、いま単一の政治的判断主体に収斂しつつある。
【推察】 日本にとっての含意は率直である。330億ドルは、他国の④を支える投資である。これに対し、自国の地方分散事業の補助上限は約450億円——1ドル150円換算で、およそ110分の1にとどまる。加えて、国内の地方分散で採択されたのはソフトバンク(苫小牧)であり、オハイオで10ギガワットを開発しているのもソフトバンクグループである。同一グループが、桁の違う二つの事業を国内外で進めている。企業としては合理的な選択にすぎない。問題は、日本の政策が、その合理性に対して国内側に何の重みも与えていないことにある。参考までに、Noetraは140メガワット——オハイオ案件の約71分の1である。
【本節の前提】 以下、8-3・8-4では、この規模・構造の限界を踏まえた上で、データセンター立地戦略のあるべき方向性について、本稿の分析的判断を提示する。
8-3. 国土をフル活用する発想――3つの軸と、閉域性と接続性のトレードオフ
日本の国土は、離島・地方をどう活用するかという観点から、いまだ十分に検討されていない。他国の実例は、コスト論とは異なる評価軸を示している。
以下の3軸は、四層フレームワークの再掲ではない。四層が「どの主権が破綻しているか」を診断する道具であるのに対し、3軸は「ではどこに建てるか」を設計するための別の道具である。立地判断に効く制約は、診断の枠組みが名づけたものだけではない。
・軸1：物理的防護——スイス・ノルウェー型。旧軍事施設・地下施設の転用により、有事の攻撃・電磁パルスへの耐性を確保する発想。スイスでは「Swiss Fort Knox」に代表される旧冷戦期の軍事用バンカー（旧スイス空軍の司令部等）を転用したデータセンターが複数運営されており、花崗岩の岩盤を活かした耐震性・核攻撃耐性を備える［34］。ノルウェーでも、旧オリビン鉱山を転用したLefdal Mine Data Centersや、旧NATO弾薬庫を転用したGreen Mountain社の施設が、水力発電由来の再生可能エネルギーと高い物理セキュリティを両立させている［35］。
・軸2：電源の自己完結性——アイスランド型。電力の100%を地熱（約30%）・水力（約70%）という自己完結型電源で賄い、送電網に依存しない構造を実現している［36］。日本は火山国であり、この軸で高いポテンシャルを持つ。
・軸3：通信の冗長性——アイスランドの限界が示す通り、電源が自己完結していても、海外との接続が複数の海底ケーブルルートに依存しており、これ自体が単一障害点になりうる。
図4：離島・地方データセンター立地の3つの評価軸（概念図。位置関係は相対的なイメージであり、実測値ではない）。
8-3-1. 「閉域性」と「接続性」は両立できるか——本稿が直視すべき緊張関係
ここで正直に認めるべき緊張関係がある。軸1（物理的防護）は、離島拠点を外部から意図的に隔離された「閉域網」として設計することの価値を主張する。しかし軸3（通信の冗長性）は、国家的なAI基盤として機能するためには、複数ルートの海底ケーブルによる高度な接続性がむしろ不可欠だと主張する。閉域性と接続性は、単純に両立する話ではない。
【推察】 この緊張関係を解く鍵は、「閉域網」という言葉が指す対象を分解することにある。データセンターの運用系ネットワーク（電源制御・冷却制御・保守アクセス等のOT系統）と、AIワークロードそのものが利用する通信系ネットワーク（学習・推論のためのデータ入出力）は、本来別のセキュリティ設計が可能である。閉域化すべきは前者（運用系ネットワークへの外部からの不要な接続経路）であり、後者（通信の冗長性）はむしろ複数化・強化すべき対象である。スイス・ノルウェーの旧軍事施設転用データセンターも、AIワークロードの通信自体を遮断しているわけではなく、運用・保守系統への外部アクセスを最小化しているに過ぎない。
したがって、「離島拠点は閉域網として要塞化しうる」という主張と、「通信の冗長性が不可欠である」という主張は、対象とするネットワーク層が異なるため、両立可能である。ただし、この区分を設計段階から明示的に行わなければ、閉域化の努力が誤って通信の冗長性を犠牲にする、あるいはその逆という失敗が起こりうる。
【確認できた事実】 マサチューセッツ州の小規模公益事業体Littleton Electricで中国系脅威グループが約1年間検知されなかった事例（本稿第7章）は、この区分の失敗——運用系ネットワークの閉域化が不十分だった——を示す具体的な事例である。
