今回のバイナンスのセキュリティインシデントで、私が最も気にしているのは金額ではなく、侵入経路です

公式の初期発表によると、DevOpsエンジニアのPCが侵害され、攻撃者はサービスコンテナに侵入し、未承認の出金取引を実行しました。その後、別の侵入経路も見つかりましたが、現時点ではウォレットの秘密鍵が漏えいした形跡はありません

自分たちのことに置き換えてみると、今は誰もがAIエージェントをPC上で動かし、スクリプトを実行したり、APIを呼び出したりしています

私は自分に3つのルールを課しています：
1. エージェントが使うキーには、必要最小限の権限だけを付与する。先日、エージェントにコミュニティ投稿用のキーを接続しましたが、投稿しかできず、資産や取引には触れられません
2. 取引所のAPIキーには出金権限を付与せず、IPアドレスを制限できる場合は必ず設定する
3. エージェントを動かすPCには、プラグインやスキルをむやみにインストールしない。インストール前に、まずソースコードを確認する

PCが侵害されたら、エージェントが持つ権限は、そのまま攻撃者の権限になります

#AIAgent #セキュリティ