何が起きたか
2026年10月26日から27日にかけて、米国下院議員リッチ・マコーミック氏（共和党・ジョージア州）は、Common-Sense Cloud Security Act（常識的なクラウドセキュリティ法）を提出した。この法案は、米国国立標準技術研究所（NIST）に対し、クラウドベースのインフラストラクチャ向けの更新されたサイバーセキュリティ基準、方法論、および勧告を策定し、連邦クラウドセキュリティ要件を更新し、クラウドプロバイダー向けの任意の段階的認定プログラムを創設し、疑わしい活動を検出するための人工知能の使用を奨励し、実装と導入について議会に報告することを指示するものである。この法案は、加速するAIワークロードとエージェント型システムによって生じるセキュリティリスクを中心に構成されており、その「爆発半径（blast radius）」は、一時的で特権を持つAIエージェントが増殖し、それらが実行されるインフラストラクチャのアクセス経路を継承するにつれて拡大する。ベンダーのAviatrixは10月27日にこの法案を公に支持した。この発表は、Wiz/OpenAIが特定したPHP2Shell脆弱性（AI支援の分析が表面化させ、政府サイトをオフラインに追い込んだ）に続くものである。
なぜ重要か
これは、AI導入リスクをクラウドおよび重要インフラのサイバーセキュリティ基準に結び付ける具体的な連邦法の提案であり、フロンティアモデルが長年の脆弱性の発見と悪用の障壁を実証的に引き下げた時期に行われている。これにより、AI関連の新しいNIST要件と任意のクラウドプロバイダー認定制度、さらにセキュリティ報告義務が創設され、クラウドプロバイダー、連邦機関、およびクラウドでAIワークロードとエージェントを実行する企業に影響を与えることになる。
必要な対応
AI/エージェント型ワークロードを実行するクラウドプロバイダーおよび企業は、法案の委員会付託とNISTの策定状況を追跡すべきである。自社のクラウドセキュリティ体制がNIST更新基準を満たすかどうか、およびAIベースの脅威検出報告義務が適用されるかどうかを評価すべきである。法案は新しく提出されたばかりであるため、まだコンプライアンス期限はない。