【推察】 この事例を踏まえれば、電源整備だけを先行させ、運用系ネットワークのサイバー監視体制の整備を後回しにした場合に何が起きるかを、Littleton Electricの事例は先回りして示していると言える。
したがって、離島・地方分散の要諦は次のように整理できる。電源・通信インフラの整備予算に、同水準のサイバーセキュリティ監視予算（特に運用系ネットワークの閉域化）をあらかじめ組み込んで一体調達することで、離島拠点は「運用系は閉域化され、通信系は高度に接続された拠点」という、都市集中では原理的に得にくい組み合わせを持ちうる。逆に言えば、電源だけを整備してサイバー投資を欠く分散は、この優位性を得ないまま孤立するだけの選択となりかねない。
加えて、この要塞化の議論には、もう一つ留保が必要である。本稿はここまで、都市集中が物理攻撃のリスクを高めるという前提で議論を進めてきたが、2026年3月のイランによるAWS・Oracleデータセンター攻撃を仔細に見ると、標的化の決め手は「都市部に立地していたこと」ではなく、「米軍・情報機関のAIシステムを支える機能」だったことが、イラン側の声明から読み取れる（本稿第5章参照）。つまり、本稿が収集した事実からは、「立地が都市か地方か」という軸そのものが物理攻撃リスクを直接左右するという因果関係は、証明されていない。
したがって、離島・地方分散という政策の是非は、「都市より安全か」という比較の問題ではなく、「サイバーセキュリティへの投資を、物理インフラ整備と同等の優先度で伴わせられるか」という設計の問題として捉え直す必要がある。
8-4. 沖縄ケーブルハブへの併設という選択肢——本稿の中核的な政策提言
ここまでの議論を踏まえたとき、最も現実的で具体的な選択肢は、新規に離島インフラをゼロから構築することではなく、既存の戦略的資産を活用することである。
【確認できた事実】 沖縄・具志頭村の陸揚げ局群は、太平洋・アジアを結ぶ国際海底ケーブルが集中するインド太平洋の戦略的ハブであり、米軍のインド太平洋における指揮・統制通信とも直結している［37］。台湾・馬祖島事案が示す通り、離島は「錨の引きずり」という偶発事故を装ったグレーゾーン切断だけで通信孤立に陥りうる構造的脆弱性を持つが［37］、沖縄のケーブルハブは既に複数の国際ケーブルが陸揚げされている稼働中の拠点であり、通信の冗長性（軸3）をゼロから構築する必要がない。
【本節の前提】 海底ケーブルをめぐる日本の政策的課題については、本財団の先行レポート［37］［38］で既に詳細な分析・提言がなされている。先行レポートは、経済安全保障推進法を改正し海底ケーブル・陸揚げ局を明示的な保護対象とすること、Quad枠組みでのインド太平洋ケーブルセキュリティ協定の締結、沖縄ケーブルハブの国家戦略への明示的位置づけを政策提言として既に示している［37］［38］。
図5：沖縄・具志頭村ケーブルハブの二重性と、データセンター立地戦略への含意。
本稿の含意はこれと整合する形で導かれる。データセンターの地方・離島分散を検討する際は、新規に離島インフラをゼロから整備するより、沖縄・具志頭村のような既存の戦略的ハブにデータセンター機能を併設する方が、通信の冗長性という観点で、現時点でもっとも現実的な選択肢である。電源の自己完結性（軸2）は新たな地熱・小水力投資を要するが、通信の冗長性（軸3）は既存インフラの活用によって、追加投資を大幅に圧縮できる。
この提言を実行に移す上での課題は、8-3-1で論じた閉域性と接続性の区分を、沖縄拠点の設計に具体的に落とし込むことである。データセンターの運用系ネットワークは物理的防護と閉域化の対象とし、AIワークロードの通信系は既存のケーブルハブの冗長性をそのまま活用する、という設計方針が現実的である。
では、いくらかかるのか。政策提言である以上、桁を示さなければ議論の俎上に載らない。
【本節の前提】 以下は公表単価から桁を把握するための概算であり、地質・用地・系統接続条件を反映した事業費積算ではない。実際の所要額は立地条件により大きく変動する。
・国内の実例として、大阪市で2028年稼働予定のハイパースケールデータセンター「Zeus OSA1」は、供給電力容量25メガワットに対し総事業費約1,000億円とされる。単純計算で1メガワットあたり約40億円である［39］。
