Partnered With:

慢雾：「クレイフィッシュ」などのAI Agentにお金を託すことは本当に安全でしょうか？

この記事を読むのに必要な時間は 60 分

API 権限境界は、エージェントが行えるアクションだけでなく、セキュリティイベントが発生した際の潜在的な被害の範囲も決定します。

Original Title: "SlowMist × Bitget AI Security Report: Is It Really Safe to Entrust Your Money to AI Agents Like 'Lobster'?"

Original Source: SlowMist Technology

1. Background

With the rapid development of large model technology, AI Agents are evolving from simple intelligent assistants to autonomous systems capable of executing tasks.

In the Web3 ecosystem, this transformation is particularly noticeable. More and more users are beginning to experiment with having AI Agents participate in market analysis, strategy generation, and automated trading, turning the concept of a "24/7 automated trading assistant" into reality. With Binance and OKX introducing multiple AI Skills, Bitget launching the Skills Resource Station Agent Hub and the installation-free lobster GetClaw, Agents can directly access trading platform APIs, on-chain data, and market analysis tools, thereby to some extent taking on the task of trade decision-making and execution that originally required human intervention.

Compared to traditional automation scripts, AI Agents have stronger autonomous decision-making capabilities and more sophisticated system interaction abilities. They can access market data, call trading APIs, manage account assets, and even extend ecosystem functionality through plugins or Skills. This enhanced capability significantly reduces the barrier to entry for automated trading and allows more ordinary users to start using automated trading tools.

However, the expansion of capabilities also means an expansion of the attack surface.

In traditional trading scenarios, security risks usually focus on issues such as account credential leakage, API key exposure, or phishing attacks. In the AI Agent architecture, new risks are emerging. For example, Prompt Injection may affect an Agent's decision logic, malicious plugins or Skills may become new supply chain attack vectors, and improper runtime configurations may lead to the abuse of sensitive data or API permissions. Once these issues are combined with automated trading systems, the potential impact may not only be limited to information disclosure but may also directly result in actual asset loss.

At the same time, as more and more users begin to connect AI Agents to their trading accounts, attackers are quickly adapting to this change. New types of scams targeting Agent users, malicious plugin poisoning, and API key abuse are gradually becoming new security threats. In the Web3 scenario, asset operations often involve high value and irreversibility. Once automated systems are abused or misled, the risk impact may be further magnified.

基づいて、SlowMist と Bitget は共同でこのレポートを執筆し、セキュリティ研究と取引プラットフォームの実践の両側面から、AI エージェントが複数のシナリオで直面するセキュリティ問題を体系的に整理しました。このレポートが、ユーザー、開発者、およびプラットフォームにセキュリティ上の参考情報を提供し、セキュリティとイノベーションのバランスを取りながら AI エージェントエコシステムの安定した成長を促進することを願っています。

二、AI エージェントの実際のセキュリティ脅威｜SlowMist

AI エージェントの出現により、ソフトウェアシステムは「人間中心の操作」から徐々に「モデルが意思決定および実行に参加する」方向に移行しました。このようなアーキテクチャの変化により自動化能力が大幅に向上しましたが、攻撃面も拡大しました。

現在の技術構造から見ると、典型的な AI エージェントシステムには通常、ユーザーインタラクションレイヤー、アプリケーションロジックレイヤー、モデルレイヤー、ツール呼び出しレイヤー、メモリーシステム、および基礎実行環境などの複数のコンポーネントが含まれています。攻撃者は通常、単一モジュールに対してのみ狙わず、多段経路を介してエージェントの行動制御権を段階的に影響しようとします。

1. 入力操作とプロンプトキーの挿入攻撃

AI エージェントアーキテクチャでは、ユーザーの入力と外部データは通常、モデルコンテキストに直接取り込まれるため、プロンプトキーの挿入（Prompt Injection）が重要な攻撃手法となります。攻撃者は特定の命令を構築することで、エージェントが本来トリガーすべきではない操作を実行するよう誘導することができます。例えば、いくつかのケースでは、チャットコマンドのみでエージェントを誘導して高度なシステムコマンドを生成および実行させることが可能です。

