NIST AI Risk Management Framework：コア・スイートとセキュリティ実践の対応付け

1. はじめに

実務者、ベンダー、政策立案者はますます「NIST AI セキュリティ・フレームワーク」を、単一のコントロール・ベースラインを指すかのように扱っている。そうではない。NIST は 2023年以降、任意の AI 文書群を公開しており、この語句は少なくとも三つの異なるものを指す：Artificial Intelligence Risk Management Framework（AI RMF）本体（NIST AI 100-1）；後に公開された Cybersecurity Framework Profile for Artificial Intelligence（NIST IR 8596）；そしてより広く、敵対的機械学習ガイダンス（NIST AI 100-2）および通常のサイバーセキュリティ・コントロール（CSF 2.0、SP 800-53）との合わせ技。これらを混同すると二つの失敗モードが生じる。セキュリティ・プログラムを望んだチームはガバナンス・ワークショップだけを実装する。信頼できる AI を望んだチームはモデル硬化チェックリストだけを実装する。

AI RMF は 2023年1月26日に NIST AI 100-1 として、National Artificial Intelligence Initiative Act of 2020 の下での委任に基づき公開された。任意、権利尊重、非セクター特化、ユースケース非依存である。その対象は SP 800-37 意味での情報システムではない。対象は社会技術的 AI システムであり、成功基準は機密性・完全性・可用性だけでなく 信頼性 である。NIST はフレームワークを孤立した PDF として出荷しなかった。Companion Playbook、フォローアップ作業の Roadmap、コア文書内の信頼できる AI 特性の詳述、Trustworthy and Responsible AI Resource Center 経由の実装とクロスウォークのコミュニティ・カタログを出荷した。この五リソースが当初の AI RMF プログラムである。NIST AI スタックの残り — Generative AI Profile（AI 600-1）、Cyber AI Profile 草案（IR 8596）、敵対的タクソノミ（AI 100-2）、重要インフラ向けプロファイル — は、そのプログラムに接続する特化である。

本稿は地図であり、モデル評価でも経験的発見の主張でもない。2026年8月時点の公開 NIST コーパスと、それが隣接するよう設計された標準を読む。三つの観察が残りの論旨を構成する。

スイートがフレームワークである。 AI RMF 1.0 は Part I（AI リスクの枠組みと「信頼できる」の意味）と Part II（カテゴリ・サブカテゴリを伴う四機能）である。Playbook、Roadmap、特性議論、コミュニティ・カタログは、NIST が組織がコアを運用化・拡張・共有する方法として想定したものである。AI 100-1 をプログラム全体とみなすと、2023年第1四半期に NIST が公開した内容を過小評価する。

セキュリティは特性であり、枠組みではない。 NIST は信頼できる AI の七特性を列挙する：valid and reliable；safe；secure and resilient；accountable and transparent；explainable and interpretable；privacy-enhanced；fair, with harmful bias managed。Secure and resilient はそのリストの一行である。四機能 — Govern、Map、Measure、Manage — は組織が七つすべて（相互の緊張を含む）を追求する方法である。

サイバーセキュリティ文書は接続する；置き換えない。 NIST 自身の Cyber AI Profile に関する解説は、CSF 2.0、AI RMF、Profile を併用することを意図している。AI 100-2 は Measure と Manage 向けの攻撃語彙を供給する。SP 800-53 は必要なシステム向けのコントロール・カタログのままである。ISO/IEC 42001 と EU AI Act は隣接レジームであり NIST 文書ではない。統合ではなくクロスウォークすべきである。

貢献。 本稿は四つの貢献を行う：

1. 当初の AI RMF リソース・スイートを再構成し、Playbook、Roadmap、信頼性特性、コミュニティ・カタログが AI 100-1 とどう関係するか示す。
2. 七特性モデル内にサイバーセキュリティを位置づけ、「secure and resilient」がカバーする範囲としない範囲を明示する。
3. 後続の NIST AI セキュリティ文書を四機能に対応付ける（CSF 2.0、IR 8596、AI 100-2、AI 600-1、重要インフラ・プロファイル概念ノートを含む）。
4. エージェント型言語モデル・システムの使用手順と具体例を示し、いずれか一文書をプログラム全体とみなすことから生じる失敗モードを述べる。

