NewTendermintが開発するGoベースのスマートコントラクト・プラットフォームGno.landは、プラットフォームのコードベースと「realms」と呼ばれるスマートコントラクトを継続的に調査する自律型AIエージェント型セキュリティシステム「Dora」を導入した。

従来のセキュリティツールが、潜在的に脆弱なコードを後で調査するために警告するのに対し、Doraは疑われる弱点が実際に悪用可能かどうかを判定するよう設計されている。人間のレビューに回す前に、システムは疑われるエクスプロイトを稼働中のGno.landノードに対して再現し、誤検知を減らし、実行可能な脆弱性を早期に特定することを目指す。

今回の発表は、ブロックチェーン関連プロジェクトが、主に定期監査やバグ報奨金プログラム経由の脆弱性報告に依存するのではなく、継続的なセキュリティ監視のためにエージェント型人工知能を活用する方向へ移行している流れを反映している。その背景には、業界の損失データが示す通りの高いリスクがある。ChainalysisやImmunefiなどのセキュリティ追跡サービスは、近年、暗号資産のハッキングによって年間数十億ドル規模の損失が発生したと報告しており、スマートコントラクトの脆弱性はその繰り返し発生する原因の一つだ。従来の監査も時点評価にすぎず、監査後に変更されたコードは次回の監査まで未確認のまま残る可能性があるため、継続監視はそのギャップを埋める位置づけにある。

Gno.landは、CosmosとTendermintの共同創設者であるJae Kwonによって設立された。プラットフォームは、Goの解釈型かつ決定論的な変種であるGnoを使用し、開発者が読みやすく合成可能なスマートコントラクトを記述できる一方、ソースコードをオンチェーンで公開し続けることを求めるよう設計されている。このアーキテクチャは透明性を高め、開発者やセキュリティ研究者が契約を調査しやすくすることを意図している。Kwonが率いるNewTendermintは、Tendermint2やGno.landを含む分散システム向けインフラを開発しており、パーミッションレスなアプリケーション向けのオープンソース・インフラを支えるGno.landプロトコルとGnoVMの主要メンテナーを務めている。

7段階のエージェント処理が悪用可能な脆弱性を対象にする

人工知能によって疑わしいコードの特定が容易になったことで、継続的な検証の必要性は高まっている。AI支援ツールは問題の可能性があるソフトウェア部分を素早く見つけられるが、それらが本物の、かつ悪用可能な脆弱性であるかを判断するのは依然として難しい。同じ能力は、セキュリティチームだけでなく潜在的な攻撃者にも広く利用可能になりつつある。

ブロックチェーンネットワークでは、未検出のソフトウェア欠陥の影響は大きくなり得る。重要なコンポーネントでのpanicはコンセンサスに影響する可能性があり、非決定的な挙動はバリデータの不一致を引き起こす可能性があり、算術エラーは資産移転に影響する可能性がある。

Doraは、偵察、脆弱性計画、重複排除、検証、敵対的レビュー、パッチ開発、最終修正検証を含む7段階のエージェントワークフローでこの課題に対処する。偵察エージェントが関連コードを把握し、計画エージェントが潜在的な脆弱性シナリオを作成する。重複排除の段階では既知の問題が除去される。その後、検証エージェントが実際のGno.landノードに対してライブテストを作成・実行し、疑われる弱点が再現可能かどうかを判断する。

別のレビュー担当者が、敵対的な観点から結果を評価する。問題が依然として有効であれば、修正担当がパッチを作成し、その後のレビューで提案された修正が新たな問題を生まずに脆弱性を解消するかを確認する。完全なプロセスを通過した結果のみが人間のレビュー担当者に送られる。

Gno.land、AI重視の開発ツールを拡充

Doraは、開発とセキュリティの両面に人工知能を統合するGno.landの広範な取り組みの一部だ。同プラットフォームはまた、Claude CodeやCursorなどのAIコーディングエージェントをGno.landに直接接続することを目的としたオープンソースサーバー「gnomcp」も公開している。この統合により、AIエージェントはソフトウェアエンジニアに馴染みのある開発ワークフローを用いて、Gno.land上でrealmsの読み取り、書き込み、デプロイを行える。人間が読めるGoベースのスマートコントラクトを採用していることも、主にコンパイル済みバイトコードでアプリケーションロジックが表現されるアーキテクチャに比べ、AIシステムがコードへアクセスしやすくする狙いがある。

Doraは現在、社内向けのセキュリティツールであり、Gno.landはまだコードベース全体の包括的な監査を完了していない。ただし、対象を絞ったテストでは、比較的ノイズの少ない再現可能な結果がすでに得られている。同社は、Doraの適用範囲を拡大し、システムの展開拡大に応じて追加結果を公表する計画だ。こうした結果が公開されれば、独立したセキュリティ研究者が外部の検証に耐えうるかを確認でき、エージェント駆動の検証が標準的なセキュリティ実務として成立するかの初期試験となる可能性がある。この取り組みにより、Gno.landは従来の監査や人間主導の脆弱性調査を補完する継続的なセキュリティ層を得て、確認済みの問題を外部に発見される前に対処できるようになる可能性がある。

Source: CoinTrust