まさか実際には確認したことのない“名前”から始まった
Newtonのパートナー・エコシステムについてのあらゆる概要（私のものも含む）は、Octaneを「継続的なAIによるスマートコントラクトのセキュリティ」として挙げ、そこで話が終わっています。私は、その会社が実際に何をしてきたのかを確かめたかったのです。というのも、「AIセキュリティパートナー」という肩書きは、リストに載せるのも、パッと流し読みするのも簡単だからです。
Octaneが実際に見つけたもの
いくつかの具体的なデータポイントです。単なる宣伝文句ではありません。Octaneは、Nethermind実行クライアントにおける高深刻度の“稼働性（liveness）”脆弱性を特定しました。未修正のままにしておけば、このクライアントを動かしている約40%のメインネットのEthereumバリデータにブロック生産が停止し得るほど重大です。これは軽微なコントラクト内の架空のバグではありません。Ethereumそのものにとってのシステミック・リスクを伴う発見です。
さらに、OctaneのAIはMonadの監査コンペで、1,600人超のセキュリティ研究者の中で1位に選ばれました。これは、大規模な人間競合相手との直接的で対立的、しかも審査付きの比較であって、自称のベンチマークではありません。加えて、OctaneはCircleのUSDC契約を継続的にレビューするセキュリティパートナーでもあり、MUX Protocolにおいて、8百万ドル超のリスクを招き得る重大な脆弱性を見つけたことを公に記録しています。さらに、Covenantで「Phantom Multicall」問題も報告されています。これは、継承されたコントラクトの許容的なマルチコール機能に起因して発生したもので、人間のレビュアーが“ファイルを1つずつ読むだけ”では見つけるのが本当に難しいタイプの、クロスコントラクト相互作用のバグです。
それは、実際に外部から検証できる実績です。入ってみて思った以上に、Octaneが正当で有能なセキュリティ体制だと確信する材料がありました。
よく読んでおくべき、彼ら自身の売り文句の“中身”
Octane自身の資料は、どのように使うべきかについてこう述べています。つまり、継続的なAI駆動のレビューで、すべてのコミットおよび依存関係の変更をレビューすること。それは、従来の“ポイント・イン・タイム”の人間による監査を補完するものとして明確に位置づけられており、代替ではありません。Octane自身の説明はこうです。「主要なプロトコルの多くはOctaneを人間の監査と組み合わせ、Octaneを、レビューサイクルの間に導入されるものを捕捉する層として扱います」。
これは、ベストプラクティスに関する具体的で検証可能な主張です。Octaneが提供する価値は、人間の監査によってベースラインが確立された後に“ズレ（ドリフト）”を捕捉することにあります。基盤となる人間の監査がない状態でOctaneを使っているプロトコルは、Octane自身が推奨するモデルの“半分”だけを使っていることになります。
外部からは答えられなかった疑問
では、こうです。Newton自身のコアコントラクトおよびポリシー評価コードの下に、継続的なOctaneレイヤーの“上に”ではなく“その下に”置かれる形で、人間による監査が公表されているのでしょうか？私はNewton固有の監査レポート（Octaneの人間監査パートナー、あるいは他の名前のある企業のもの）を探しましたが、Octaneのパートナーシップ発表に付随して公開リンクされているものは見つかりませんでした。これは存在しないことを意味するわけではありません。監査レポートは、GitHubリポジトリやダッシュボードに置かれていたり、マーケティングページからはリンクされず、依頼があって共有されたりすることがあります。ただ、私はそれを独立に確認できず、しかもそれは「存在することを確認できる」状況とは意味の上でかなり違うのだと思います。
これは重要です。「私たちはOctaneと取引している」「私たちのコードは完全な監査を受け、さらにOctaneが以来継続的に稼働している」といった話は、保証のレベルがまったく違うからです。そして、多くの概要で見られる“パートナー一覧”の見せ方（私自身の以前のものを含む）は、それらを区別していません。両者の違いが重要だと伝えているのはOctane自身の資料であり、継続的なAIレビューは人間の監査“の代わり”ではなく、“それと組み合わせると最も効果的”だと言っている点からも、その違いを隠す気がありません。
なぜこれは「釣り針（Gotcha）」ではないのか
はっきり言っておきます。これはNewtonが手抜きをしているという告発ではありません。仮に知り得た範囲になかっただけで、完全な監査は存在するかもしれません。こうした立ち上げ初期のプロトコルでは、監査が進行中だったり、完了していてもまだ公開されていなかったり、複数のコントラクトに分かれていて監査のタイムラインが異なっていたりすることがあります。いずれもNewtonの段階のプロジェクトでは通常あり得ることです。
しかし率直に言うと、私はOctaneが実在し、信頼できる“本物のパートナー”であり、実績があることは検証できます。ですが公開資料だけからは、Newton自身のコントラクトが、Octane自身が「実際に推奨されるモデルだ」と言っている“人間の監査＋継続的AI”の組み合わせを受けていることを、私は確認できません。これらは2つの別の主張で、私が確信をもって裏付けられるのはそのうち1つだけです。
私が実際に確認したいこと
もし、Newton統合型のバルトに資金を預けるかを評価しているなら、私が見たいのは「Octaneがパートナーであること」ではありません。コアとなるPolicyClientおよび評価用コントラクトについての、リンクされた日付付きの人間による監査レポートです。できれば、名前のある企業によるもの。加えて、Octaneの継続的スキャンが“そのコードベースに対して実際に”いつから動いているのかを示す証拠も必要です。必要なのはこの2つであって、よりマーケティングしやすい方だけではありません。