5か月前の古い事件が、今週また持ち出されている。添えられているのはGenLayerだ。

実際にあった話だ。今年5月、ある人物がまずGrokのウォレットに、送金権限を有効にできる会員NFTを送りつけ、次にGrokに解読させるためのモールス信号を送った。Grokは解読した「送金」という文言をそのまま投稿し、Bankrbotが指示どおりに実行した。金額は報道によってまちまちで、20万ドル、17万5,000ドル、「DRB30億枚、約15万〜20万ドル」と書かれている。秘密鍵を盗まれたわけでも、ゼロデイ脆弱性を突かれたわけでもない。お金を動かせるボットが、誰かの読み上げた言葉を命令として受け取ってしまっただけだ。

ところが、ここ数日のXでの議論を見てみると、リプライ欄は「GenLayerの5人のバリデーターが独立して解読すれば、異常をすぐに検知できる」「Greyboxingこそ正解」といった投稿ばかり。言い回しまで、まるで同じ指示書から出てきたみたいにそろっている。他人の損失を自社製品の宣伝に使う。この手口は暗号資産界隈ではおなじみだ。

私の考えは単純だ。この件を解決するのに、新しいチェーンなんて必要ない。問題はBankrbotが「読み取った内容」と「実行する指示」を同じ経路に通していたことに加え、NFTひとつで権限を与えられる人がいたことだ。本当に防ぎたいなら、送金上限や人間による確認をウォレット側に設けるほうが、5人のバリデーターによる投票より確実で安上がりだ。Xで閲覧数が一桁しかない小さなアカウントの投稿のほうが、あの大量のyap投稿よりよほど要点を押さえていた。署名できるエージェントは、読み込んだものをすべてデータとして扱い、命令として扱ってはいけない。

今やAIエージェントのプロジェクトはどこも「AIに資産管理を任せよう」と声高にうたっている。まずはひとつ聞きたい。モールス信号ひとつで説得されてしまうのか？ そこがはっきりしないなら、お金を預けるのはやめておこう。

#AIAgent #オンチェーンセキュリティ