ヴィタリック、AIエージェント向け「パラノイドモード」構築。zkAPIやTorでプライバシー保護を強化

ヴィタリックがAIエージェント向けプライバシー保護環境を構築
関連ニュース

ヴィタリックがAIエージェント向けプライバシー保護環境を構築

イーサリアム（Ethereum）の共同創業者ヴィタリック・ブテリン（Vitalik Buterin）氏が、AIエージェントの利用時にプライバシーを保護する仕組み「パラノイドモード（paranoid mode）」を構築したと10月16日に自身のXで明らかにした。

パラノイドモードを構築するにあたり、同氏は、API利用料金の支払い元を秘匿する「zkAPI」と、匿名通信ネットワーク「Tor」、ローカルAIによる入力内容の書き換えなどを組み合わせ、OpenAIのAPIと互換性のある常駐プログラムに統合した。この仕組みを自身のAIエージェント実行環境「パイ（pi）」に導入し、調査タスクを実行する様子を紹介した。また、関連コードはGitHubで公開されている。

AIエージェントとは、ユーザーの指示に基づいて情報収集や外部サービスの操作などを実行するソフトウェアだ。外部のAIモデルを利用する際には、ソフトウェア同士が機能やデータをやり取りする仕組み「API」を通じて、プロンプト（AIへの指示文）を送信することがある。

一方、こうしたAPIの利用では、料金の支払いに使うアカウント情報から利用者の身元が分かる可能性がある。また、通信元のIPアドレスやプロンプトの内容などから、複数の利用履歴が同じ人物のものとして関連付けられる可能性もある。

決済情報の保護に利用するzkAPIは、オープン・アノニミティ・プロジェクト（Open Anonymity Project）がイーサリアム財団（Ethereum Foundation）と共同開発し、10月1日に発表した仕組みだ。zkAPIは現在、イーサリアムのメインネットで稼働している。

zkAPIでは、利用者があらかじめイーサリアム上の専用コントラクトに資金を預け、APIの利用時には「ゼロ知識証明」と呼ばれる暗号技術を使って支払い能力を証明する。これにより、APIの提供事業者は利用料金が支払われることを確認できる一方、どの入金がその利用に対応するのかは分からない仕組みだ。ただし、zkAPI自体には通信元のIPアドレスやプロンプトの内容を隠す機能はない。

そこでブテリン氏は、通信元を特定されにくくするためにTorを組み合わせた。Torは、複数の中継サーバーを経由して通信する匿名通信ネットワークだ。今回の仕組みでは、AIエージェントの会話ごとに異なるTorの通信経路を割り当てる。さらに、実際のリクエストにランダムなダミー通信を混ぜる「カバートラフィック（cover traffic）」も採用した。これは、通信のタイミングや頻度から実際の利用状況を推測されにくくするための仕組みだ。

また、ブテリン氏はプロンプトに含まれる情報への対策として、外部のAIモデルに送信する前に、ユーザーの端末上で動作する大規模言語モデル（LLM）を使って入力内容を書き換える仕組みを採用した。使用するローカルLLMはユーザー自身が用意する方式で、同氏は「qwen3.8-flash-next」を使用していると説明した。

さらに、ブテリン氏はAIエージェントの実行環境を「bwrap」と呼ばれるツールで隔離した。これは、プログラムがアクセスできるファイルや機能などを制限する「サンドボックス」と呼ばれる仕組みだ。また、アプリケーションの通信をTor経由にする「torsocks」を使用し、AIエージェントの通信がTorを通るようにした。同氏は、軽量な仮想マシンを使ってプログラムを隔離する「マイクロVM（MicroVM）」も試している。

ただし、ブテリン氏は、今回の用途ではTorがプライバシー保護の観点から最適とはほど遠いと指摘した。カバートラフィックは、通信を観察するだけの第三者に対しては一定の効果がある。一方、LLM提供事業者がTorの最初の中継サーバーである「ガードノード」と結託し、通信のタイミングを積極的に操作した場合には、その効果が大幅に弱まるとのことだ。

この課題に対し、ブテリン氏は、複数の通信を混合して送信元と送信先の対応関係を分かりにくくする「ミックスネット（mixnet）」が必要だとの見解を示した。具体的には、通信量の大幅な増加を受け入れ、実際のリクエストがないときもダミー通信を流し続ける仕組みが望ましいと説明した。

また、ブテリン氏は今回の環境について、かなり実用的になってきたと評価した。一方、処理の遅延は依然として大きく、特に新しい会話を開始する際に時間がかかるとのことだ。

なお、ブテリン氏は、zkAPIへの資金の入出金にかかるガス代を大幅に削減する改善が、まもなくメインネットに導入される予定だと明らかにした。具体的な導入日や削減幅は示されていない。

Wrapped zkAPI + Tor + extra cover traffic + local LLM prompt rewriting in an open-AI compatible daemon, and made a “paranoid mode” wrapper for my agent harness (pi): Each conversation gets assigned a separate Tor circuit, your requests are masked with random cover traffic, zkAPI ensures you don’t leak your identity through payments, and all prompts are locally rewritten (bring-your-own-local-model; I’m using qwen3.8-flash-next) https://t.co/MepCFCrLv1 My agent harness is wrapped with a bwrap sandbox (also experimenting with MicroVM) and wrapped again with torsocks, so everything it does goes through Tor. Here’s what me asking it to do a simple research task looks like. It’s getting quite usable! Though you definitely still pay quite a bit in increased latency, especially when starting a new conversation. Also, Tor is far from optimal here for privacy; the cover traffic mechanism is okay against passive adversaries but much weaker if the LLM provider is colluding with the guard and actively manipulating timing. This kind of task really requires a more specialized mixnet, probably take the tradeoff of a higher bandwidth multiplier and built-in constant cover traffic. Also also, much cheaper zkAPI deposit and withdraw gas costs are coming to mainnet soon.
— vitalik.eth (@VitalikButerin) October 16, 2026

参考：ギットハブ
画像：PIXTA