人型ロボットや四足歩行ロボットが、空港の手荷物運搬から建物の警備まで、ごく普通の光景になりつつあります。その普及を支えてきたのは、圧倒的な低価格を武器にした中国製ロボットです。2026年7月28日、米国はこの前提そのものに待ったをかけました。安全保障上のリスクを理由に、中国製ロボットの新規輸入を事実上禁じたのです。この決定は、日本にとっても対岸の火事ではありません。
2026年7月28日に更新されたFCCのカバードリストには、外国製の高度なロボットデバイスとパワーインバーターが新たに加わった。対象は人型・四足歩行ロボット等で、原産国を問わず適用される。禁止されるのは新型モデルの輸入・販売のみで、既存の認証済みモデルの輸入・販売・使用、連邦政府による調達・使用には影響しない。戦争省または国土安全保障省の「条件付き承認」を受けた製品は適用除外となる。カー委員長はサプライチェーン保護を目的とした声明を発表した。
【編集部解説】
まず、この規制が禁じていないもの
今回の措置を理解するうえで、最初に押さえておくべきは「何を禁じていないか」です。
FCCがカバードリストに追加した「高度なロボットデバイス」は、国家安全保障認定の文書で厳密に定義されています。移動可能で、機体（および該当する場合はドッキングステーション等）の合計重量が4.4ポンド（約2kg）を超え、周囲を知覚するセンサーと、200kbps以上の速度で通信できるネットワーク接続機能（Wi-Fi・Bluetooth・セルラー・衛星等）を備えた機器がこれに該当します。
そして、この定義に該当する機器であっても、すでに認証を取得済みのモデルは対象外です。FCC自身のファクトシートは「本日の措置は、消費者がすでに取得した機器を継続して使用することには影響しない」「FCCの機器認証プロセスを通じて過去に承認された該当モデルについて、小売業者が引き続き販売・輸入・マーケティングを行うことも妨げない」と明記しています。連邦政府による調達・使用も一切の制限を受けません。
これは見落としや抜け穴ではなく、制度の設計そのものに由来します。FCCがカバードリストを通じて持つ権限は、Secure and Trusted Communications Networks Actに基づく「機器認証」——つまり輸入・マーケティング・販売の前提となる許可——の付与・拒否に限られます。すでに合法的に取得された機器の使用そのものを禁じる権限は、この枠組みには含まれていません。
ただし、この「第一段階」が最終形とは限りません。FCCは2026年6月26日、2022年11月の規則制定でカバードリスト対象となったHuawei・ZTE・Hikvision等について、既存の認証を遡及的に無効化する、より踏み込んだ規則を発表しています。3年以上を経ての「抜け道封鎖」でした。今回のロボット・インバーター規制も、いずれ同じ道をたどる可能性は制度上排除されていません。
なぜ、いま禁止に踏み切ったのか
FCCは自らこの措置を発案したわけではありません。Secure Networks Actのもと、FCCはあくまで国家安全保障当局の認定を実施する立場です。今回の引き金となったのは、ホワイトハウスが招集した省庁横断チームによる認定でした。
認定文書は、ロボットについて「悪意ある主体が米国人を監視したり、外国の諜報機関の能力を強化したり、ロボットを遠隔で乗っ取ったりするために利用しうるデータを収集する」リスクを、インバーターについては「外国企業がインバーターを停止させたり、データを収集・持ち出したりする」リスクを、それぞれ名指ししています。
この判断の背景には、レアアース（希土類）問題の再来を避けたいという当局者の危機感があるとロイターは報じています。中国はレアアース市場で圧倒的な支配力を築き、それを外交上のカードとして使ってきた前例があり、ロボットやインバーターという次世代の重要産業で同じ構図が繰り返されることを、米国は事前に断ち切りたいと考えているようです。
対中強硬派が警戒してきたのは、こうしたロボットが米国の重要産業に対するスパイ活動に利用され、機密データが中国に流出する懸念です。米国防総省は最近、ヒューマノイド分野の有力企業であるUnitree Roboticsを、中国軍を支援しているとみなす「中国軍関連企業」リストに追加しており、これが今回の規制強化の前兆になっていたとの見方も報じられています。