・国際比較では、東京のデータセンター建設単価は1ワットあたり15.2米ドルで世界最高水準にあり、シンガポール（14.5ドル）・チューリッヒ（14.2ドル）がこれに続く［40］。同一仕様であれば、地方・二次市場のほうが単価は下がる。
【推察】 これらを踏まえると、沖縄ケーブルハブに10〜20メガワット級のデータセンターを併設する場合の建設費は、おおむね400〜800億円の範囲に収まると考えられる。用地取得と通信インフラの新設が不要である分、同規模の新規開発より低位に振れる可能性が高い。
この数字は、8-2で示した予算規模の問題と直結する。地方分散事業の補助上限額450億円は、上記の単価で換算すれば10〜11メガワット分、すなわちデータセンター1棟分にすぎない。Noetraの140メガワットと比較すれば、地方分散予算の総額が、Noetra1件の12分の1程度の規模しか賄えない計算になる。「地方分散」という政策の看板と、それを支える予算との間には、この程度の開きがある。
逆に言えば、この提言は数千億円規模の新規事業を要求するものではない。既存のケーブルハブという戦略的資産が既に存在するため、現行の地方分散事業の枠組みを拡充する延長線上で着手しうる規模である。
そして本節の提言は、沖縄一箇所の選定を求めるものではない。沖縄・具志頭村は、3軸のうち最も構築困難な軸3（通信の冗長性）が既に満たされている——すなわち3軸評価で最高点を取る——という点で、最初に着手すべき候補である。重要なのは、他の離島・地方拠点も同じ3軸で評価できることである。軸3を欠く候補地は海底ケーブルの新設に7〜10年を要するため短期の候補になりにくく、軸2（電源の自己完結性）に強みを持つ地熱地帯は、軸3への投資と組み合わせて中期の候補となる。沖縄はモデルケースであり、評価の方法そのものが本稿の提言である。
8-5. 実現への3つの障壁――電源、人材、省庁横断
分散を掛け声で終わらせないためには、以下3点の解消が不可欠である。
・1. 電源の物理的制約——離島・地方は送電網の容量が小さく、大規模データセンターを受け入れるには新規の送電線・変電所投資が必要。450億円規模の現行予算では、この投資を賄いきれない。
・2. 管理体制構築への認識——地方・離島に施設を分散させる場合、都市部に集中する技術者をどう配置するかという論点があるが、これは電源ほどの技術的困難を伴う問題ではない。遠隔監視・クラウド型SOC（セキュリティ運用センター）の活用により、物理的に技術者を常駐させずとも、高度な監視体制を構築することは技術的に十分可能である。課題は技術ではなく、「離島拠点にも都市部と同水準の管理体制を敷く」という方針を、整備計画の初期段階で明示的に予算化・制度化するかどうかという、意思決定・ガバナンス上の認識の問題である。
・3. 省庁横断の体制——電源（経産省）、通信（総務省）、安全保障（防衛省）を横断する体制なくして、8-4の沖縄併設案のような具体的提案も、「予算はついたが、機能する拠点は生まれなかった」という結果に終わる可能性が高い。
【推察】 なお、地方分散を検討する際に生じる海底ケーブル敷設一般の期間的制約（新規敷設の場合は7〜10年、ハイパースケーラーが期待する市場投入スケジュールは5年以内というミスマッチ）は、8-4で提言した沖縄既存ハブへの併設案を採る場合には、大きく緩和される。これも、新規整備より既存資産の活用を優先すべき理由の一つである。
9. 結論――四層フレームワークが示す、次に備えるべきこと
本稿は、前稿「実世界ネイティブAI」という賭け［0］が提示した四層のAI主権評価フレームワーク——①データ・モデル主権、②重み・運用主権、③計算資源主権、④電力・制度主権——について、各層が実際に崩れた場合に何が起きたかを、2025〜2026年の一次資料に基づく実例で検証してきた。
四層を並べて俯瞰した結果として明らかになったのは、④電力・制度主権の欠如が、他の3層とは質的に異なる深刻さを持つという事実だった。①〜③の事案（輸出規制による事業停止、AIエージェントによる自律型侵入、輸出管理の迂回）は、いずれも金銭的・運用上の損失にとどまる。これに対し④の事案——2026年3月のイランによるAWS・Oracleデータセンターへの軍事攻撃——は、物理的な破壊と、冗長化設計の前提そのものを破る複数拠点の同時停止を伴う、初めて記録された種類の脅威だった。この非対称性こそが、本稿が④に紙幅の多くを割いた理由であり、事前の編集判断ではなく、集めた事実そのものが導いた結論である。