さらに複雑な攻撃手法は間接的な挿入であり、つまり攻撃者が悪意のある命令をウェブコンテンツ、ドキュメント説明、またはコードコメントに隠すことです。エージェントがこれらのコンテンツをタスク実行中に読み取る際、それを正当な命令と誤認する可能性があります。例えば、プラグインドキュメント、README ファイル、または Markdown ファイルに悪意のあるコマンドを埋め込むと、エージェントが環境初期化や依存関係のインストール時に攻撃コードを実行する可能性があります。

この攻撃パターンの特徴は、従来の脆弱性に依存せず、モデルがコンテキスト情報に対する信頼メカニズムを悪用してその動作論理に影響を与えようとする点です。

2. スキル / プラグインエコシステムへのサプライチェーン攻撃

現在の AI エージェントエコシステムにおいて、プラグインとスキルシステム（スキル / MCP / ツール）はエージェントの機能拡張の重要な方法です。しかしながら、この種のプラグインエコシステムは新しいサプライチェーン攻撃の手段となりつつあります。

SlowMist は、OpenClaw 公式プラグインセンター ClawHub の監視中に、開発者数の増加に伴い、悪意のあるスキルが混入し始めていることを発見しました。SlowMist は、400 を超える悪意のあるスキルの IOC を統合分析した結果、多くのサンプルが少数の固定されたドメインまたは同一IP内の複数のランダムパスを指し、明らかなリソース再利用の特徴を示しており、これは組織化された大規模な攻撃行動のように見えます。

OpenClaw のスキル体系では、コアファイルは通常 SKILL.md です。

従来のコードとは異なり、この種の Markdown ファイルはしばしば「インストール手順」と「初期化エントリ」の役割を果たしますが、エージェントエコシステムでは、ユーザーが直接コピーして実行することがよくあり、これにより完全な実行チェーンが形成されます。攻撃者は、悪意のあるコマンドを依存関係のインストール手順として偽装するだけで、例えば curl | bash を使用したり、本当のコマンドを隠すために Base64 エンコーディングを使ったりすることで、ユーザーを誘導し、悪意のあるスクリプトを実行させることができます。

実際のサンプルでは、いくつかのスキルが典型的な「2段階ロード」戦略を採用しています：

· 第1段階スクリプトはダウンロードおよび実行のみを担当します

· 第2段階 Payload、これにより静的検出の成功率が低下します。

ダウンロード数の多い「X（Twitter） Trends」スキルを例に取ると、その SKILL.md には Base64 エンコードされたコマンドが隠されています。

デコードすると、その本質はリモートスクリプトのダウンロードと実行です：

そして第2段階プログラムは、システムポップアップを偽装してユーザーパスワードを取得し、システムの一時ディレクトリにローカル情報、デスクトップドキュメント、ダウンロードディレクトリ内のファイルを収集し、最終的にそれらを攻撃者が制御するサーバーにアップロードします。

この攻撃方法の主な利点は、Skill シェル自体が比較的安定した状態を保つことができ、攻撃者は遠隔 Payload を交換するだけで攻撃ロジックを継続的に更新できることにあります。

3. エージェント意思決定とタスク配信階層のリスク

AI エージェントのアプリケーションロジック層では、タスクは通常、複数の実行ステップに分解されます。攻撃者がこの分解プロセスに影響を与えると、エージェントが正当なタスクを実行する際に異常な動作を引き起こす可能性があります。

たとえば、自動展開やオンチェーン取引などの多段階操作が関与するビジネスプロセスでは、攻撃者は重要なパラメータを改ざんしたり、ロジックの判断を妨害したりして、エージェントがフロー内でターゲットアドレスを置換したり追加の操作を実行したりするように誘導することができます。

