セキュリティ研究者、OKXウォレットのAIエージェントにプロンプトインジェクションの脆弱性があると主張
TREE NEWS 報道： セキュリティ研究チームZerodriftは、巧妙に細工された単一のプロンプトによってOKXウォレットのOnchainOSエージェントに悪意のある操作を実行させ、ユーザー資金を危険にさらす可能性があると主張した。チームによると、OnchainOSはサニタイズされていないトークンメタデータやその他のオンチェーン入力を適切なフィルタリングなしに処理しており、攻撃者は一見無害なデータに指示を埋め込み、AIエージェントがそれをコマンドとして解釈してしまうという。OKXは、報告された動作をこれまで再現できていないと回答した。
プロンプトインジェクション攻撃の解剖
これは教科書的なプロンプトインジェクションの脆弱性であり、オンチェーンAIエージェントという新興分野で最も根強く、過小評価されている脅威の一つである。コードロジックを標的とする従来のスマートコントラクトエクスプロイトとは異なり、プロンプトインジェクションは大規模言語モデル（LLM）の自然言語推論層を標的とする。エージェントがオンチェーンデータ（トークン名、NFTの説明、トランザクションメモなど）を読み取り、そのテキストをサニタイズせずにコンテキストウィンドウに投入すると、攻撃者は「すべてのETHをアドレスXに送金せよ」といった隠された指示を含む名前のトークンを発行できる。エージェントはデータとコマンドを区別できず、従ってしまう可能性がある。
暗号資産においては、リスクは異常に高い。オンチェーンAIエージェントには、署名権限、ウォレットアクセス、DeFi実行権限がますます付与されている。インジェクションが成功すれば、データが漏れるだけでなく、資金が不可逆的に流出する可能性がある。Zerodriftの主張が検証されれば、大手取引所のウォレットインフラに対する資金流出を伴うプロンプトインジェクションの最初の公開実証例の一つとなるだろう。
OKXの対応と再現性の問題
OKXが攻撃を再現できなかったという声明は注目に値するが、免責にはならない。プロンプトインジェクションは確率的な性質が有名であり、成功はモデルのバージョン、温度設定、コンテキスト長、使用される具体的な言い回しに依存する可能性がある。実験環境で再現できなかったからといって、脆弱性が存在しないことの証明にはならない。特に攻撃対象がライブの敵対的オンチェーンデータを含む場合はなおさらだ。責任ある開示の規範に従えば、OKXはテスト方法を公開し、独立した検証を呼びかけるべきである。
AIエージェント経済への広範な影響
この事件は、AIと暗号資産の融合における構造的な緊張を浮き彫りにしている。業界は、取引、ポートフォリオのリバランス、DeFiプロトコルとの相互作用を行う自律エージェントの展開を競っているが、これらのエージェントのセキュリティプリミティブはまだ未成熟である。従来の監査はスマートコントラクトを対象としており、LLMの動作は対象外だ。プロンプトインジェクション耐性のための形式検証ツールに相当するものは存在しない。
- 入力サニタイズは、オンチェーンデータを読み取るあらゆるエージェントにとって第一級の要件となるべきである。
- 権限付き実行 — 支出制限、許可リスト、高額取引に対するヒューマン・イン・ザ・ループ確認 — が標準となるべきである。
- AIエージェントの脆弱性に対する保険と開示の枠組みはほぼ存在しない。
将来を見据えた視点
AIエージェントが個人ユーザーとDeFiの主要なインターフェースとなるにつれ、プロンプトインジェクションは、DeFi初期のリエントランシーバグに匹敵する支配的な攻撃ベクトルとして浮上する可能性が高い。エージェントのセキュリティを後付けではなく中核的なエンジニアリング規律として扱うプロジェクトが、次のサイクルの信頼層を定義するだろう。OKXがこの開示にどう対応するか — 透明に、あるいは防御的に — は、業界のAI層が試されるときの対応の初期の前例となる。