第5〜7章で検証した④の実例は、いずれも共通する一つの教訓を示している。電力・データセンターという物理的基盤は、もはや平時のサイバー防御対象であることをやめ、有事の軍事標的、あるいは分業化された脅威エコシステムの温床になっている。イラン側がAIシステムを支える機能をデータセンター攻撃の正当化理由に挙げたこと、Volt Typhoon（VOLTZITE）が2026年になってもなお、専門化した分業体制のもとで米国重要インフラへの侵入を続けていること——これらは、日本が140メガワット級のデータセンター（Noetra）を稼働させようとしている、まさにその時期に生じている。
第8章で論じた日本への示唆は、この教訓を具体的な政策論に変換したものである。基幹インフラ15分野にデータセンターの独立区分がないという法的空白と、地方分散事業が450億円規模にとどまり立地戦略として機能していないという実務上の空白——この二重の空白こそが、日本が今、四層のうち④において最も脆弱な位置にある根本的な理由である。
同時に本稿は、この空白を単なる欠陥としてではなく、設計次第で強みに転換しうる余地として示した。特に、新規の離島インフラ整備ではなく、沖縄・具志頭村の既存ケーブルハブへのデータセンター併設という提案は、通信の冗長性という最大の制約をほぼゼロコストで解消しうる、本稿が示す最も具体的で実行可能な政策提言である。
【推察】 四層フレームワークが示すのは、AI主権が一度確立すれば終わりというものではなく、技術・地政学の変化に応じて、どの層が最も脆弱かという評価を継続的に更新し続けなければならない、という性質そのものである。本稿執筆時点で④が最も深刻であるという結論は、2026年という特定の時点における評価であり、①〜③の状況（輸出規制の応酬、AIエージェントの自律化、供給網の迂回）が今後さらに深刻化すれば、この評価は変わりうる。
Noetraが2027年4月に構築を開始し、2028年6月に稼働を予定していることを踏まえれば、本稿が指摘した法的空白・立地戦略の空白が埋まるかどうかを検証する猶予は、決して長くない。
さらに本稿の脱稿直前、①と④の統制が単一の政治的判断主体に収斂しつつあることを示す報道が現れた(第8-2節)。四層フレームワークは各層を独立に診断する道具として設計されたが、次に更新すべきはおそらく、層と層のあいだに生まれつつあるこの結節点をどう評価するかという軸である。本稿の検証がここで終わるのではなく、今後もこの四層それぞれの動向、そしてその収斂の行方を継続的に注視していくことを、読者への約束としたい。
付録：方法論について
前稿「実世界ネイティブAI」という賭け［0］は、日本の国産AI政策を「国産か否か」という二択ではなく、①データ・モデル主権、②重み・運用主権、③計算資源主権、④電力・制度主権という四層で評価する枠組みを提示した。前稿の役割は、この枠組みの「構造」を示すことにあった。
本稿の役割はこれと異なる。四層のうち、いずれかが満たされなかった場合に実際に何が起きたかを、2025〜2026年の一次資料に基づく実例で検証すること——すなわち「構造の分析」に対する「帰結の実証」である。
この四層は、他国比較から演繹的に設計されたものではなく、Noetra一件の分析過程で、物理セキュリティ・重み公開リスク・半導体供給網・電力制度という4つの論点が「主権」という同じ問いの異なる層であることに気づいた、という単一事例からの帰納的な着想に基づく（詳細な方法論・限界は前稿を参照）。
本稿で取り上げる実例の選定は網羅的調査に基づくものではなく、四層それぞれについて政策的含意の大きい事例を優先的に選んでいる。①〜③については各1件、④については3件を中心に扱っており、この配分の非対称性自体が、本稿の判断（④が現時点で最も深刻）を反映したものであることを明記しておく。管見の限り、本稿はこの視点を日本語圏で初めて体系的に提示するものであるが、先行する分析が存在する可能性は排除できない。
なお、四層それぞれの事例章末には「日本への含意」を設け、Noetraへの接続を明示的に論じている。これは事例紹介と政策提言を分離せず、各章単位で読者に小さな結論を提供する構成上の工夫である。
参考資料
前稿・既出関連レポート
[0] 一般財団法人日本危機管理研究所「『実世界ネイティブAI』という賭け――日本はAIの主権を確立できるのか、新たな依存を生むのか」執筆者：舩山美保、2026年7月22日。https://inst-ds.org/ai/2044/