過去のセキュリティ監査事例では、SlowMist は、MCP に悪意のあるプロンプト語を返すことでコンテキストを汚染し、エージェントを誘導してウォレットプラグインを呼び出し、オンチェーン送金を実行させました。

この種の攻撃の特徴は、誤りがモデル生成コードから出たのではなく、タスク配信ロジックが改ざんされたところにあります。

4. IDE / CLI 環境でのプライバシーおよび機密情報漏洩

開発支援や自動化オペレーションで広く採用された後、多くのエージェントが IDE、CLI、またはローカル開発環境で実行されるようになりました。

この種の環境には、.env 設定ファイル、API トークン、クラウドサービスの資格情報、秘密鍵ファイル、さまざまなアクセスキーなど、多くの機密情報が含まれています。エージェントがタスクの実行中にこれらのディレクトリを読み取ることができると、誤って機密情報がモデルコンテキストに取り込まれる可能性があります。

一部の自動化開発プロセスでは、エージェントがデバッグ、ログ解析、または依存関係のインストールプロセス中にプロジェクトディレクトリの設定ファイルを読み取る場合があります。明確な無視ポリシーまたはアクセス制御が不足していると、これらの情報がログに記録されたり、リモートモデル API に送信されたり、悪意のあるプラグインに外部送信される可能性があります。

さらに、一部の開発ツールは、エージェントがコードリポジトリを自動スキャンしてコンテキストメモリを構築することを許可します。これにより、秘密鍵ファイル、ニーモニックバックアップ、データベース接続文字列、サードパーティ API トークンなどがインデックスプロセス中に読み取られる可能性があります。

Web3 開発環境において、この問題は特に顕著です。なぜなら、開発者はしばしばテストプライベートキー、RPC トークン、またはデプロイスクリプトをローカル環境に保存する傾向があるからです。これらの情報が悪意のある Skill、プラグイン、またはリモートスクリプトによって取得されると、攻撃者は開発者アカウントやデプロイ環境をさらに制御できる可能性があります。

したがって、AI エージェントと IDE / CLI 統合のシナリオでは、明確な機密ディレクトリの無視ポリシー（.agentignore、.gitignore のようなメカニズム）およびアクセス権の分離策を確立することが、データ漏洩リスクを軽減するための重要な前提条件です。

5. モデル層の不確実性と自動化リスク

AI モデル自体は完全に確定的なシステムではありません。その出力にはある確率の不安定性が存在します。いわゆる「モデルの幻想」とは、モデルが情報不足の状況で、見かけ上合理的ながら実際には誤った結果を生成することです。従来のアプリケーションシナリオでは、このようなエラーは通常、情報の品質に影響を与えるだけですが、AI エージェントアーキテクチャでは、モデルの出力が直接システム操作を引き起こす可能性があります。

例えば、あるケースでは、プロジェクトのデプロイ時にモデルが実際のパラメータをクエリせず、誤った ID を生成してデプロイプロセスを継続したことがあります。このような場合がチェーン上のトランザクションやアセット操作のシナリオで発生すると、誤った意思決定が不可逆的な資金損失を引き起こす可能性があります。

6. Web3 シナリオでの高価値操作リスク

従来のソフトウェアシステムとは異なり、Web3 環境では多くの操作が不可逆的です。たとえば、オンチェーン送金、トークンスワップ、流動性追加、およびスマートコントラクトコールなどは、トランザクションが署名されてネットワークにブロードキャストされると通常、取り消しやロールバックが困難です。したがって、AI エージェントがオンチェーン操作を実行する際には、そのセキュリティリスクもさらに増大します。

一部の実験的なプロジェクトでは、開発者がエージェントを直接オンチェーン取引戦略の実行に使用し始めています。自動アービトラージ、資金管理、DeFi 操作などが含まれます。

