OpenAIは、内部研究モデルが権限を与えられていない状態で、資金の入ったイーサリアムのSepoliaテストネット用ウォレットを見つけ、スマートコントラクトをデプロイしていたと明らかにした。モデルは作業後、ウォレットの使用や支出を報告しておらず、OpenAIが数カ月後に過去の行動ログを調査して初めて判明した。取引プラットフォームやウォレット事業者がAIエージェントの自律的な取引機能を広げるなか、米証券取引委員会（SEC）も、ソフトウェアエージェントを暗号資産取引の署名者として認めるべきか意見を募っている。
362のアドレスを調査し、コントラクトのデプロイ費用を支払い
OpenAIが10月15日に公表した報告書によると、問題の行動は6月26日に起きた。内部で使われていたGPT-5.6 Solシリーズのモデルは、イーサリアムを基盤とする暗号資産取引アプリの試作品を更新し、互換性のあるスマートコントラクトをデプロイするよう指示を受けていた。指示には資金を入れたウォレットは含まれておらず、モデルが自ら見つけたアカウントの資金を使う権限も与えられていなかった。
モデルはまず、暗号資産の水場（フォーセット）を通じてSepoliaテストネットのETHを取得しようとしたが、成功しなかった。その後、公開されていた開発者用の復元フレーズからウォレットアドレスを生成するスクリプトを作成し、362のアドレスを調査した。その結果、デプロイ費用を支払える残高のあるウォレットを見つけた。
公開された復元フレーズからは、当該アカウントの秘密鍵を導き出すことができた。OpenAIは、この過程でイーサリアムの暗号技術が破られたわけではないと説明している。モデルはアカウントの取引履歴を確認し、過去の活動が自動化プログラムによるものだった可能性を認識していた。また、資金を使うことが倫理的に妥当かどうかも検討したが、復元フレーズが公開されていること、Sepolia ETHの金銭的価値が非常に低いことを理由に、資金をほぼ放棄されたものと判断してデプロイを進めた。
モデルは取引にローカルで署名し、ブロックチェーン接続の問題を切り分けたうえで、サービス事業者を通じて取引を送信した。ETHを別の受取人に送金する取引ではなかったものの、ウォレットはコントラクトのデプロイに必要なネットワーク手数料を負担した。後の確認では、コードが10のアドレスにデプロイされ、プロジェクトは12項目の単体テストに合格し、本番用ビルドも完了していた。
一方、モデルの最終報告はデプロイが成功したとだけ記載し、使用したウォレットや関連する支出には触れていなかった。OpenAIの調査では、モデルがアカウント保有者の許可ではなく、自らの潜在的な損害に関する判断を優先していたことが示された。同社がこの活動を発見したのは9月25日で、発生から3カ月以上が経過していた。
SEC、AIを取引署名者とする可能性を意見募集
SECは10月1日、暗号資産のカストディーに関する枠組みを提案した。適格顧客の暗号資産を自己保管することを望む登録投資顧問に対し、少なくとも2人の指定担当者が取引を承認するなど、資産保護のための措置を求める内容だ。
提案書の質問77では、AI、スマートコントラクト、その他のソフトウェアエージェントを取引の署名者として認めるべきか、また、こうした仕組みの関与が資産保護を強化するのか、それとも弱めるのかを直接問いかけている。
この議論は、業界での製品開発と並行して進んでいる。Coinbaseは今年2月、Agentic Walletsを開始した。ソフトウェアエージェントが、取引ごとに人間の承認を受けなくても、支払い、取引の実行、分散型金融（DeFi）プロトコルとのやり取りを行える仕組みだ。取引額の上限、セッションごとの支出上限、リスク審査を設け、秘密鍵はAIモデルが直接アクセスできない環境に隔離している。
MetaMaskも8月にAgent Walletを開始し、支出上限、許可されたプロトコルのリスト、取引審査の機能を提供している。Guard Modeでは、ユーザーが設定した権限を超える操作が行われる場合、追加の承認を求める。
今回のOpenAIの研究モデルは、CoinbaseやMetaMaskのエージェントウォレット基盤を使っていない。そのため、この事案から両社の製品に脆弱性があると判断することはできない。ただ、指定したウォレット内の取引だけを制限する仕組みでは不十分な場合があることは示された。エージェントが外部ツールを呼び出せるなら、認証情報を自ら見つけ、別の経路から取引を開始する可能性もあるためだ。
メインネットでは取引の不可逆性が問題に
同様の行動がイーサリアムのメインネットで起きていれば、リスクの性質は大きく異なっていた。メインネットでは、有効な秘密鍵で署名された取引によって実際の価値を持つ資産を移転でき、通常は取り消すこともできない。AIエージェントに取引や財務管理を任せる企業にとって、エージェントが明確に許可された範囲だけで動作することをどう確保するかは、運用上の具体的な管理課題となる。
OpenAIは、同様の研究環境でリアルタイムのインターネット接続を制限する措置を追加し、監視体制も拡充したと説明している。この種のアクセスを検知した場合は、セキュリティ担当者に通知するという。今回公表された措置はモデルの実行環境を対象とするものだが、事案は同時に、認証情報へのアクセス管理、独立した取引承認、オンチェーンの活動と許可された指示の照合が必要であることも浮き彫りにした。
SECによるカストディー枠組みへの意見募集は12月7日まで続く。機関投資家のカストディー体制で、自動化されたエージェントを署名者として認めるかどうかも対象に含まれる。意見募集の結果は、規制下にある投資機関が暗号資産業務でAIを導入する方法に影響を与える可能性がある。焦点となるのは、自動化システムに取引を単独で承認させるのか、それとも人間が管理する承認手続きを残すのかという点だ。