[0b] 一般財団法人日本危機管理研究所「新幹線も霞が関も狙われている――中国政府系ハッカー部隊の活動分析と日本の重要インフラ脆弱性の検証」執筆者：舩山美保、2026年4月5日（2026年6月22日更新）。https://inst-ds.org/cyber-security/905/
①米中AI主権規制（第2章）
[1] CSIS「The Department of Commerce Restricted Access to Anthropic’s Latest Models. What Comes Next?」2026年6月23日。Fortune「Anthropic disables Fable and Mythos AI models following U.S. government export ban」2026年6月13日。
[2] CNBC「Anthropic says Trump admin has lifted export controls on Claude Fable 5 and Mythos 5」2026年6月30日。
[3] Just Security「Legal Considerations Related to the Anthropic ‘Export Controls Directive’」2026年6月15日。
[4] Export Compliance Daily「Lawsuit: US Can’t Block Anthropic Models With Export Controls That ‘Don’t Exist’」2026年6月25日。MediaNama「Legal tech firm sues US over Anthropic AI access ban for foreign nationals」2026年6月24日（IEEPA・バーマン修正条項への言及）。
[5] Harvard Law Review「Is Access to Fable an Export?」2026年6月。
[6] Reuters報道（2026年7月7日）、複数媒体による報道。
[7] 同上、中国法学者パネルの段階的規制案。
[8] NPR「Anthropic sues the Trump administration over ‘supply chain risk’ label」2026年3月9日。Federal News Network「Appeals court judges appear to be divided over Pentagon’s legal dispute with AI company Anthropic」2026年5月20日。
[9] Reuters（Global Banking & Finance転載）「US AI Restrictions Prompt European Firms to Diversify Providers」2026年6月22日。
②OpenAI–Hugging Face自律侵入事件（第3章）
[10] OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」2026年7月22日。The Hacker News「OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face to Cheat Benchmark」。
[11] Fortune「OpenAI says its AI models escaped from a secure test environment」2026年7月21日。
[12] TechCrunch「How an OpenAI’s human mistake led to the AI-powered hack on Hugging Face」2026年7月22日、Dan Guido氏・Jake Williams氏のコメント。
[13] Simon Willison’s Weblog「OpenAI’s accidental cyberattack against Hugging Face is science fiction that happened」2026年7月22日。
③計算資源迂回（第4章）
[14] Tom’s Hardware「Former Chinese gaming company with China govt ties accused of smuggling banned AI GPUs」。