UniPwnという引き金——具体的に何が見つかったのか
「サイバーセキュリティ上のリスク」という言葉を、具体的な事例に置き換えると何が見えるのでしょうか。
2025年9月、セキュリティ研究者のアンドレアス・マクリス氏とケビン・フィニステア氏が、Unitree製のロボット（四足歩行のGo2・B2、人型のG1・H1）に存在する重大な脆弱性CVE-2025-35027を公表しました。通称「UniPwn」と呼ばれるこの脆弱性は、機体の初期設定時に使われるBluetooth Low Energy（BLE）通信の暗号鍵が、機体ごとに変わらない固定値としてハードコードされていたことに起因します。
この固定鍵さえ分かれば、認証を通過したうえで、Wi-Fi設定を偽装する形で任意のコードをroot権限で実行させることが可能でした。しかも単なる遠隔操作にとどまらず、感染した機体が周囲のBluetooth圏内にある他のUnitree製ロボットを自動的にスキャンし、ユーザーの操作なしに感染を広げる、ワーム型の性質を持っていたことが指摘されています。
私たちは2026年5月15日の記事で、この脆弱性をすでに詳報しています。ミュージシャンでハッカーのベン・ジョーダン氏による検証動画では、root権限奪取だけでなく、SDR（ソフトウェア定義無線）による強制停止、ChatGPT連携機能を介したAPIキー漏洩の可能性、そしてGo2が中国のパブリックDNS・Alibaba Cloud・TencentのDNSへ暗号化通信を行っている実態までが示されたと報じられています。Go2は米国の複数の警察署や英国ノッティンガムシャー警察でも導入例があり、この脆弱性が机上の空論ではないことを裏付けています。
研究者らは2025年5月、責任ある開示の手順に沿ってUnitreeに接触しましたが、やり取りは徐々に停滞し、7月には応答が止まったため、公開に踏み切ったと説明しています。Unitreeは2025年9月、「セキュリティ上の懸念を認識しており、修正の大部分を完了した」とLinkedIn上で声明を出していますが、確認可能な形でのファームウェア更新が公開されたかどうかは、2026年7月時点の報道でも明確になっていません。
これとは別に、2025年3月27日にはGo1の旧モデルで、中国Oray社のリモートアクセストンネルサービスが利用者に知らされないまま組み込まれていたという、別種の脆弱性（CVE-2025-2894、通称CloudSail）も登録されています。APIキーさえあれば、製造元や鍵保有者がロボットを遠隔操作できる構造でした。さらに2025年12月には、上海のGEEKConで研究グループDARKNAVYが、Unitree製ヒューマノイドロボットを音声コマンドだけで乗っ取れることを実証しています。
FCCの認定文書自体は、特定の企業名や脆弱性名を挙げているわけではありません。ここで示した固有名詞は、あくまで「サイバーセキュリティ上のリスク」という抽象的な表現の背後に、具体的に何が実在するかを補うための、私たちの側での接続です。
過去の規制パターンが示す「この先」
FCCがカバードリストに新しいカテゴリーを追加するのは、今回が初めてではありません。ファクトシート自身が「FCCはここ数カ月、無人航空機システム（UAS）およびその重要部品、ならびに家庭用ルーターについても同様の措置を講じている」と述べています。
これらの前例を並べると、ある共通のパターンが見えてきます。まず新型モデルの認証拒否から始まり（第一段階）、既存の認証を遡及的に無効化するのは、その後の別の手続きを経てから（第二段階）という順序です。前述の通り、Huawei・ZTE等がこの「第二段階」に至るまでには3年以上を要しました。
もう一つの前例が、ドローン最大手DJIの動きです。FCCは2025年12月、外国製ドローンおよび重要部品をカバードリストに追加しましたが、DJIはこれを不服として、2026年2月、米国第9巡回区控訴裁判所（連邦高等裁判所の一つ）に提訴しました。DJI側は「FCCは権限を逸脱し、必要な手続きを怠り、修正第5条に違反した」と主張しています。この訴訟の行方は、Unitree等が同様の対抗手段に出るかどうかを占ううえでの参考点になります。