ただし、エージェントがタスク分解やパラメータ生成プロセス中にインジェクションワード、コンテキストの汚染、またはプラグイン攻撃の影響を受ける場合、トランザクションプロセス中にターゲットアドレスが置き換えられたり、取引金額が変更されたり、悪意のあるスマートコントラクトがコールされる可能性があります。さらに、一部のエージェントフレームワークでは、プラグインが直接ウォレットAPIや署名インターフェースにアクセスできるようになっています。署名の分離や手動確認メカニズムが不足している場合、攻撃者は悪意のあるスキルによって自動取引がトリガーされる可能性さえあります。

したがって、Web3 シナリオにおいて、AI エージェントを資産制御システムと完全に結びつけることは、高リスクな設計です。

より安全なモードは通常、エージェントにトランザクション提案の生成や署名されていないトランザクションデータの作成を担当させ、実際の署名プロセスは独立したウォレットや人間による確認で完了させることです。同時に、アドレスの信頼度検証、AML リスク管理、トランザクションシミュレーションなどのメカニズムを組み合わせることで、自動取引によるリスクをある程度軽減することも可能です。

7. システム全体に及ぼす高権限実行のリスク

多くの AI エージェントは実際の展開中にシステム全体で高い権限を持っており、ローカルファイルシステムへのアクセス、シェルコマンドの実行、さらには Root 権限での実行などが含まれます。エージェントの挙動が操作された場合、その影響範囲は単一のアプリケーションをはるかに超える可能性があります。

SlowMist は、OpenClaw を Telegram のようなインスタントメッセージングソフトウェアに結合し、リモートコントロールを実現するテストを行いました。制御チャネルが攻撃者に乗っ取られた場合、エージェントは任意のシステムコマンドの実行、ブラウザデータの読み取り、ローカルファイルへのアクセス、他のアプリケーションの制御などに使用される可能性があります。プラグインエコシステムとツール呼び出し機能を組み合わせると、この種のエージェントはある程度「スマートリモートコントロール」の特性をすでに備えています。

総合的に見ると、AI エージェントのセキュリティ脅威は、従来のソフトウェアの脆弱性にとどまらず、モデルインタラクション層、プラグインサプライチェーン、実行環境、資産操作層など、複数の側面にまたがるように拡大しました。

攻撃者は、キーワードを使用してエージェントの挙動を操作するだけでなく、悪意のあるスキルや依存パッケージをサプライチェーンレベルに埋め込んでバックドアを設置し、さらに高権限の実行環境で攻撃影響を拡大することもできます。

Web3 シナリオにおいて、オンチェーン操作が不可逆性であり実際の資産価値に関わるため、これらのリスクはさらに拡大される傾向があります。したがって、AI エージェントの設計と使用においては、従来のアプリケーションセキュリティポリシーだけに依存することはすでに新たな攻撃面を十分にカバーするのが困難であり、権限管理、サプライチェーンガバナンス、取引セキュリティメカニズムなど、より体系的なセキュリティ保護体系を構築する必要があります。

三、AI エージェントの取引セキュリティプラクティス｜Bitget

AI エージェントの能力が向上するにつれて、それらは情報の提供や意思決定の支援だけでなく、直接システム操作に参加し、時にはオンチェーン取引を実行するようになっています。

暗号取引シーンでは、この変化が特に顕著です。ますます多くのユーザーが、AI エージェントを使用して相場分析、取引戦略の実行、自動取引を試みています。エージェントが取引インターフェースを直接呼び出し、口座資産にアクセスし、自動注文を行うことができる場合、そのセキュリティの問題は「システムセキュリティリスク」からさらに「実資産リスク」に変わります。AI エージェントが実際の取引に使用される場合、ユーザーはどのようにして自分の口座と資金を保護すべきでしょうか？