④データセンター物理攻撃（第5章）
[15] TechPolicy.Press「The Legal and Policy Fallout from Data Center Strikes in the Middle East War」2026年3月12日。
[16] CNBC「Iran war: Digital services down in UAE after data center drone strikes」2026年3月3日。
[17] TechPolicy.Press、前掲。冗長化設計の前提崩壊についての分析。
[18] newsonair.gov.in「Iran strikes Amazon Web Services facility in Bahrain」2026年4月3日。
[19] Tom’s Hardware「Iran says it has struck Oracle data center in Dubai」2026年4月3日。
[20] CNBC「Iran war update」2026年7月21日、Fars通信を通じたIRGC声明の報道（未検証の攻撃声明として引用）。
[21] Developing Telecoms「AWS says restoring UAE and Bahrain cloud regions will ‘take several months’」2026年5月4日。Telecompaper「AWS suspends billing in Bahrain and UAE cloud regions after war damage」。
[22] TechPolicy.Press、前掲。IRGC系声明の「軍事・情報活動を支える役割」という文言について。
[23] Fortune「Anthropic disables Fable and Mythos AI models following U.S. government export ban」2026年6月13日。米軍によるAWS上のAnthropic社Claude利用に関する報道文脈の出典。
[24] newsonair.gov.in、イランによる18社軍事標的宣言の報道（2026年3月31日）。
[25] abhs.in、AWSのGovCloud型分離計画に関する報道。
④データセンター電源脆弱性（第6章）
[26] TechRadar「Cyber attackers now target power systems inside data centers」2026年6月17日。
[27] T&D World「How Vulnerable to Cyber Attacks are Battery Energy Storage Systems?」、Camp Lejeune CATL撤去事案。
[28] Cybersecurity Dive「Grid-scale battery energy storage systems face heightened risk of cyberattack」2025年12月11日。
④Volt Typhoon／VOLTZITE最新状況（第7章）
[29] Dragos, Inc.「Dragos 2026 OT/ICS Cybersecurity Report and Year in Review」2026年2月17日。Cybersecurity Dive「Newly identified hacking groups provide access to OT environments」2026年2月17日。
8-1節：基幹インフラ制度の改正手続に関する出典
[30] 参議院常任委員会調査室・特別調査室「経済安全保障の更なる推進に向けた法改正――経済安全保障推進法及びJBIC法の一部改正案――」『立法と調査』2026年4月 No.483（医療分野の追加が推進法改正案第50条第1項第14号として規定された旨の記載を含む）。https://www.sangiin.go.jp/japanese/annai/chousa/rippou_chousa/backnumber/2026pdf/20260430003.pdf