2. 背景：AI リスクは情報システム・リスクではない

古典的 NIST Risk Management Framework（SP 800-37）は情報システムを承認する。システムを分類し、SP 800-53 コントロールを選択・評価し、運用を承認し、監視する。このループは、AI システムが連邦またはその他管理下のインフラで動く場合に依然必要である。AI には不十分であり、NIST もそう述べる：AI リスクは従来のソフトウェア・リスクと程度だけでなく種類が異なる。

セキュリティ・チームにとって三つの違いが重要である。

リスクの単位は社会技術的である。 AI システムの振る舞いは、学習データ、評価データ、プロンプト、ツール、ユーザー、下流の意思決定プロセスに依存する。機密かつ利用可能なモデルでも、不公平・不安全・戦略的非準拠になり得る。したがって AI RMF は個人、グループ、コミュニティ、組織、社会への影響をスコープ内とし、別の倫理部門の外部性としない。

信頼性特性は衝突する。 説明しやすいシステムは学習データについてより多く漏らす可能性がある。デュアルユース要求を拒否するシステムは、開発者が設定した目的では「有用性」が低い可能性がある。NIST はこのトレードオフ問題を、特性がタダ飯であるかのように装わず Roadmap 優先事項とする。敵対的ロバストネスだけを最適化するセキュリティ・プログラムは、総危害を減らさずに公平性・プライバシー・安全性へリスクを移し得る。

フレームワークは任意かつ成果ベースである。 AI 100-1 には番号付きコントロール・カタログはない。成果（「AI リスクが特定・文書化される」）を記述する機能・カテゴリ・サブカテゴリがあり、メカニズム（「入力フィルタ X をデプロイ」）ではない。Playbook は行動を提案する；順に完了すべきチェックリストではないと明示されている。監査可能なマネジメント・システムが必要な組織は ISO/IEC 42001 を参照するか、既存 RMF 承認境界に AI RMF を結び付けるべきであり — AI 100-1 自体から認証を発明すべきではない。

これらの事実が命名混乱を説明する。セキュリティエンジニアは「framework」と聞いて CSF や SP 800-53 に手を伸ばす。AI ガバナンス・チームは「framework」と聞いて AI 100-1 に手を伸ばす。両方の直感は半分正しい。本稿の残りは、互いに置き換えるのではなく同一システムに接続したままにすることについてである。

3. 当初の AI RMF リソース・スイート

NIST の 2023年1月ローンチは単一ファイルではなくパッケージであった。下表は実務上「AI RMF」と呼ばれる五リソースを列挙する。後続のプロファイルとタクソノミは補完であり、この表のメンバーではない。

3.1 AI RMF 1.0（NIST AI 100-1）

AI 100-1 は二部構成である。Part I は AI リスクを枠組む：AI アクター、AI 危害とソフトウェア危害の違い、「信頼できる」の意味。Part II は Core：四機能、各々カテゴリ・サブカテゴリに分解。

Govern は横断的である。組織ポリシー、説明責任、文化、第三者ガバナンス、影響を受ける当事者との関与を含む。Map、Measure、Manage は特定 AI システムまたはユースケース上でループとして回る。Map は文脈を確立し影響を棚卸しする。Measure は方法を選択し信頼性特性を評価し、リスクを時間的に追跡する。Manage は残余リスク、インシデント対応、第三者エクスポージャを含む処理を優先する。NIST はこれを並行かつ反復的と提示し、ウォーターフォールではない。

見落としやすい二つの構造選択がある。

第一、プロファイル は first-class である。プロファイルは特定設定、リスク許容、リソース枠に対する機能の実装である。Generative AI Profile（AI 600-1）と今後の重要インフラ・プロファイルはプロファイル实例であり、競合フレームワークではない。

第二、Core はツールではなく成果を記述する。「MEASURE 2: AI systems are evaluated for trustworthy characteristics」は red team ベンダー、バイアス・ベンチマーク、敵対的ロバストネス指標を名指ししない。それらの選択は Playbook、組織プロファイル、AI 100-2 などの補完に属する。

3.2 Playbook

Playbook は実装コンパニオンである。各サブカテゴリについて提案アクション、情報参照、文書化メモを提供する。NIST は三つの制約を明示する：Playbook は任意；組織は適用分だけ提案を使える；全体を完了すべきシーケンスではない。最初の完全 Web 版は 2023年3月30日、Resource Center ローンチとともに発表された。NIST は AI RMF 1.0 改訂後に Playbook を更新すると述べている。

