AIを巡る市場の活況は調整局面に向かっているようで、少数の注目度の高い企業への過度な依存が露呈している。
この懸念を受け、企業や政府はデジタルレジリエンスと、多様化されたインフラへの投資をより重視するようになっている。
サイバーセキュリティにおける長期的な価値は、投機的なAIツールよりも基本への投資にある。これは、強靭で適応力のあるサイバーセキュリティ戦略をどこまで構築できるかにかかっている。
AI評価額が熱狂的に高騰した1年を経て、警告が出始めている。今月初め、イングランド銀行総裁は、AI主導の資産評価額の「急激な調整」について警告した。先週には、JPモルガン・チェースのジェイミー・ダイモンCEOも同様の警告を発し、「多くの資産がバブルの領域に入りつつあるように見える」。メタの元幹部であるニック・クレッグ卿はさらに踏み込み、現在のAI評価額を「常軌を逸している」と評した。
こうした評価が最も重要になるのは、急速に統合が進むサイバーセキュリティ業界においてである。最も技術的に先進的な業界の一つとして、サイバーセキュリティは、防御側と攻撃側の双方にとって、AIの採用をその価値提案全体の中核に据えてきた。先週、パロアルトネットワークスとクラウドストライクは過去最高値を更新し、パロアルトの時価総額は1,450億ドルに達して、カザフスタンのGDPを上回った。AI経済がバブルであるなら、サイバーセキュリティはその中心に位置しているのかもしれない。
今後予想される調整は破局ではなく、明確化である。サイバーバブルの崩壊と捉えるのではなく、むしろ焦点が絞られていくのである。過大な期待がサイバーの現実と向き合う中で、3つの断層が生まれ、サイバーリーダーに機会を開きつつある。持続的な優位性は、ハイプ後の3つの現実、すなわち主権的レジリエンス、心理的防御、セキュリティの基本を習得することから生まれるだろう。
本稿では、考えられる3つの断層を見ていく。
断層1. 地政学：規制当局に強いられる前に多様化を図る
業界の上位11社は、いずれも米国またはイスラエル資本の企業であり、AI関連の評価額の大部分を獲得している。業界が「淘汰」の統合段階に入る中、これらの企業は、AI対応のセキュリティには膨大な計算資源と大規模なデータセットが必要だという前提に基づき市場シェアを拡大している。これにより、ハイパースケーラーが世界の防御の主要な設計者としての地位を確立している。
この論理は筋が通っている。データが多ければ運用チームの能力は向上し、提供者が減ればCISOにとっての複雑さは減り、最終的には取締役会にコスト面の利益をもたらす。しかし、サイバーセキュリティは日用品や消費財ではなく、政府にとっての戦略的資産である。国家安全保障と深く関わっており、システミックリスクへの懸念や、国家支援型の敵対勢力に対する防御にも深く関わっている。
現在の市場集中は危険な賭けを反映している。すなわち、地理的に集中したごく少数の提供者が世界の主要な防御の設計者を担えるという賭けである。歴史は別の結論を示している。振り返れば、レーガン政権の1987年の対日半導体関税から英国・EUのファーウェイ製品排除措置に至るまで、戦略分野への集中は一貫して政治的介入を招いてきた。
各国政府は既に、主権的なサイバーリスクに対抗するため、断固とした行動を取っている。欧州のサイバーレジリエンス法は、サプライチェーンの多様化を義務付けている。中国の2025年国家サイバー空間戦略は、重要なAIインフラにおける自立を重視している。日本の経済安全保障推進法は、2027年までに重要インフラの国内代替を求めている。アフリカ全域では、ケニアから南アフリカに至るまで、ソブリンクラウドの取り組みがデジタル防御能力の現地化を進めている。
この転換はサイバーリーダーにとっての機会を生み出す。今すぐ技術スタックの多様化に取り組む企業、すなわち地域の提供者との関係構築、代替アーキテクチャの検証、地政学的レジリエンスのストレステストを行う企業は、規制の義務化が確実に加速する中で優位性を獲得するだろう。
断層2. 認知セキュリティ：誤ったAIとサイバーの戦いをやめる
長年にわたり、サイバーセキュリティ業界は、AIが検知不能な技術的脅威を一夜にして生み出すと警告してきた。しかし、証拠は異なる実態を示し始めている。