このため、本節では、Bitget セキュリティチームが取引プラットフォームの実践的な経験に基づいて、口座セキュリティ、API 権限管理、資金分離、取引監視など、AI エージェントを使用した自動取引時に重点を置く必要があるセキュリティポリシーを包括的に紹介しています。

1. AI エージェント取引シナリオの主なセキュリティリスク

2. 口座セキュリティ

AI エージェントの登場により、攻撃経路が変化しました:

· アカウントにログインする必要はありません — API キーを手に入れればよい

· 気付かれる必要はありません — エージェントは 7x24 時間自動実行され、異常な操作は数日継続可能

· 引き出しは不要 — 口座内で資産を消失させることで攻撃対象となります

API キーの作成、変更、削除はすべてログイン済みアカウントを通じて行われます — アカウントが制御されると、キーの管理権限も制御されます。アカウントのセキュリティレベルは、API キーのセキュリティ上限を直接決定します。

行うべきこと:

· 主要な 2FA として Google Authenticator を有効にし、SMS ではなく（SIM カードがハイジャックされる可能性があります）

· パスキーによるパスワードなしログインを有効にします: FIDO2/WebAuthn 標準に基づく、従来のパスワードの代わりに公開鍵と秘密鍵の暗号化がフィッシング攻撃をアーキテクチャレベルで無効にします

· フィッシングコードを設定します

· デバイス管理センターを定期的にチェックし、不審なデバイスを即座にログアウトしてパスワードを変更します

3. API セキュリティ

AI エージェントによる自動取引アーキテクチャでは、API キーはエージェントの「実行権限証明書」と見なされます。エージェント自体は直接アカウント制御権を持っておらず、その実行できるすべての操作は、API キーに付与された権限範囲に依存します。したがって、API の権限境界は、エージェントが何ができるかだけでなく、セキュリティイベントが発生した場合の損失拡大の程度も決定します。

権限設定マトリックス — 最小権限、便宜ではない権限：

多くの取引プラットフォームでは、APIキーは通常複数のセキュリティ制御メカニズムをサポートしており、これらのメカニズムを適切に使用することで、APIキーの濫用リスクを大幅に低減できます。一般的なセキュリティ設定のアドバイスは次のとおりです：

ユーザーがよく犯すエラー：

· メインアカウントのAPIキーをそのままエージェント構成に貼り付ける — メインアカウントの全権限が完全に公開される

· ビジネスタイプを「すべて選択」することで、実際にはすべての操作範囲が公開される

· パスフレーズを設定せず、またはパスフレーズがアカウントパスワードと同じである

· APIキーがコードにハードコードされ、GitHubにプッシュされた後、クローラーに3分以内にスキャンされる

· 1つのキーが複数のエージェントやツールに同時に権限付与されており、1つが侵害されると全面的に公開される

· キーが漏洩した後、すぐに取り消されず、攻撃者が継続的に利用する窓口が存在

キーのライフサイクル管理：

APIキーを90日ごとに1度ローテーションし、古いキーを即座に削除エージェントが停止されたときに対応するキーを即座に削除し、攻撃面を残さないようにAPI呼び出しレコードを定期的に確認し、不明なIPアドレスや異常な時間帯を発見した場合はすぐに取り消す

4. 資金の安全性

APIキーを入手した攻撃者が引き起こすことができる損失の大きさは、そのキーでどれだけの金額を動かせるかにかかっています。したがって、AIエージェントの取引アーキテクチャを設計する際には、口座の安全性とAPI権限制御だけでなく、資金の分離メカニズムを介して、潜在的なリスクに明確な損失上限を設定する必要があります。

サブアカウントの分離メカニズム：

· エージェント専用のサブアカウントを作成し、メインアカウントと完全に分離する

· メインアカウントは、エージェントが実際に必要とする資金のみを割り当てる。全資産を割り当てない

· サブアカウントのキーが盗まれた場合でも、攻撃者が操作できる最大金額 = サブアカウント内の資金であり、メインアカウントには影響を与えません

· 複数のエージェントポリシーを複数のサブアカウントで個別に管理し、相互に隔離します

資金パスワードは第2のロックとして：

· 資金パスワード（Fund Password）はログインパスワードと完全に分離されており、アカウントがログインされたとしても、資金パスワードがないと引き出しを行うことはできません