今回のロボット・インバーター規制についても、FCCは既存の認証を将来的に取り消す権限を保持しているとロイターは報じています。「今は新型モデルだけ」という現状が、この先どれくらいの期間維持されるのかは、誰にも分かりません。
業界への影響——Unitreeと、その先にあるもの
規制の直接的な標的になるとみられているのが、杭州拠点のUnitree Roboticsです。同社の市場シェアは、参照する報道・評価機関によって数字が大きく異なります。ロイターは「世界市場シェアの5分の1弱」と報じている一方、Counterpoint Researchのアナリスト自身が別の取材では「世界のヒューマノイド販売の約3分の1」と述べたと報じられており、同じ調査会社を引いていても報道によって数字が揺れています。Omdiaの2025年出荷ランキングではAGIBOTが1位（39%）、Unitreeが2位（32%）とされ、Unitree自身は5,500台超の出荷を主張してAGIBOTを上回るとの立場を取っています。どの数字を採るかによって「1位」が入れ替わる程度には、評価が定まっていません。
米国側にとっての影響も見過ごせません。NVIDIAは2026年6月1日、GTC Taipei（Computex）にて、自社のフィジカルAI基盤「Isaac GR00T」のリファレンス機体として、Unitreeの「H2 Plus」シャーシを採用したと発表しています。米国のAI開発の一部が、今回輸入禁止の対象になったのと同じ系統のハードウェアと、すでに絡み合っている状態です。
米国製の代替機——Boston Dynamics AtlasやAgility Robotics等——は公式価格を公表していませんが、第三者による推定では20万〜25万ドル程度に集まるとされます。一方、Unitreeの機体はG1が13,500ドルから、廉価版のR1は4,000ドル台からという価格差があります。MITやプリンストン等の研究機関がUnitree機を研究基盤として採用してきたのは、この価格差が理由の一つです。代替のコストは、単に「別の会社から買う」以上の重みを持ちます。
他人事ではいられないGMO AIR
ここまでは、太平洋の向こう側の話として読むこともできます。しかし、そうはいきません。
GMOインターネットグループ傘下のGMO AI＆ロボティクス商事（GMO AIR）は、2026年6月19日、Unitree Roboticsと国内正規代理店契約を締結しました。同日から販売を開始した機種は、人型ロボット「G1」「H1」、四足歩行ロボット「Go2」「B2」——今回の規制が対象とする「高度なロボットデバイス」の定義に当てはまる、まさにその型番です。
しかもこれは仮定の話ではありません。GMO AIRはすでに、日本航空（JAL）のグランドサービスと組んで、2026年5月から羽田空港での実証実験を行っています。空港という重要インフラで、まさに今回の規制が名指しした型番のロボットが動いている——これが2026年7月時点の実態です。
私たちは2026年6月22日の記事で、この提携を評価する編集部解説の中で、次のような問いを立てていました。
「このロボットが収集したデータは、どこに送られているのか」
「セキュリティに問題はないか」
「障害が起きたとき、責任を問える相手はどこにいるのか」
5週間後、米国政府が国家安全保障認定の中で挙げた懸念——データの収集・流出、遠隔操作への脆弱性、供給網の透明性——は、この問いとほぼ同じ骨格をしています。私たちが「企業の調達担当者が必ずぶつかる問い」として想像していたものに、米国政府が「その通り、リスクがある」という答えを出した格好です。
日本に「Covered List」はあるか
では、日本にはFCCのカバードリストに相当する制度があるのでしょうか。
答えは「限定的にはある、しかし性格がまったく異なる」です。経済産業省とIPAが運用するJC-STAR（IoT製品のセキュリティラベリング制度）は、対象を「インターネットとの通信が行える幅広いIoT製品」と定義しており、賛同団体のリストには「ネットワーク型の店舗用ロボット」も含まれています。制度としてロボットを排除してはいません。