セキュリティ読者にとって Playbook は「secure and resilient」が戦術化する場所である — ロギング、評価、インシデントプロセス、サプライチェーン質問 — SP 800-53 にはならない。監査可能なコントロール ID が必要なチームは Playbook を離れており、そう述べるべきである。

3.3 Roadmap

Roadmap は 1.0 時点の NIST のギャップリストであり、納期付きスケジュールではない。公開優先事項には、国際標準との整合とクロスウォーク；テスト、評価、検証、妥当性確認（TEVV）の拡大；AI RMF プロファイル；信頼性特性間トレードオフのガイダンス；AI RMF 自体の効果測定方法；ケーススタディ；ヒューマンファクター；リスク管理に結び付く説明可能性；合理的リスク許容の設定方法；教育資料が含まれる。

これらのいくつかは独自文書に成長した（プロファイル、TEVV 隣接タクソノミ）。他は未解決、特にトレードオフガイダンスと効果測定。1.0 を完成した教義とみなすチームは改訂プロセスに驚く。

3.4 Trustworthy AI characteristics

特性は第五の PDF ではない。AI 100-1 の Part I であり、MEASURE 2 の対象である。スイートレベルで重要な点は、NIST が四機能を定義する 前 に「良い AI」を定義したことである。機能はそれらの特性を追求するために存在し、相反方向に引く場合も含む。

3.5 コミュニティ・カタログ（AIRC）

2023年3月30日 NIST は Trustworthy and Responsible AI Resource Center をローンチし、Playbook 内容、クロスウォーク、視点、寄稿ユースケースをホストした。これは非公式に「AI リスク管理データベース」と呼ばれるリソースである：コミュニティ実装のカタログであり、脆弱性データベースでもコントロール・ライブラリでもない。その機能は社会的 — 共有プロファイルとマッピング — であり、技術評価ではない。インシデント・データベースや MITRE ATLAS と混同すべきでない。

4. 信頼性特性とセキュリティ行

NIST の信頼性モデルは、セキュリティ・プログラムが最もスキップし、Responsible AI プログラムがプログラム全体と最も扱う AI RMF の部分である。どちらの切り口も構造を失う。

4.1 七特性

AI 100-1 は、信頼できる AI システムは組み合わせて次のとおりであると述べる：

1. Valid and reliable — 期待および合理的に予期しない条件下で意図どおりに機能し、限界が文書化されている。
2. Safe — 定義された使用条件下で人命、健康、財産、環境を危険にさらさない。
3. Secure and resilient — 不正アクセス、使用、妨害を含む予期しない不利事象に耐え、回復する。
4. Accountable and transparent — アクターを特定でき、必要な者にシステム情報が利用可能である。
5. Explainable and interpretable — AI 出力とシステム振る舞いを、対象者と決定に合ったレベルで理解できる。
6. Privacy-enhanced — 匿名性、機密性、制御などのプライバシー価値を組み込む。
7. Fair, with harmful bias managed — 有害バイアスと関連する差別リスクを管理する。

Validity は他の前提条件と記述される：無効なシステムは robust な意味で公平でも安全でもあり得ない。それ以外 NIST は残り六つを順位付けしない。Roadmap はトレードオフを未解決の研究・ガイダンス問題として示す。

4.2 「secure and resilient」がカバーする範囲

RMF 言語では、secure and resilient は古典的 CIA トriad と CSF 成果と重なる特性である。モデル重み、学習データ、プロンプトの機密性；データ、モデル、ツール出力の完全性；推論と周辺パイプラインの可用性；攻撃、分布シフト、運用障害下のレジリエンスを含む。

それ単独では含まない：

• モデルの表明目的がデプロイヤーの価値と一致するか（accountability）；
• 拒否とデュアルユース政策が適切か（safety、しばしば fairness も）；
• 説明が faithful か（explainability）；
• 学習データやログがプライバシー危害を生むか（privacy）；
• 評価が統計的に有効か（validity）。

敵対的機械学習は境界上にある。回避、ポイズニング、プライバシー攻撃、生成的悪用はセキュリティ事象であるが、validity、privacy、safety の事象でもある。だから NIST は AML を CSF Identify-Protect-Detect-Respond-Recover に完全に折りたたむのではなく専用タクソノミを書いた。