2025年、主要なAI提供者は、自社システムの悪用に関する前例のない分析を公表した。OpenAIの10月の報告書は、悪用の大半が詐欺とフィッシングに関わるものであることを明らかにした。複数の国家関連グループが偽情報作戦の規模拡大に注力しており、OpenAIは、多言語のプロパガンダを大規模に生み出す十数件以上の協調キャンペーンを特定した。Anthropicの8月の分析では、AIが主に同様の国家主導の情報作戦を可能にし、サイバー犯罪者が金銭的利益のためにソーシャルエンジニアリング攻撃を高度化するのを助けていることが示された。Googleのジェミニに関する研究では、観察されたインシデントのうち、ソフトウェアの脆弱性への直接攻撃に関わるものは2%未満であると結論づけられた。一方で、プラットフォーム全体でディープフェイクを活用した金融詐欺が顕著に増加していることも報告されている。
傾向は明らかである。最も具体的な悪意ある利用事例は、認知の操作にある。世界経済フォーラム自身の「2025年グローバルリスク報告書」はこの変化を裏付けており、偽情報および誤情報を、世界のリーダーが直面する最も深刻な短期的リスクとして位置づけている。AIによる自動化により、フィッシング、ディープフェイクによる身元の偽造、オンライン詐欺は飛躍的に迅速化した。それにもかかわらず、多くのサイバーセキュリティ予算は依然として従来の情報セキュリティに集中しており、AIを活用した脅威が今後リーダーシップを発揮すべき領域とは必ずしも一致していない。
これは、サイバーリーダーにとっての第二の機会を生み出す。今すぐセキュリティの責務を拡大する組織、すなわちディープフェイク検知、本人確認、情報作戦の監視といった能力を構築する組織は、既存のAI脅威に対抗できるだろう。この転換には、従来のCISOの責任を超え、詐欺対策業務、反破壊工作、そして評判防御にまで及ぶことが求められる。これらの能力は従来のサイバー業務の範囲外にあるが、組織の健全性とより広範なレジリエンスを守るうえで、今後は不可欠になる。
断層3.「地味さ」は消えていない：基本を軽視しない
サイバーセキュリティ業界の多くは、AIシステムを革命的なツールを必要とする全く新しいパラダイムとして位置づけてきた。しかし運用の実態は、より地味なものである。
AIエージェントの保護は、そのモデル、データパイプライン、APIとともに、何十年にもわたり基幹システムを守ってきたサイバーの原則に依拠している。入力の検証とサニタイズは依然として不可欠であり、かつてSQLインジェクションがデータベースを脅かしたのとほぼ同じ形で、プロンプトインジェクションを防ぐ。厳格なアクセス制御と認証は、誰がモデルに問い合わせ、変更し、再学習させられるかを定め、権限が慎重に管理されることを保証する。さらに、迅速なパッチ適用と組み合わせた脆弱性管理は、基盤となるインフラとソフトウェアの健全性を保つ。
最近注目を集めたSalesloft–Drift の侵害事案は、この問題を示している。攻撃者はAIシステムそのものではなく、サードパーティの連携を悪用した。封じ込めは、環境の隔離、認証情報のローテーション、インフラの強化といった標準的な手法によって実現され、AI主導の環境においても、サードパーティリスク管理のような基礎的手法が依然として中心であることを裏付けている。
組織がAIを大規模に導入する中、マッキンゼーの報告によれば、4分の3以上が少なくとも1つの業務機能でAIを利用しているという状況の中、実務経験は、規律あるセキュリティチームが既に知っていたことを裏付けている。AIは新たな攻撃対象領域をもたらすが、新たな物理法則をもたらすわけではない。これは能力の調整を求めるとともに、歓迎すべきイノベーションを推進する一方、戦略的先見性と慎重なガバナンスという、普遍的なリーダーシップの原則も同様に求めている。
これは、サイバーリーダーにとっての最後の機会を生み出す。基礎的な能力と原則への投資を、持続的かつ包括的なセキュリティへのアプローチの一環として継続する組織は、投機的なセキュリティソリューションの追求に重点を置くいかなる戦略よりも強靭であることが証明されるだろう。
サイバーリーダーシップの新たな使命
歴史が示すように、市場の調整は終わりではなく、転換点である。ドットコムバブルはより強靭なデジタルインフラを生み出した。2008年の金融危機は資本市場を再構築し、より強靭で統合されたグローバル経済をもたらした。AIとサイバーのエコシステムのいかなる再調整も、同じパターンをたどるだろう。破局ではなく、最終的にはサイバーレジリエンスの向上に向けた軌道修正である。
既に3つの戦略的要請が浮上している。規制執行が加速する前に主権的レジリエンスへ投資すること、認知のレジリエンスと組織の健全性という課題への対応も含めてセキュリティの責務を拡大すること、そして投機的なAIセキュリティツールよりも基礎的な能力に焦点を当てることである。結局のところ、サイバーバブル後の時代の勝者は、最も多くの「AI」を購入した者ではない。ハイプを無視し、基本を習得し続けるよう規律を保つ組織こそが勝者となるだろう。
