AIエージェントがオンチェーン実行権を獲得する際：その情報認識と発出指令を誰が検証するのか？

この記事を読むのに必要な時間は 17 分

ますます多くのAIエージェントが、スマートアカウント、戦略ウォレット、または制限付き署名サービスを通じて、オンチェーンでの実行能力を獲得しています。

一、KelpDAO 事故が露呈したもの

2026年4月18日、KelpDAO の rsETH クロスチェーンブリッジが攻撃を受け、116,500 枚の rsETH が異常にリリースされ、発生時点での価値は約2億9200万ドルに達しました。LayerZero の事故報告によると、攻撃者はソーシャルエンジニアリングを通じて開発者のセッションキーを入手し、LayerZero Labs DVN が依存する内部 RPC を汚染し、さらに外部 RPC を DoS 攻撃で抑圧することで、署名サービスが誤ったデータに基づいて偽造メッセージに証明を発行するように仕向けました。KelpDAO は当時、検証パスを 2-of-2 から 1-of-1 DVN に変更していました。唯一指定された DVN が誤った証明を発行すると、システムはもはや同一メッセージをクロス検証するための2番目の独立 DVN を必要としなくなります。CrowdStrike と Mandiant は、この事件を高い信頼度で北朝鮮関連の TraderTraitor（UNC4899）に帰属させました。

この種の事故は決して孤立した事例ではありません。多くのオンチェーン重大セキュリティインシデントでは、問題は暗号学的仮定そのものが覆されたことにあるのではなく、鍵管理、データソース、バリデータ設定、プロトコル実装、運用権限といった要素に起因しています——システムは「この署名が有効かどうか」だけでなく、「誰が署名する権限を持ち、何に基づいて署名し、署名に対応する状態が実際に発生したのか」にも答えなければなりません。

ますます多くの AI エージェントが、スマートアカウント、ポリシーウォレット、または制限付き署名サービスを通じてオンチェーン実行能力を獲得しています。有効な署名は、ある承認パスが呼び出されたことを証明するだけで、エージェントが依存するデータの信頼性、意思決定が既定のポリシーに準拠していること、あるいはこの取引が本来この瞬間に発生すべきであったことを証明するものではありません。検証の対象は、「署名の真偽」から「入力、意思決定、実行の一貫性」へと拡大しています。

二、既存ソリューションが解決したこと、残したもの

既存のいくつかのアプローチは、それぞれ信頼問題の一部を解決しつつ、残りの信頼を異なる役割に委ねています：

オラクルと紛争裁定：Polymarket の市場結果はまず参加者によって提出され、チャレンジ期間内に異議が唱えられた場合のみ、UMA のトークン保有者による投票裁定に進みます。問題は「再検証がないこと」ではなく、再検証が信頼できるかどうかにあります——ルールが曖昧で、現実のイベントに複数の解釈が存在する場合、または投票権が少数のアドレスに集中している場合、システムは実質的に「誰が事実を定義するか」という問題を、別のガバナンス構造に委ねていることになります。

クロスチェーンブリッジのマルチシグと DVN：両者は実装方法が異なりますが、いずれもアプリケーション側がバリデータセットと閾値を明確に設定することを要求します。KelpDAO がパスを 1-of-1 DVN に設定した後、検証パス全体が単一の検証サービスに依存することになり、そのサービスが依存するデータソースと障害対応メカニズムが、さらに次の層の単一障害点を形成する可能性があります。

MPCカストディ：閾値署名の売りは、鍵が一箇所に完全には存在しないという点にあるが、暗号学的なシャーディングは、自動的に組織レベルの権力分散をもたらすものではない。当時Multichainチームが開示したところによると、創業者が中国警察に拘束された後、チームは関連するMPCノードサーバーへのアクセス権を即座に失った。これらのサーバーは創業者の個人クラウドアカウント下で稼働していた。クラウドアカウント、運用権限、緊急対応が一人に集中すると、MPCの閾値設計は組織レベルの単一障害点を残す可能性がある。

TEE：信頼できる実行環境はコードと機密データを隔離できるが、信頼を排除するものではなく、信頼の置き場所を変えるだけである。ハードウェアのルート・オブ・トラストとマイクロコード更新は通常、チップメーカーに依存し、エンクレーブコード、アップグレード権限、認証ポリシーはプロジェクト側または運営側が管理する可能性がある。TEEは計算プロセスを保護できるが、これらのガバナンス権限を自動的に分散することはできない。

これらのソリューションの障害モードはそれぞれ異なるが、同じ種類の問題を指し示している：ホワイトペーパーに記載された閾値と分散化は、データソース、アカウント権限、アップグレード鍵、ガバナンスプロセスに実際に落とし込まれて初めて、真のセキュリティ境界を構成する。

三、CRVA：検証権の配分方法の再設計

DeepSafeは2025年にBool Networkから改名された。CRVAは、Bool Network関連の研究者が2022年に提案した技術的アプローチを継承している。関連論文はIEEE Transactions on Information Forensics and Security（IEEE TIFS、Document ID 9903072）に掲載され、「進化する隠れ委員会」（evolving hidden committee）に基づくクロスチェーン公証プラットフォームを提案している。