4.3 四機能がセキュリティ行にどう適用されるか

四機能のセキュリティのみの読解にも内容があり、完全 AI RMF プログラムより狭い：

Govern. モデルリスク、アプリケーション・セキュリティ、安全政策の所有者は誰か？ 第三者モデル、RAG コーパス、ツールはベンダーリスクプロセスに入っているか？ 情報セキュリティ政策だけでない acceptable-use 政策があるか？

Map. AI システムとは何か — モデル、プロンプト、ツール、検索、評価器、ヒューマン・イン・ザ・ループ？ fail-closed、fail-open、誘導された場合誰が害を受けるか？ 学習、評価、本番の環境は何か、モデルは差を推論できるか？

Measure. jailbreak、プロンプト注入、データ窃取、ポイズニング、メンバーシップ推論、ツール悪用のテストは何か — それらの攻撃が誘発し得る非セキュリティ特性のテストは？ 指標はローンチ時だけでなく時間的に追跡されるか？

Manage. 緩和後の残余リスクは？ モデル行動が古典的セキュリティ・インシデントでない危害を引き起こすときのインシデント経路は？ 第三者モデル更新はどう扱うか？

これは依然コントロール・ベースラインではない。「一度 red team した」は Measure 活動であり、Govern または Manage システムではない、と気づく方法である。

5. 補完：サイバーセキュリティと特化プロファイル

スイートが幹なら、本節の文書は最も誤って「NIST AI セキュリティ・フレームワーク」とラベルされる枝である。実在し有用だが、より狭い。

5.1 CSF 2.0

Cybersecurity Framework 2.0 はサイバーセキュリティ成果を六機能に整理する：Govern、Identify、Protect、Detect、Respond、Recover。技術中立で既に広く展開されている。モデル重み、プロンプト注入、chain-of-thought 漏えいが何かを知らない。LLM システムに CSF だけを使うと、通常は周辺クラウド・アカウントとアプリケーションを捉え、モデル固有の失敗モードを逃す。

「Govern」と AI RMF の語彙的重複は命名上の偶然であり、精神では整合する。CSF Govern はサイバーセキュリティ・ガバナンス。AI RMF Govern はセキュリティと他多数を含む AI 信頼性ガバナンスである。

5.2 Cyber AI Profile（NIST IR 8596）

Cybersecurity Framework Profile for Artificial Intelligence は 2025年12月 initial preliminary draft として公開され、口語的「AI セキュリティ・フレームワーク」に最も近い NIST 文書である。CSF 2.0 成果を AI に適用し、三焦点領域で構成される：

1. Secure — AI システムコンポーネント（モデル、データ、パイプライン、エージェント、インフラ）のサイバーセキュリティ。
2. Defend — 防御運用を強化する AI の利用、それがもたらす新失敗モードを含む。
3. Thwart — AI 支援攻撃（自動フィッシング、マルウェア、侵入）に対するレジリエンス。

NIST の意図は CSF 2.0、AI RMF、本 Profile を併用することであり、Profile が AI 100-1 を置き換えることではない。草案は計画ガイダンスとして考慮事項に優先度を割り当てる；組織は自社リスク許容に合わせ調整すべきである。執筆時点、文書は 2026年1月コメント期間後の initial public draft への道の上の草案のままである。

5.3 敵対的機械学習タクソノミ（NIST AI 100-2）

NIST AI 100-2 は 2025年更新の用語・タクソノミ報告である。学習パラダイム、ライフサイクル段階、攻撃者目標、能力、知識で攻撃を分類する。予測システムの主要クラスは evasion、poisoning、プライバシー攻撃。生成的システムには misuse を追加。緩和と限界も論じる。

Measure が「モデルに何が起きたか」の共有言語を必要とするときに引用する文書である。ガバナンス・フレームワークでも CSF プロファイルでもない。ATLAS は関連実践者脅威ランドスCAPE；AI 100-2 は将来標準と実践ガイドを inform する NIST 語彙である。

