5月4日に、モールス信号で隠されたメッセージが6ケタの暗号資産移転を引き起こした。2つの連携AIシステムを経由した。一方はイーロン・マスク氏のxAIが開発したチャットボット「Grok」。もう一方は、リンクしたウォレットから送金可能な暗号資産エージェント「Bankrbot」だった。
攻撃者はまず、Bankrの決済ツールを開放するデジタル会員トークンをウォレットに送信した。その後、Grokがメッセージを解読し、Bankrbotがその回答を送金指示と判断。15万ドルから20万ドルと推定される資金を移動した。
モールス信号のメッセージが6ケタの決済に
なぜこれが問題となるのか。それは、わずか2つのAIエージェントによる6ケタ規模の不正事案が浮き彫りとなったためである。一方のAIがテキストを生成し、もう一方がそれを決済許可として扱った。
AIエージェント決済の規模が拡大する現在、このような事態は「エージェント型金融」の未来に悪夢をもたらす要因となり得る。
Keyrockが集計したところ、2026年4月までに1億7600万件のオンチェーンエージェント決済が、7300万ドル相当に達した。決済額の中央値は0.01ドルから0.10ドルの間で、76%が0.30ドル未満だった。ソフトウェアが連続的に決済可能な時代、小額取引の積み重ねが大きな管理課題となる。
個々の決済は極めて小口だがエージェント決済の総量は膨大 出典：Keyrock この傾向は主流の決済インフラにも波及している。マスターカードは6月、高頻度・小口決済向け「Agent Pay for Machines」を始動。グーグルやビザも、エージェントによる本人確認と権限証明の標準仕様を開発中である。
BeInCryptoは、Edge & Nodeのロドリゴ・コエーリョCEO、Nethermindの機関担当責任者ニティン・ガウル氏、MetaMaskの開発者リレーションズ担当ディレクターであるフランチェスコ・アンドレオリ氏に「リスクを誰が負うのか」について質問した。
コエーリョCEOの回答は明快だった。
「運用した企業である。責任がAIモデル自体にあるというケースはない」とAIおよびWeb3インフラ開発会社Edge & Nodeのロドリゴ・コエーリョCEOは述べた。
カリフォルニア州ではすでにこの原則が法律化されている。AB 316法は1月から施行されており、AIの開発・改変・使用に関与した被告が「システムが自律的に損害をもたらした」と主張するのを禁じている。因果関係や予見可能性はなお重視される。
受領記録は許可証ではない
オンチェーン取引は資金の移動そのものを証明するが、エージェントが正当な権限を有していたかは証明しない。
「現状、エージェントを展開する企業の多くは、エージェントの権限を本当に証明できない。取引自体はチェーン上で誰でも確認できるが、その背後にあった許可内容を示すことはできない」とコエーリョCEOは指摘する。
権限委任者や適用方針、エージェントの参照情報、決済上限などの情報はウォレットアドレスでは判別できない。
Nethermindのニティン・ガウル氏は、この論争も「権限根拠」が軸だと述べる。
「紛争の決着を左右するのは権限証拠だ。正当な署名付きで有効期間内の委任命令に従ったことを示せれば、通常の決済と同様に解決できる」
グーグルのAP2は暗号署名付きの委任命令により、ユーザー意思を記録している。ビザのTrusted Agent Protocolは、認定済みエージェントが本人性や権限を示すデジタル署名を提示できる方式だ。
マスターカードは、認証資格やプログラムによる送金限度制御も導入。仕組みは異なるが、本質は「許可情報が決済と共に伝達される」ことにある。
エージェントの手が届かない場所に制限を置く
委任命令が存在しても、エージェントがそれを自ら改ざんや承認できたり、無制限の署名権限を持つ場合は無意味となる。コエーリョCEOは境界線を「秘密鍵の管理」に置く。
「エージェントは秘密鍵を保有すべきではない。決済提案までは許されるが、実際の認可を下すのは別システムでなければならない」と同氏は語る。
MetaMaskのフランチェスコ・アンドレオリ氏も、プロンプトの制御に同様の見解を示す。
「本当に効力を発揮する制御は、エージェントの手が届かない位置にのみ成立する。プロンプト内ルールは方針ではなく指示案に過ぎず、現実にはその場で説得されて破られがちだ」
現実的には、分離管理された資金、厳格な1回・1日当たり決済上限、認可済み相手先、即時の権限剥奪、緊急停止機能の実装が必要となる。実際の認可前には独立システムがルールを確認する。
エージェントに入力されるツールが新たなリスクを生み出している。Snykは2月に公開されているエージェントスキル3984件を調査し、その36.82％に少なくとも1件のセキュリティ問題を確認した。認証情報の窃取やバックドア、データ流出を伴う悪意あるペイロード76件も特定した。
Snykは、多くの公開エージェントスキルにセキュリティ問題を確認した 出典：Snyk ToxicSkills research ガウル氏は、プロンプトインジェクションを支配的なパターンと見ている。「プロンプトインジェクションが支配的であり、エージェントは信用できないコンテンツから指示を受け、それを本来の依頼者からの指示として実行してしまう」と語る。
防御可能な監査証跡には、エージェントの識別情報、署名済みの委任状、ポリシーのバージョン、取引内容、元データ、承認された例外事由を、支払い発生時に記録する必要がある。ブロックチェーンはその一部を提供する。
ガウル氏の基準はより簡潔だ。「証明可能、取消可能、範囲限定」
これらの性質を備えなければ、企業は弁明不可能な決定の証拠として、改ざんできないレシートを持たされることになる。
jp.beincrypto.com でMohammad Shahidによるオリジナル記事 AIエージェントによる損失は誰の責任か を読む