具体的な方法は以下の通り：ノードはRing-VRFを通じてランダム抽選に参加し、選ばれた者は証明と一時公開鍵を提出する。外部の観察者はその資格を検証できるが、長期的な身元を識別することは難しい。選ばれた一時委員会はその後、閾値MPCを通じて共同署名を行い、単一ノードは独立して結果を生成できない。鍵管理などの重要なプロセスは、論文の設計に従ってTEE（例：Intel SGX）内で実行され、ホスト運営者が鍵シェアを読み取ったり改ざんしたりする可能性を低減することを目的としている。委員会はまた、エポックごとにローテーションし、新たな委員会は検証可能な鍵引き継ぎを通じて新しいシェアを取得し、古いシェアは無効化される。具体的なローテーション周期は実際のネットワークパラメータによって決定される。

プロジェクト側はまた、TEEを活用して委員会の稼働状態を隠蔽し、ノード運営者が自身のノードが特定の検証に参加したかどうかを判断しにくくすることを目指している。この目標がどの程度達成できるかは、現行ネットワークのコード、リモート認証、ホスト側のメタデータ、サイドチャネル対策に依存しており、「TEEを使用した」だけで自動的に成立する結論ではない。

しかし、これらのメカニズムが解決するのは「誰が検証するか、どのように安全に共同で結果を出すか」であり、「どのような結果が正しいのか」を自動的に定義するものではない。AIエージェントのシナリオに置き換えると、委員会は依然として事前に設定された戦略、データソース、実行可能な判断ルールに基づいて結論を下す必要がある——もしこのルール自体に問題があったり、依存するデータソースが信頼できなかったり、あるいは検証対象自体に客観的に判定可能な答えが存在しない場合、どれほど安全な委員会でも誤った結論を共同で確認する可能性がある。

CRVAは、固定検証者の長期的な露出と署名権限の集中によるリスクを低減しようとするが、ガバナンスと実装レベルの単一障害点を完全に排除することはできない。ノードの参入、プロトコルのアップグレード、TEE認証、ソフトウェアセキュリティは引き続き継続的な監査を受ける必要がある。旧シェアが確実に失効し、新委員会が十分な独立性を維持する前提のもと、ローテーションは固定署名グループに対する攻撃ウィンドウを短縮できるが、ソフトウェアサプライチェーンやアップグレード権限などのシステム的リスクをカバーすることはできない。

四、技術基盤と実装の進捗

CRVAの技術的な系譜は、IEEE TIFS第17巻（2022年）に掲載されたBool Networkの論文（DOI: 10.1109/TIFS.2022.3209546）に遡ることができる。論文内のプロトコルモデル、セキュリティ証明、プロトタイプ評価はピアレビューを受けており、動的隠蔽委員会、Ring-VRF、閾値鍵管理、TEE保護などの設計に学術的根拠を提供している。区別すべき点として、ピアレビューは論文内のモデルと実装を対象としている。DeepSafeが現在展開するCRVAが論文のスキームとどのように対応するかは、現行の技術仕様、コード監査、ネットワークパラメータと照合して判断する必要がある。

DeepSafeの2025年10月の開示によると、ネットワークは当時累計で約1.2億回の検証を処理し、アクティブアカウントは265万を超えていた。プロジェクト側はまた、そのエコシステム関係が70件以上に達し、ウォレット互換性、技術統合、投資、マーケティング協力など異なるタイプを含むと述べている。

2025年10月、DeepSafeは300万ドルのシードラウンドを完了したと発表し、投資家にはAntalpha Global、ViaBTC Capital、Gateなどが含まれる¹。タイムラインから見ると、この資金調達は主にブランド改名後の技術開発とエコシステム拡大に対応している。

五、検証スキームから汎用インフラストラクチャへ

ブロックチェーンインフラストラクチャが徐々にモジュール化されるにつれ、コンセンサス、実行、データ可用性、相互運用性、アカウントシステムは異なるコンポーネントによって担われるようになっている。モジュール化は信頼の問題を消滅させるのではなく、各層のセキュリティ境界をより明確にする——開発者はどの技術を選ぶかだけでなく、この層のセキュリティ保証を誰が提供するのか、問題発生時に誰が責任を負うのかを判断する必要がある。AIエージェントがオンチェーン実行能力を獲得した後、新たな問題が浮上する：読み取ったデータが信頼できること、意思決定が権限を越えていないこと、最終的なトランザクションがユーザーの承認と一致していることを誰が確認するのか？これらの問題は、有効な署名が一度行われただけで自動的に答えが得られるものではない。

DeepSafeは、検証能力を単一アプリ内の付属モジュールから、異なるプロトコルやAIエージェントが呼び出せるインフラストラクチャへと抽象化することを目指している——「Proof, Not Promises」、実行側の約束を検証可能な証拠で置き換える。CRVAはすでに匿名抽選、閾値協力、TEEを組み合わせて一つの技術パスを形成している。それがさらにオラクル、クロスチェーン、AIエージェントなどの異なるシナリオをカバーし、汎用検証インフラへと発展できるかは、現網の能力、独立監査、実際の統合の継続的な蓄積にかかっている。