5.4 Generative AI Profile（NIST AI 600-1）

NIST AI 600-1 は CSF プロファイルではなく AI RMF プロファイルである。生成的システムで unique または増幅されたリスクに Govern–Map–Measure–Manage を適用する：confabulation、データ・プライバシー、情報セキュリティ、有害コンテンツ、均質化、人間–AI 構成など。LLM やエージェントをデプロイし 600-1 なしで 1.0 を実装するチームは、NIST が既に書いた GenAI 固有リスクリストなしの一般枠を使っている。

5.5 SP 800-53 と AI コントロール・オーバーレイ

SP 800-53 は米連邦システムおよび既に使用する多くの民間プログラム向けコントロール・カタログのままである。NIST は AI 指向コントロール・オーバーレイを開発中：AI システム型向け既存コントロールの選択と解釈であり、置換カタログではない。オーバーレイが確定するまで、正直な実装経路は：RMF がプラットフォームを承認；AI RMF がモデルを govern；CSF / Cyber AI Profile が cyber 成果を優先；SP 800-53（または民間カタログ）が技術コントロールを实例化。

5.6 重要インフラ・プロファイル

2026年4月 NIST は重要インフラにおける信頼できる AI 向け AI RMF プロファイルの概念ノートを公開した。対象は IT、OT、ICS 文脈の CI オペレーターで、ベンダーと内部チームに信頼性要件を述べる必要がある者である。AI 100-1 のセクター・プロファイルであり、セクター固有 cyber 規制の代替ではない。

5.7 AI RMF 1.0 の改訂

NIST は AI RMF 1.0 がホワイトハウス AI アクションプランの一部として改訂中であり、Playbook はその改訂後に更新されると述べる。本稿を含む対応付け論文は、1.0 時代スイートと 2026年中期までの補完の地図として読むべきであり — 2.0 テキストの凍結ではない。

6. 使用マップ

実務的問いはどの文書が「the」フレームワークかではない。どの文書がどの問いに答えるかである。

1. どの成果を負うか？ → AI RMF 1.0 + プロファイル（600-1 またはセクター）
2. どう追求するか？ → Playbook + AIRC 例
3. cyber 成果は？ → CSF 2.0 + Cyber AI Profile
4. モデルに何が起き得るか？ → AI 100-2（+ ATLAS）
5. どのコントロールが实例化するか？ → SP 800-53 / オーバーレイ / ISO 27001

行をスキップするのは一般的；スキップした行がカバーされたと主張するのが usual エラーである。

6.1 手順

1. システムとアクターを名指し（Map）。 モデル、データストア、ツール、評価器、ユーザー、影響当事者を書き留める。この棚卸しがなければ CSF も Playbook もプログラムを救わない。

1. プロファイルを選択。 一般システムは 1.0 をそのまま。生成的・エージェント型は AI 600-1 を追加。CI オペレーターは重要インフラ・プロファイルを追う。プロファイルはスコープ決定であり、ためのための書類ではない。

1. Measure 劇場の前に Govern を立てる。 モデルリスク、アプリケーション・セキュリティ、安全政策、ベンダー AI のオーナーを割り当てる。リスク許容を明示的に決める — Roadmap 項目 9 はこのステップが通常偽装されるために存在する。

1. 比喩ではなく CSF 経由でサイバーセキュリティを引く。 IR 8596 の Secure / Defend / Thwart 考慮を既存 CSF カテゴリにマップする。AI 100-1 サブカテゴリ周りに ISMS を書き換えない。

1. Measure に攻撃語彙を与える。 AI 100-2 クラス（evasion、poisoning、privacy、misuse）をモデル中心テストの最小タクソノミとして使う。validity、fairness、privacy、safety の非セキュリティ評価を追加するか、それら特性を主張するのをやめる。

1. 実カタログでコントロールを实例化。 SP 800-53、クラウドプロバイダーのコントロール・マッピング、ISO/IEC 27001 が技術オブジェクトを保持できる。SIEM に現れない危害を含む残余リスクを Manage に記録する。

1. ネガティブ空間を文書化。 組織が Secure-and-resilient + CSF のみ実装するなら「AI RMF に inform された AI サイバーセキュリティ・プログラムを運用」と言い、「AI RMF を実装」とは言わない。