ただし、決定的な違いが3つあります。第一に、JC-STARの★1・★2は自己適合宣言であり、取得しなければ売れないという強制力を持つ制度ではありません。第二に、★2以上の技術基準整備は、2026年1月以降、ネットワークカメラと通信機器から優先的に始まっており、ロボットは現時点で優先分野に入っていません。第三に、義務化が予定されているのは自治体のIT機器調達（2027年夏〜）に限られ、対象もPC・通信機器・サーバー・クラウドであって、ロボット単体を対象に含む動きは確認できていません。
つまり、「新型ロボットの輸入・販売を、安全保障上の理由で強制的に止める」制度は、日本にはまだ存在しません。FCCが即日発効という強い手段を持つのに対し、日本の制度は任意のラベリングと、ごく限定的な調達義務にとどまっています。
GMOがすでに持っている「答え」
制度的な空白があるからこそ、個々の企業がどう応えるかが問われます。GMOグループの事業構成を眺めると、この問いに対する「答えのセット」とも呼べそうな要素が、すでに揃っているように見えます。ただし、これはあくまで私たちの側からの見立てです。GMOがこれらの事業を「セキュリティへの回答」として意図的に組み合わせていると公式に述べているわけではない、という点は留保しておきたいと思います。
一つは通信の認証です。GMOグローバルサインは世界的な電子認証局として機能しており、機体IDの証明や通信の暗号化は、技術的には自然な延長線上にあります。もう一つは脆弱性診断です。GMOサイバーセキュリティ byイエラエは、IoT機器と自動車の脆弱性診断をすでに事業として展開しています。そして、何かがあったときに法的に問える相手が日本に存在するという、上場企業としての所在——これも、海外製ハードウェアを扱ううえでの調達側の不安に対する、一つの回答になります。
【関連記事】
【編集部後記】
今回の規制が及ぶのは、あくまで米国市場に新規参入する機体だけです。羽田空港ですでに稼働している機体は、そもそも米国の管轄の外にあり、この規制とは別の話です。むしろ問うべきは、日本が独自にこの種の規制を持つ日が来るかどうか、そのときGMOが積み上げてきた「答え」に見えるものが、本当に十分なのかどうかです。答えを急がず、期待をこめて、この問いを置いておきたいと思います。
【参考リンク】
【用語解説】
カバードリスト（Covered List）
米国の国家安全保障、または米国人の安全と安心に対して容認できないリスクをもたらすと判断された通信機器・サービスのリスト。Secure and Trusted Communications Networks Actに基づきFCCが管理・公表する。FCCは国家安全保障当局の認定に従ってリストを更新するのみで、独自の追加判断は行えない。
高度なロボットデバイス（Advanced Robotic Devices）
今回の認定における法的定義。移動可能で、合計重量4.4ポンド（約2kg）超、200kbps以上のネットワーク接続機能、周囲を知覚するセンサーを備えた機器。ヒューマノイド・四足歩行ロボット等が該当する。
条件付き承認（Conditional Approval）
カバードリスト掲載企業の製品であっても、戦争省（ロボットの場合）または国土安全保障省（インバーターの場合）が「容認できないリスクをもたらさない」と個別に判断した場合に、FCC認証の取得を可能にする適用除外の仕組み。
UniPwn（CVE-2025-35027）
2025年9月に研究者アンドレアス・マクリス氏・ケビン・フィニステア氏が公表した、Unitree製ロボット（Go2・B2・G1・H1）のBluetooth Low Energy通信に存在する脆弱性。固定の暗号鍵により、root権限での遠隔操作と、他機体への自動感染（ワーム化）が可能だった。
JC-STAR
経済産業省・IPAが運用する、IoT製品のセキュリティ対応状況を★1〜★4で可視化するラベリング制度。自己適合宣言（★1・★2）と第三者評価（★3以上）がある。輸入・販売を禁止する強制的な制度ではない。