[31] 内閣府「経済安全保障推進法における特定社会基盤役務の安定的な提供の確保に関する制度（説明会資料）」2026年7月7日（医療分野追加の改正法は2026年6月17日公布、施行日は公布から1年6月を超えない範囲内で政令が定める日。特定社会基盤事業者は2026年7月1日時点で258者）。https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_setsumeikai.pdf
8-2節：地方分散事業の予算規模に関する出典
[32] 総務省「データセンター、海底ケーブル等の地方分散によるデジタルインフラ強靱化事業」。経済産業省「令和5年度データセンター地方拠点整備事業費補助金の公募について」2023年9月22日。
8-2節：オハイオ・データセンター事業に関する出典
[33] Reuters「Nvidia in talks with OpenAI to guarantee $250 billion financing for data center, WSJ reports」2026年7月26日。原報道：Wall Street Journal（2026年7月26日）。
8-3節：離島・地方立地の3軸に関する出典
[34] MOUNT10 AG「Swiss Fort Knox: Europe’s safest data center」。Data Center Knowledge「Closer Look: The ‘Swiss Fort Knox’ Data Bunker」。
[35] Data Center Knowledge「Underground Data Centers: Security, Cooling, and Complexity」（Lefdal Mine Data Centers、Green Mountain社の旧NATO弾薬庫転用施設について）。
[36] atNorth「Sustainable data centers in Iceland」。International Water Power「Iceland and Norway top global energy resilience index」2025年5月7日。
海底ケーブル関連（第8-4節）
[37] 一般財団法人日本危機管理研究所「【前編】中東海域における『海峡・海底通信ケーブル』危機と日本への影響」執筆者：舩山美保、2026年3月29日（2026年6月22日更新）。https://inst-ds.org/cyber-security/757/
[38] 同「【後編】海底ケーブルを制する者が世界を制す――日本は『インフラ覇権競争』に参画できるか」執筆者：舩山美保、2026年4月1日（2026年7月25日更新）。https://inst-ds.org/cyber-security/828/
8-4節：データセンター建設単価に関する出典
[39] 東京建物株式会社 プレスリリース「大阪南港エリアのハイパースケールデータセンター『Zeus OSA1』2025年12月着工、2028年第1期稼働開始」2026年1月30日（供給電力容量25MW、総事業費約1,000億円）。
[40] Turner & Townsend「データセンター建築費指数 2025-2026（Data centre construction cost index 2025-2026）」日本語版（東京が1ワットあたり15.2米ドルで世界最高、シンガポール14.5米ドル、チューリッヒ14.2米ドル）。https://reports.turnerandtownsend.com/data-centre-construction-cost-index-2025-japanese/data-centre-cost-trends
用語集
四層AI主権評価フレームワーク 「国産AIか否か」という二択ではなく、データ・モデル主権／重み・運用主権／計算資源主権／電力・制度主権という4つの軸で、AI政策の主権的実質を評価する分析枠組み。
重み（モデル重み） AIが学習によって獲得した膨大な数値パラメータの集合。いわばAIの「頭脳の中身」そのものを指す。①で扱う学習データそのものではなく、学習を終えたモデルの内部状態を指す。複製すれば同じ能力のAIを再現でき、一度公開すれば技術的に回収できない。
ECRA（Export Control Reform Act） 2018年に成立した米国の輸出管理改革法。新興・基盤技術の輸出を国家安全保障の観点から規律する法的枠組みで、Anthropic社への規制の法的根拠となった。