6.2 具体例：エージェント型チャット・システム

私有文書を検索し、ツールを呼び、複数ターンで行動するホスト型アシスタント — 多くの本番 LLM エージェントの形 — を考える。

Map. システムは「モデル」ではない。モデル、システム・プロンプト、検索コーパス、ツール API、セッション・メモリ、評価器、人間オペレーターである。影響当事者はエンドユーザー、検索に現れるデータの傍観者、ツール呼び出しの相手側を含む。AI 600-1 の GenAI リスクリストはスコープ内；予測 ML のみの 1.0 読解はそうでない。

Govern. 分離オーナー：アプリケーション・セキュリティ（authn/z、テナント分離）；モデル・プロンプト変更管理；安全政策（拒否、デュアルユース）；ベンダー・モデル。第三者 Govern（GOVERN 6 / MANAGE 3）は SaaS と同様に foundation model API に適用。

Measure. AI 100-2 の misuse と privacy クラスは jailbreak、検索文書経由プロンプト注入、ツール経由データ窃取をカバー。攻撃者なしでユーザーに害を与える confabulation や、一部言語での体系的拒否失敗はカバーしない。それらは validity、safety、fairness 測定である。攻撃成功率だけを数える red team 報告は 600-1 相対で不完全な Measure である。

Manage. インシデント型は古典的侵害 と 有害な完了ツール行動、ログの秘密漏えい、評価される場合の alignment-faking や欺瞞的推論の発見を含む。回復は資格情報ローテーションだけでなくプロンプトまたはモデルのロールバックを意味し得る。

CSF / IR 8596 オーバーレイ. Secure は serving スタックと学習または fine-tuning パイプラインをカバー。Defend は SOC ワークフロー内のモデル利用 — それが生むプロンプト注入リスク — をカバー。Thwart は他モデルで本システムに対する攻撃者（生成ルアでの credential stuffing、自動脆弱性発見）をカバー。

これらのいずれも IR 8596 が AI 100-1 である、または AI 100-1 が SP 800-53 であると装う必要はない。

6.3 失敗モード

公開主張で四つの反復カテゴリエラーを観察する（統計標本ではない；類型論）：

• PDF コンプライアンス. 完了 Playbook スプレッドシートを MEASURE 2 の実装とみなす。
• セキュリティ提喩. AI RMF 実装を敵対的ロバストネス評価と同一視する。
• 倫理提喩. AI RMF 実装をインシデント経路なし公平性ダッシュボードと同一視する。
• 認証劇. NIST が 1.0 向けにそのような認証を提供しないにもかかわらず「NIST AI RMF 認証」を宣伝する。

最後が最も誤解を招く。ISO/IEC 42001 が認証可能 AI マネジメント・システムである。AI RMF はそのシステムと 整合 し得る任意成果フレームワークである。

7. 関連研究

NIST 自身のスタック. 本稿は競合ではなくそのスタックの読解である。主要ソースは AI 100-1、Playbook と Roadmap、AIRC、AI 600-1、AI 100-2、CSF 2.0、IR 8596。SP 800-37 と SP 800-53 は連邦情報システムの承認・コントロール背骨のままである。

国際マネジメント・システムと法. ISO/IEC 42001 は監査可能 AI マネジメント・システムを規定。ISO/IEC 22989 は語彙；ISO/IEC 42005 は impact assessment。AI RMF Roadmap はこのファミリーへのクロスウォークを既に最優先とした。EU AI Act はスコープ内システム向け拘束的リスク階層規制である。NIST プロファイルではない。クロスウォークは適切；同一視は不適切。OECD AI Principles はより高い高度にあり、NIST が蒸留した 2019–2023 trustworthy-AI 語彙の多くを inform した。

セキュア開発ガイドライン. CISA と NCSC の安全 AI システム開発ガイドラインは AI RMF 全体より IR 8596 の Secure 焦点領域に近い。有用な Measure/Manage 入力であり、公平性や accountability の代替 Govern モデルではない。

脅威ランドスCAPE. MITRE ATLAS は AI システムに対する敵戦術をカタログ化。Biggio と Roli は敵対的 ML の最初の十年を概観。Weidinger らは敵対的設定を超える言語モデルリスクを分類。Amodei らは primarily 攻撃者問題でない事故リスクを枠組んだ。AI RMF はいずれのリストより意図的に広い；AI 100-2 が敵対的部分集合を最も直接吸収する NIST 文書である。

