Anthropicの最新AIモデル「Claude Fable 5」は強力なサイバー攻撃ツールに安全フィルターを搭載している。すでに今年だけで8億4,000万ドルを超える被害が報告されているDeFi業界において、このフィルターが破られた場合、甚大な損失をもたらす可能性がある。
このAnthropicの新モデルは、高速かつ強力な推論およびコーディング能力を備え、暗号資産市場のセキュリティ問題をさらに深刻化させる恐れがある。
同社は火曜日に「Claude Fable 5」を発表し、これは同社のMythosクラスとしては初のパブリックモデルで、現時点で最も強力なモデルだという。そのため一般向けには制約のあるバージョンと、より制限された配布向けの二種類がリリースされている。
パブリック版は推論能力やコーディング能力が強化されている一方で、危険な使用は遮断する設計だ。対して、制限の少ない「Claude Mythos 5」はサイバーセキュリティおよび重要インフラ関係の厳選ユーザーのみが利用可能である。
専門家は、このMythosモデルがゼロデイ脆弱性、すなわちこれまで知られていなかったソフトウェア欠陥を検出し、それを連鎖的な攻撃へと変換する支援が可能であると警鐘を鳴らしている。Anthropicによると、このモデルは高リスクのリクエストを検知し、攻撃経路の可能性を遮断しようと試みる。検知された場合は、より脆弱性の低い「Claude Opus 4.8」へ処理を振り分ける仕組みとなっている。
同社の説明によれば、このフォールバックは利用セッションの5％未満で発動し、専門のサイバーセキュリティチームによる検証や外部のバグ報奨プログラムでの1,000時間を超える検証の結果、システムを完全に破る手法は見つかっていないとのことだ。
しかしながらAnthropicは、このシステムが完全無欠とは考えておらず、その能力の価値からして、意欲的かつ資金力のある攻撃者が挑戦を続けると予想している。
同社のブログ投稿では「Mythosレベルの能力は、多数の敵対者、特にサイバー攻撃で利益を得ようとする者にとって非常に価値が高い。したがって我々の安全措置を回避しようと強く動機づけられている」と述べている。
「……決意の固い敵対者に対して信頼できる制御手段ではない」とも付け加えている。
標的の脆弱点を特定すること自体は、AIがハッカーの新たな武器となる上で最大の革新ではない。鍵は超人的な速度であり、AIモデルに導入された制限がそれに十分に対応できるかは疑問視されている。
ハードウェアウォレットメーカーLedgerの最高技術責任者（CTO）チャールズ・ギュレメ氏はCoinDesk宛のメールで「現在のAIガードレールは一定の妨げにはなるが、決意の固い敵対者に対して信頼できる制御手段とは言えない」と指摘している。
彼によれば、変化のポイントはAIが新たなハッキング手法を発明することではなく、それらの作成に要する時間を劇的に短縮する点にある。推論モデルはソフトウェア開発工程内の「すべてのコミットを解析し、設定をすべて検索し、ミスコンフィギュレーションを機械的な速度で洗い出せる」能力を持つ。
暗号資産は特に脆弱である。なぜならソフトウェアの不具合がほぼ即時に財務的損失へ直結するためだ。
ソーシャルエンジニアリングの被害拡大
DefiLlamaのデータによると、今年の最初の5か月間でDeFiプロトコルは8億4,000万ドル超のハッキング被害を受けている。特に4月単月で6億ドル以上の被害が発生し、分散型金融業界にとって過去最悪の月となった。
しかし、最大規模の2件の事件は、AIが技術的に検出可能な単純なスマートコントラクト脆弱性を突くものではなかった。
1件は北朝鮮と関連するグループによるもので、約6か月間にわたるソーシャルエンジニアリングの結果、管理者権限を奪取し「Drift Protocol」から約2億8,500万ドルを流出させたものだ。もう1件はKelp DAOにおける単一検証者の欠陥を突かれ、約2億9,200万ドルが流出している。
さらに火曜日には、分散型認証サービスHumanity Protocolでプライベートキー漏洩による30億円超の損失事件が発生した。CoinDeskの報告によると、攻撃者は従業員のノートパソコンに保存された6つのプライベートキーのうち3つにアクセスしていたという。
問題は明らかだ。Anthropicのフィルターが検知可能なスマートコントラクトの明白な脆弱性ではなく、最大の被害は契約のバグを利用せずに発生している。
Ledgerのギュレメ氏は、これらの攻撃が「ソーシャルエンジニアリング、誤情報の署名フロー、鍵の露出、人為的ミス」といった既知の弱点に起因していると指摘している。
Claude FableのようなAIモデルは、完成された攻撃手法を提供しなくとも攻撃の経済性を変化させ得る。公開リポジトリの解析、ソフトウェア旧バージョンの比較、監査報告の要約、人間が見落とすような細かな運用ミスを探し出し、説得力ある攻撃メッセージを生成することが可能だからだ。
「これらの攻撃は依然としてソーシャルエンジニアリングと人為的ミスに根ざしている」とギュレメ氏は強調する。
こうした環境下で、防御者はあらゆるキーパス、依存関係、署名フローおよび特権アカウントの確実な保護が求められる。AIは偵察段階を加速させるため、最終署名の重要性が一層高まっている。プライベートキーは侵害されたノートパソコンからアクセス不能な場所に保管され、ユーザーは承認内容を確実に表示できる信頼性の高い画面を必要としている。
ギュレメ氏は「これを正しく認識すべきだ。これらの攻撃は依然としてソーシャルエンジニアリングと人為的ミスに起因している。AIは現実を作ったのではなく、それを可視化し、機械的な速度で加速させた。唯一の解決策はハードウェアルートオブトラストである。具体的には認証済みセキュアエレメント上でプライベートキーを生成・保持し、信頼できる表示と明確な署名の組み合わせを用いることだ」と述べている。
技術の両面性
しかし同じ技術はコードの保護にも有効だ。DeFiのイールドプロトコル「Pendle」は、Claude Opusの初期バージョンからAnthropicのモデルを防御的に活用していると説明する。開発チームはAIを用いてコードベースをマッピングし、展開直後のスマートコントラクトも含めてストレステストを実施。これによりバグの早期発見とコードの明確化を実現しているという。
Pendleの開発者はTelegramのインタビューで、スマートコントラクト自体は恐れるべき対象ではないと語った。スマートコントラクトは短く、エントリポイントが十数カ所程度に限られており、優れた監査者は契約の全状態を把握し、あらゆる境界ケースを検証できるという。
「スマートコントラクト監査で非常に多くのコード行数は存在しない」と開発チームは述べている。
つまり、次の大規模な暗号資産ハッキングは目新しさを持たず、DeFiが既に経験している汚染されたパッケージ、騙された開発者、誤った署名フローなどの典型的な手口に過ぎない可能性が高い。
違いは、それらが以前よりもより高速に発生するという点にあるとみられている。