Dragonflyのハシーブ・クレシ氏、Coldcardの欠陥は"AI監査2ドル"で防げた可能性

暗号資産ベンチャーキャピタルDragonflyのマネージング・パートナー、Haseeb Qureshi（ハシーブ・クレシ）氏は、ビットコイン用ハードウェアウォレット「Coldcard」で判明した脆弱性を受け、AIがサイバーセキュリティのコスト構造を塗り替えていると指摘した。欠陥発見の費用が急低下するなか、暗号資産関連企業は最先端AIモデルを全てのソフトウェアリリースに対して投入すべきだと主張している。 【要点】 ・Coldcardは、AIが約8分で発見したとされるシード生成の欠陥を受け、7月31日に修正を実施 ・クレシ氏は"AI監査が2ドルで済む"世界では、より大きなセキュリティ予算を持つ企業が優位になり得ると指摘 ・脆弱性発見が分単位まで短縮されることを踏まえ、全リリースでフロンティアAIによるチェックを求めた 同氏はXに"サイバーセキュリティは今や支出のゲームだ"と投稿し、開発側がAIベースのテストに投じる金額が、攻撃者より先回りできるかどうかを左右すると述べた。 Coldcardを手掛けるCoinkiteは、特定のファームウェア版で作成されたシードに影響するエントロピー（乱数）不具合を開示。意図したハードウェア由来の乱数ではなく、決定論的なソフトウェア生成器に依存するケースがあったという。Coinkiteは7月31日に緊急アップデートを公開し、影響を受けるユーザーに対して新しいシードを作成し資金を移動するよう案内した。新しいファームウェアの導入だけでは、既存のシードは修復されない。 脆弱性の再現は短時間で可能だったとの報告も出ている。AnthropicのClaude Codeを用いたテストでは約8分で欠陥を見つけたとされる一方、クレシ氏はインターネット接続が結果に影響した可能性に言及し、モデルが既存情報に触れた余地があると注意を促した。別のテストではウェブアクセスを無効化しGLM 5.2を使用、約20分で脆弱性を再現したという。 同氏はモデルの入出力コストを基に、監査費用は約2ドルだったと試算し、"AIによる2ドル分の強化でこのバグは防げたはずだ。言い訳はできない"と述べた。さらに、フロンティアAIが脆弱性を独力で再現するのに要するコストを示す新指標"Cost of Discovery（CoD）"の導入も提案している。 今回の事例は、ハードウェアウォレット市場全体にも波及し得る。クレシ氏は、自動テストや監査、リリース前の強化により多く投資できる大手ベンダーが有利になるとし、小規模企業は低コストで継続的にコードをスキャンできる攻撃者に対抗しづらくなる可能性があると警告した。資金を保護するウォレットやスマートコントラクトなどを開発するスタートアップは、リリースのたびにAIによるセキュリティレビューを実施すべきだとも提言した。 オープンソースの安全性を巡る一般的な見方にも異議を唱えた。公開コードは悪意ある開発者から利用者を守る助けにはなるが、攻撃者から自動的に守ってくれるわけではないという。AIは攻撃側にも防御側にも利用され、脆弱性発見のコストを下げる一方で、開発者により強力な防御手段も与える。クレシ氏は"適応するしかない"と締めくくった。