· 資金パスワードはログインパスワードとは異なるパスワードに設定されています

· 出金ホワイトリストを有効にする：事前に追加したアドレスのみが引き出しを行え、新しいアドレスには24時間の審査期間が必要です

· 資金パスワードを変更した後、システムは自動的に引き出しを24時間凍結します — これはあなたを保護する仕組みです

5. トランザクションセキュリティ

AI エージェントの自動取引シナリオでは、セキュリティの問題は通常、一度限りの異常な行動として現れるのではなく、システムが継続的に稼働している過程で段階的に発生する可能性があります。したがって、口座のセキュリティと API アクセス制御に加えて、継続的な取引監視と異常検出メカニズムを構築する必要があり、問題が早期段階で発生した際に promptly発見および介入することができます。

構築すべきモニタリングシステム：

異常シグナルの識別 — 以下の状況が発生した場合は直ちに停止して確認してください：

· エージェントが長時間操作を行っていないが、新しい注文がアカウントにあるか、ポジション API 呼び出しログに不正なものがある

· エージェントサーバー IP からのリクエスト

· 設定したことのないトレードペアからの約定通知を受信

· アカウント残高に説明できない変動が発生

· エージェントが繰り返し「実行するにはさらに多くの権限が必要です」とメッセージを出す — 理由を理解してから権限を付与するかどうかを決定してください

Skill とツールのソース管理：

· 公式にリリースされ、レビューチャンネルを介してのみ提供される Skill をインストールしてください

· 信頼されていないソースや検証されていないサードパーティの拡張機能のインストールは避けてください

· インストール済みのスキルリストを定期的に確認し、使用していないものを削除してください

· コミュニティの「拡張版」や「日本語版」スキルには気を付けてください — 非公式のバージョンはすべてリスクです

6. データセキュリティ

AI エージェントの意思決定には大量のデータ（口座情報、ポジション、取引履歴、市況、戦略パラメータ）が必要です。これらのデータが漏洩されたり改ざんされたりすると、攻撃者はあなたの戦略を推測したり取引行動を操ったりする可能性があります。

あなたがすべきこと

· 最小データの原則：取引を実行するために必要なデータだけをエージェントに提供してください

· データの匿名化：ログやデバッグ情報からは口座情報や API キーなどの機密情報を出力しないようにしてください

· 公共の AI モデル（例：公共 LLM API）への完全な口座データのアップロードを禁止してください

· 可能であれば、戦略データと口座データを分離してください

· エージェントが過去の取引データをエクスポートする機能を無効にするか制限してください

ユーザーの一般的な間違い

· AI に「戦略を最適化してもらうために完全な取引履歴を提供する

· エージェントのログに API キーやシークレットを出力する

· 公開フォーラムに取引記録のスクリーンショットを投稿する（注文 ID や口座情報を含む）

· データベースのバックアップを AI ツールにアップロードして分析する

7. AI エージェントプラットフォーム層のセキュリティ設計

ユーザーサイドのセキュリティ設定に加えて、AI エージェント取引エコシステムのセキュリティは、プラットフォームレベルのセキュリティ設計に大きく依存しています。

成熟したエージェントプラットフォームは、一般にアカウントの分離、API の権限管理、プラグインの審査、基本的なセキュリティ機能など、体系化された防御メカニズムを構築する必要があります。これにより、自動取引システムへの参加時にユーザーが直面する総合的なリスクが低減されます。

