イーサリアム財団のAIエージェント、テスト運用中にプロトコルコードのバグを実際に発見

イーサリアム財団のAI（人工知能）エージェントが、テスト運用中にプロトコルコードのバグを実際に発見したことが明らかになった。

世界最大規模の資産がロックされているイーサリアム（Ethereum/ETH）ブロックチェーンにおいて、ネットワークの堅牢性を高める試みが続けられている。イーサリアム財団のプロトコルセキュリティチームは最近、コアソフトウェアのセキュリティテストに「AIエージェント」を導入する実験を実施。この取り組みはシステムの安全性を担保する新たなアプローチとして注目を集める一方、人間のレビュー担当者にかかる負担という、AI特有の課題も浮き彫りにした。

協調型AIが発見した深刻なバグ

今回のテストでは、複数のAIエージェントを並列して実行し、それぞれに役割を与える手法が採用。この構成は、米AI企業Anthropic（アンソロピック）による「協調型エージェント群を用いたCコンパイラ構築」の研究からインスピレーションを得たものだ。

具体的には、以下の4つの役割に分かれたAIが協調して検証を行った。

偵察エージェント ： 攻撃対象を具体的な検証可能な仮説へ落とし込み
攻撃エージェント ： コードパスを追跡して再現手順の構築を試みる
ギャップ補完エージェント ： 進捗（しんちょく）を記録し、次の仮説群を生成する
検証エージェント： 独立して再チェックをし、重複を排除して有効性を判断する

この網羅的な探索の結果、AIエージェントはイーサリアムのバリデータ（検証者）などが通信に利用するP2P（ピアツーピア）ライブラリ「libp2p」の「gossipsub（ゴシップサブ）」レイヤーにおいて、深刻な脆弱性を発見することに成功した。

このバグはリモートからノードのシステムクラッシュを引き起こす可能性があり、悪用されればバリデーターがオフラインになって報酬を失うといった運用リスクが存在していた。この欠陥はすぐさま「CVE-2026-34219」として修正・公開され、技術的な危険は回避された。

大量発生する「説得力のある誤検出」

バグの発見という成果を上げた一方で、プロトコルセキュリティチームは大きなボトルネックに直面。それが、AIエージェントが生成する大量の「誤検出（ノイズ）」の処理だ。

従来のテストツール（ファザーなど）は、システムがクラッシュした際のデータを出力するため、人間が直感的にバグを確認できた。しかしAIエージェントは、攻撃のシナリオや深刻度の評価、実証用のコードまでを「もっともらしいレポート」として完璧な構造で書き上げてしまう。そのため、人間のエンジニアが「一見すると本物に見える偽のバグ」を見分けるために、膨大な時間と労力を割くことになった。

チームの分析によると、AIが生成する誤検出には主に3つの予測可能なパターンがあります。

本番環境と異なるテスト ： コンパイラの安全チェックが有効なデバッグビルドでのみ発生し、実際のユーザーには影響しないクラッシュ
到達不可能な攻撃経路 ： 外部からの入力経路ですべて拒否されるため、実質的に攻撃者が操作できない内部値を手動で挿入した再現コード
形式検証の空虚な証明 ： ソフトウェアが正しく動作している証明にはなっているものの、対象の動作を実際には制約していないケース

Web3セキュリティにおけるAIの現在地

イーサリアム財団のニコス・バクセヴァニス（Nikos Baxevanis）氏は、「驚いたのはバグ発見そのものよりも、本物と偽物を見分ける選別作業にいかに多くの労力が費やされたかという点だ」と報告している。

また、AIエージェントは単一の瞬間のコードを推論することは得意だが、DeFi（分散型金融）で頻発するような「複数の正常なステップを悪意ある順序で実行する」といった複雑なバグの特定には未だ苦戦する傾向がある。今回のテストが示す教訓は、AIセキュリティツールがインフラのバグ発見を加速させる強力なアシスタントになり得る一方で、最終的なトリアージ（選別）には人間の高度な判断が不可欠でだという点だ。

AIの導入によって人間の仕事が奪われたわけではなく、仮説検証のフェーズから、検証インフラの構築や情報の選別へと「人間の時間の使い方がシフトした」と言える。ツールの進化が進む現代においても、厳格なトリアージという人間の規律の重要性は変わっていない。

免責事項：本コンテンツは一般的なブランディングおよび情報提供のみを目的としており、金融、投資、法的、または税務上の助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインイベント、または関連情報は、暗号資産の購入、売却、取引、もしくはその他の取り扱い、または各種サービスの利用を推奨、勧誘、あるいは案内するものとみなされるべきではありません。暗号資産は価格変動が非常に激しく、損失が生じるリスクがあります。WEEXのサービスおよびオンラインイベントは、一部の地域ではご利用いただけない場合があり、現地の適用法令、規制、および利用資格要件が適用されます。ユーザーの皆様は、WEEXサービスの利用が居住国の法律に準拠していることをご自身の責任で確認し、暗号資産に関連する活動に参加する前に、リスクを慎重に評価してください。