Is Informed レター 米商務省産業安全保障局（BIS）が個別企業に対し、特定の輸出に事前許可が必要であることを非公式に通知する文書。半導体の対中輸出規制等で従来から用いられてきた。
Trail of Bits ソフトウェアの脆弱性診断・セキュリティ監査を専門とする米国のサイバーセキュリティ研究会社。創業者ダン・グイド氏はOpenAI-Hugging Face事件を「封じ込め失敗」と評した。
ExploitGym UCバークレーRDIが主導し、OpenAI・Anthropic・Google等の研究者が関与して作成された、898件の実在の脆弱性を含む外部公開のサイバーセキュリティ・ベンチマーク。
Volt Typhoon／VOLTZITE 中国人民解放軍サイバー部隊との関連が指摘される脅威アクター。「Volt Typhoon」は米政府機関の呼称、「VOLTZITE」はDragos社が用いる呼称で、同一の活動を指す。
SYLVANITE Dragos社が2025年に特定した脅威グループ。境界防御機器の脆弱性を迅速に武器化して初期の足場（アクセス）を確立し、これをVOLTZITEに引き渡す「初期アクセスブローカー」として機能する。
初期アクセスブローカー 標的ネットワークへの最初の侵入・足場確立を専門に請け負い、確立したアクセス権を他の攻撃グループに引き渡す役割を担う攻撃者。分業化されたサイバー攻撃エコシステムの一部を構成する。
環境寄生型攻撃（Living off the Land／LotL） 標的システムに標準搭載されたOS・管理ツールのみを用いてマルウェアの導入なしに攻撃を遂行する手法。検知が極めて困難。
ハイパースケーラー Amazon、Microsoft、Google、Metaなど、世界規模で超大型データセンターやクラウドインフラを運営する巨大IT企業の総称。
リージョン クラウド事業者が地域ごとに設ける拠点の単位。本稿第5章のME-CENTRAL-1（UAE）、ME-SOUTH-1（バーレーン）がこれにあたる。
アベイラビリティゾーン クラウド事業者が同一リージョン内に設ける、独立した電源・冷却・ネットワークを持つ物理的に分離されたデータセンター群。複数ゾーンの併用により冗長性を確保する設計が一般的であり、本稿第5章の事案は、この前提が同時被弾によって崩れた事例である。
BESS（Battery Energy Storage System） 系統安定化・再生可能エネルギー統合のために用いられる大規模蓄電池システム。
経済安全保障推進法 重要設備を導入する際、事前に国の審査を受ける制度等を定めた法律。2026年7月時点で15分野が対象。2026年6月17日公布の改正法により医療分野が追加されたが、施行は公布から1年6月以内に政令で定める日であり、本稿執筆時点では施行されていない。データセンターは、いずれにも独立分野として含まれていない。
陸揚げ局（ケーブルランディングステーション） 海底ケーブルが陸上に引き上げられる拠点施設。ケーブルの制御・増幅・分岐機能を担う。
グレーゾーン作戦 武力行使の閾値を意図的に下回りながら、相手国のインフラや意思決定に影響を与える組織的な妨害活動。「錨の引きずりによるケーブル切断」等が典型例。
筆者：舩山美保 一般財団法人 日本危機管理研究所 理事
国際標準化、技術インテリジェンス、知的財産分析、地政学・危機管理を専門とする戦略アナリスト。キヤノン株式会社において国際標準・新技術分野の特許調査および戦略分析業務に従事。ISO/IEC JTC 1/SC 28（オフィス機器）副国際幹事として、国際規格策定および多国間交渉の調整を担い、国際標準化活動への貢献によりITSCJ国際標準化貢献賞を3回受賞。現在、中東アジア情報戦略研究所フェロー。公益社団法人 日本外国特派員協会（FCCJ）プロフェッショナル・アソシエイト会員。上智大学外国語学部卒業。青山学院大学大学院修了（国際政治経済学・哲学・心理学）。
本財団の執筆体制について
本財団の分析記事は、理事・主任研究員による一次資料調査に加え、実務家・研究者による寄稿論考(寄稿論考カテゴリ)を通じて、複数の専門的視点を反映する体制を採っています。寄稿を希望される研究者・実務家の方は、[お問い合わせ]よりご連絡ください。
＊本稿の引用・転載は、出典（一般財団法人日本危機管理研究所／著者名／URL）を明記いただく場合に限り自由です。見出しや文脈を変更した抜粋転載はご遠慮ください。