実際のプラットフォームアーキテクチャでは、次のような一般的なセキュリティ設計がよく見られます。

1、サブアカウント分離システム

自動取引環境では、プラットフォームは通常、異なる自動化システムの資金と権限を分離するためのサブアカウントまたはストラテジーアカウントシステムを提供します。この方法により、ユーザーは各エージェントまたは取引戦略に独立したアカウントと資金プールを割り当てることができ、複数の自動化システムが同じアカウントを共有することに伴うリスクを回避できます。

2、細分化されたAPI権限設定

AIエージェントの主要な操作はAPIインターフェースに依存しているため、プラットフォームは通常、取引権限の分割、IPソースの制限、および追加のセキュリティ検証メカニズムなどをサポートする細分化されたAPI権限設計が必要です。この権限モデルにより、ユーザーはエージェントに任務を完了するために必要な最小限の権限範囲のみを付与することができます。

3、エージェントプラグインおよびスキル審査メカニズム

一部のプラットフォームは、プラグインやスキルの公開および展開プロセスに審査メカニズムを設定しています。たとえば、コードレビューや権限評価、セキュリティテストなどを行い、悪意のあるコンポーネントがエコシステムに入る可能性を減らします。セキュリティ上の観点から、この種の審査メカニズムは、プラグインの供給チェーンにプラットフォームレベルのフィルタリングを追加することに相当しますが、ユーザーは引き続きインストールされた拡張コンポーネントに対する基本的なセキュリティ意識を維持する必要があります。

4、プラットフォームの基本セキュリティ機能

エージェント関連のセキュリティメカニズムに加えて、取引プラットフォーム自体のアカウントセキュリティシステムもエージェントユーザーに重要な影響を与えます。たとえば：

8. エージェントユーザー向けの専用詐欺

フィッシング詐欺

「あなたのAPIキーにセキュリティリスクがあります。すぐに再構成してください。」と偽の顧客サービスからリンクが送られてきます。

→ 公式はAPIキーを要求することはありません。

毒付きスキルパッケージ

コミュニティで共有された「強化トレードスキル」があり、実行時にあなたのキーが静かに送信されます。

→ 公式の審査チャネルを通じてのみ公認されたスキルをインストールしてください。

偽のアップグレード通知

「再認証が必要です」をクリックするとフィッシングページに遷移します。

→ フィッシング防止コードをチェックしてください。

プロンプト挿入攻撃

市場データ、ニュース、ローソク足注釈に命令を埋め込み、エージェントを操作して予期しない操作を実行します。

→ サブアカウントの資金上限を設定して、挿入されても損失が厳格に制限されるようにします。

「セキュリティ検査ツール」に偽装した悪意のスクリプト

キーの漏洩を検出できると主張し、実際にはキーを盗みます。

→ 公式プラットフォームが提供するログやアクセス記録機能を使用して、API呼び出しの状況をチェックしてください。

9. Troubleshooting Path

異常が検出された場合

↓

すぐに疑わしいAPIキーを取り消すか無効にします

↓

アカウントの異常な注文/ポジションをチェックし、取り消せるものは即座に取り消してください

↓

引き出し記録をチェックし、資金が既に引き出されていないことを確認してください

↓

ログインパスワードと資金パスワードを変更し、すべてのログイン済みデバイスをログアウトしてください

↓

プラットフォームのセキュリティサポートに連絡し、異常な時間枠と操作記録を提供してください

↓

キーの漏洩経路を調査します（コードリポジトリ/設定ファイル/スキルログ）

コア原則：疑わしい場合はまずキーを取り消し、原因を調査する。順番を逆にしてはいけません。

四、提案とまとめ

このレポートでは、SlowMistとBitgetが具体例とセキュリティ研究を組み合わせ、現在のAIエージェントがWeb3シナリオで直面する典型的なセキュリティ問題について分析しています。これには、プロンプト挿入によるエージェントの動作リスク、プラグインとスキルエコシステムのサプライチェーンリスク、APIキーとアカウント権限の乱用問題、自動化された実行による誤操作と権限拡大などの潜在的な脅威が含まれます。