信頼性問題としての alignment. helpful、honest、harmless アシスタントと constitutional training の研究は古典的サイバーセキュリティより safety、accountability、validity に触れる。エージェント型システムでは Map と Measure 下に依然属する： oversight 下で戦略的に comply するモデルは SP 800-53 コントロールが失敗していなくても Manage 関連失敗モードである。AI RMF は「alignment」を primitive として使わない； care する組織は Map で named リスクとして扱い、secure-and-resilient の同義語とすべきでない。

8. 考察

8.1 本対応付けが行わないこと

AI RMF 整合を主張する組織がそうでない組織とインシデント率で異なるか測定していない。Roadmap 項目 5（フレームワークの効果）は未解決 NIST ワークストリームのまま。新コントロール・オーバーレイや ISO/IEC 42001、EU AI Act への完全クロスウォークも生産していない；それらは文書サイズのプロジェクトであり、一部は既に AIRC にある。

したがって本稿は 地図作成 貢献である。その失敗モードは地図の usual なもの：1.0 改訂中 especialmente 地形より権威的に見えること。

8.2 任意フレームワークと調達言語

AI 100-1 が任意かつ成果ベースであるため、二値調達条項（「供給者は AI RMF 準拠でなければならない」）の poor 対象である。より precise 条項はプロファイル（例 AI 600-1）、スコープ内特性、Measure 期待証拠、Protect/Detect 技術オブジェクト实例化に使うコントロール・カタログを名指す。認証可能マネジメント・システムが要求される場合 ISO/IEC 42001 が設計された instrument。認証可能セキュリティ・コントロール集合が要求される場合 SP 800-53 または同等が設計された instrument のまま。

8.3 測定ギャップ

Govern と Map はワークショップでできる。Measure はできない。NIST の TEVV Roadmap 項目は、AI システムの社会技術評価が買い手が聞きたい主張に対して方法論的に thin なために存在する。セキュリティ・チームは red team 合格/不合格率を validity、fairness、safety の代わりに overload してこのギャップを埋めるべきでない。その置換が「NIST AI セキュリティ・フレームワーク」をマーケティング句にする方法である。

8.4 エージェント、ツール、2023 テキスト

AI 100-1 はツール使用エージェントの widespread デプロイに先行する。AI 600-1 と IR 8596 が追いつき始める文書である。メール送信、インフラ変更、コード記述できるエージェントは Map 棚卸しと Manage インシデント・タクソノミを拡大する。AI RMF の新マーケティング名は不要；ツール、メモリ、authorization を first-class システムコンポーネントと名指すプロファイルが必要である。

8.5 改訂リスク

本稿から実装する読者は 1.0 改訂を追うべきである。機能名は persist し得る一方、サブカテゴリ、プロファイル期待、Playbook 行動は変わり得る。重要な構造的主張 — スイート対補完；特性対コントロール — は survive しそう；1.0 サブカテゴリへの表レベル引用はそうでないかもしれない。

9. 結論

AI Security Framework という単一 NIST 文書は存在しない。2023 プログラム — AI 100-1、Playbook、Roadmap、信頼性特性、コミュニティ・カタログからなる AI RMF スイート — と、サイバーセキュリティ、生成的 AI、セクター実践を深める後続 instrument 集合がある。

セキュリティは七つの信頼できる AI 特性の一つである。四機能が七つすべてを運用化する。CSF 2.0 と Cyber AI Profile 草案がサイバーセキュリティ成果層である。AI 100-2 が攻撃語彙である。SP 800-53（と forthcoming オーバーレイ）がコントロール層である。ISO/IEC 42001 と EU AI Act が隣接レジームである。

これらを併用すれば文書は一貫する。同義語として使えば、倫理語彙付きセキュリティ、またはインシデント経路なし倫理のプログラムを生む。最も安価な修正は言語的：どの文書がどの問いに答えるか述べ、残りを主張するのをやめることである。

謝辞

本稿は、公開されている NIST および関連標準文書の体系的読解である。NIST とは無関係であり、法的・コンプライアンス上の助言を構成せず、いかなる製品が AI RMF を実装しているとも主張しない。

@online{violet2026nistairmf,
  author = {Haigh, John},
  title = {The NIST AI Risk Management Framework: Mapping the Core Suite to Security Practice},
  date = {2026-09-12},
  year = {2026},
  url = {https://www.violetai.ca/ja/research/nist-ai-rmf/paper},
}