ドラゴンフライのハシーブ・クレシ、AIによる脆弱性の「発見コスト」報告を提案。コールドカード問題受け

AIによる脆弱性の「発見コスト」を提唱

暗号資産（仮想通貨）投資会社ドラゴンフライ（Dragonfly）のマネージングパートナーであるハシーブ・クレシ（Haseeb Qureshi）氏が、AIモデルが同じ脆弱性を発見するために必要な費用を示す「発見コスト（Cost of Discovery：CoD）」を報告すべきだとの見解を8月4日に自身のXアカウントで示した。

コールドカードの脆弱性について

今回クレシ氏が言及したのは、ビットコイン（Bitcoin）向けハードウェアウォレット「コールドカード（COLDCARD）」で発覚した脆弱性だ。同氏は、別のレディット（Reddit）ユーザーがAIモデルを使い、同脆弱性を約20分で再発見したとする報告を踏まえ、「発見コスト」の導入を提案した。

コールドカードを開発するコインカイト（Coinkite）は、シードフレーズ生成機能に関する脆弱性について7月30日にセキュリティ勧告を公開していた。コールドカードは、ビットコイン向けハードウェアウォレットだ。シードフレーズとは、一般に12語または24語で構成されるウォレットのバックアップ情報で、このフレーズを使って別の端末でウォレットを復元できる。

今回の問題は、シードフレーズの生成に使われる乱数の予測困難性が、設計上想定された水準を下回っていたことに起因する。これにより、第三者が秘密鍵を推測できる可能性が生じた。

コインカイトは修正版ファームウェアを公開するとともに、新たなシードフレーズを生成し、旧シードフレーズで管理していた資金を新しいウォレットへ移動するよう利用者へ呼びかけた。また同社は8月2日、今回の脆弱性による資産被害が発生したことを認め、「脅威は現在も続いている」と説明した。

今回の脆弱性を巡っては、AIコーディングツール「クロード・コード（Claude Code）」が約8分で問題を発見したとするレディット上の報告が注目を集めた。

クレシ氏の見解

今回クレシ氏は、この結果について、クロード・コードがウェブ検索を通じて公開済みの脆弱性情報を参照した可能性があると指摘した。その場合、AIがコード解析だけで問題を発見したとは断定できないことになる。

その後、レディットユーザーは、AIモデル「GLM 5.2」のウェブアクセスを無効にして同様の調査を行い、約20分で同脆弱性を発見したと報告した。

クレシ氏は、ジープーAI（ZhipuAI）が公表するGLM 5.2のAPI価格や、読み込み中心となる今回の処理内容などを基に、同脆弱性の発見コストを約2ドル（約320円）と試算した。

この結果を受けクレシ氏は、AIモデルが同じ脆弱性を発見するために必要な費用を「発見コスト」と呼び、脆弱性が独立して再現された場合には、その費用もあわせて報告すべきだと提案した。

一方で同氏は、企業がAIを使ったセキュリティ検証へ実際に投じた金額については、必ずしも公表する必要はないとの考えも示した。公表した金額を上回る費用を投じれば、新たな脆弱性を発見できる可能性があることを攻撃者へ示すことになりかねないためだと説明した。

また同氏は、AIがサイバー攻撃の多くを担うようになれば、防御側もAIを活用したセキュリティ検証へ十分な費用を投じる必要があるとの見方を示した。

スタートアップを含む開発企業については、すべてのリリースで最先端AIモデルを使ったセキュリティ検証を実施し、重大な脆弱性の探索へ少なくとも数千ドル規模の費用をかけるべきだと主張した。

さらに同氏は、暗号資産ウォレットをはじめとするセキュリティ重視の製品では、十分な資金を投じてセキュリティ強化を継続できる大規模事業者へ市場が集約される可能性もあるとの見方を示した。

AI活用による脆弱性検出の直近事例

なお、AIを活用した脆弱性検出を巡っては、暗号資産業界でも能力評価や実務利用が進んでいる。オープンAI（OpenAI）は今年2月、パラダイム（Paradigm）と共同で、AIエージェントによるスマートコントラクトの脆弱性検出・修正・悪用能力を評価する「EVMベンチ（EVMbench）」を公開した。

また今年6月には、プライバシー特化型暗号資産「ジーキャッシュ（Zcash）」で約4年間存在していた重大な脆弱性が、アンソロピック（Anthropic）のAIモデル「クロード・オーパス4.8（Claude Opus 4.8）」を活用したセキュリティ研究者の調査で発見されたことも報告された。

 画像：PIXTA

関連ニュース

参照元：ニュース – あたらしい経済

コメント

タイトルとURLをコピーしました