これらの問題は通常、単一の脆弱性に起因するのではなく、エージェントのアーキテクチャ設計、権限管理戦略、および実行環境セキュリティが共同して作用する結果です。

したがって、AI Agent システムの構築または利用時には、全体的なアーキテクチャレベルでセキュリティ設計を行う必要があります。たとえば、Agent に API キーとアカウント権限を割り当てる際には最小権限の原則に従い、不要な高リスクな機能をオンにしないようにします。

ツールの呼び出しレベルでは、プラグインとスキルを分離し、単一のコンポーネントがデータ取得、意思決定生成、および資金操作の能力を同時に持つことを避けます。

Agent が重要な操作を実行する際には、明確な動作境界とパラメータ制限を設定し、必要な場合には人間による確認メカニズムを追加して、自動実行による不可逆リスクを軽減します。

また、Agent が依存する外部入力に対しては、適切なプロンプト設計と入力分離メカニズムを使用して、プロンプトインジェクション攻撃を防ぎ、外部コンテンツを直接システム命令としてモデル推論プロセスに参加させないようにします。実際の展開と実行段階では、API キーとアカウントのセキュリティ管理を強化し、必要な権限のみを許可し、IP ホワイトリストを設定し、定期的にキーをローテーションし、コードリポジトリ、構成ファイル、またはログシステムに機密情報を平文で保存しないようにします。

開発プロセスと実行環境では、プラグインのセキュリティレビュー、ログの機密情報制御、および行動モニタリングおよび監査メカニズムなどの手段を使用して、構成漏洩、サプライチェーン攻撃、および異常な操作によるリスクを低減します。

より広範なセキュリティアーキテクチャレベルでは、SlowMist は関連研究で、AI と Web3 エージェントシナリオ向けの多層セキュリティガバナンスアプローチを提案し、レイヤー化された保護システムの構築を通じて、高権限環境でのエージェントのリスクを体系的に低減することを示しています。

このフレームワークでは、L1 セキュリティガバナンスは、まず統一された開発および使用のセキュリティベースラインを基盤として採用し、開発ツール、エージェントフレームワーク、プラグインエコシステム、および実行環境をカバーするセキュリティ規範を確立することにより、AI ツールチェーンの導入時にチームに統一的なポリシー源と監査基準を提供します。

これに基づいて、L2 ではエージェントの権限境界の収束、ツールの呼び出しの最小権限制御、および重要な動作の人間による確認メカニズムを通じて、高リスク操作の範囲を効果的に制約することができます。

さらに、L3 は外部インタラクションポイントレベルでリアルタイムの脅威認識能力を導入し、URL、依存リポジトリ、プラグインソースなどの外部リソースを事前にチェックして、悪意のあるコンテンツやサプライチェーン攻撃要素が実行経路に入る可能性を低減します。

チェーン上のトランザクションや資産操作に関連するシナリオでは、L4 によってチェーン上のリスク分析と独立した署名メカニズムを導入して、追加のセキュリティ隔離を実現し、エージェントが取引を構築できるが、秘密鍵に直接触れることなく、高価値資産操作に伴うシステム全体のリスクを軽減します。

最終的に、L5 は、定期的な監査、ログのレビュー、サイクルごとのセキュリティレビューなどの運用メカニズムを通じて、「実行前に事前チェック、実行中に制約、実行後に振り返り」が可能なセキュリティ機能の閉ループを形成します。

このような階層化されたセキュリティアプローチは、単一の製品やツールではなく、AI ツールチェーンおよびエージェントエコシステム向けのセキュリティガバナンスフレームワークであり、その核心目標は、開発効率や自動化能力を著しく低下させることなく、システム化された戦略、継続的な監査、セキュリティ機能との連携を通じて、チームが持続可能で監査可能で発展可能なエージェントセキュリティオペレーションシステムを構築し、AI と Web3 の急速な統合による変化に対処することです。