3月27日、香港数码港、ME Group、iPolloが共同主催する第1回Agentic AIイノベーション＆セキュリティフォーラム暨香港第1回Web 4.0国際サミットが香港数码港で盛大に開催されました。本サミットは「Agentic AIのイノベーション応用：Web 4.0時代の技術変革と産業融合」をテーマとし、香港特別行政区政府財政司司長の陳茂波、香港数码港主席の陳細明、香港数码港取締役でNano Labs創設者の孔劍平、著名なアンジェル投資家である蔡文勝など、政官学産各界のトップエキスパートが集まり、AIが「対話」から「行動」へと新たな時代へ移行する中での機会と課題について議論しました。
エージェント型AIが注目を集める中、そのもたらすセキュリティ課題は特に重要です。SlowMistの創設者である余弦は、本サミットに招待され、「AIと暗号世界のセキュリティ課題と防御のイノベーション」と題した基調講演を行い、SlowMistがAIセキュリティ分野で得た最新の洞察と実践を、グローバルな業界リーダーと共有しました。
フロントラインに注目：OpenClaw と AI Agent のセキュリティ脅威を深掘り
AI技術が暗号資産業界に次第に浸透する中、「エビを育てる」(OpenClaw) といったAIエージェントアプリが急速に人気を博している。しかし、このブームの裏では、より深い問題が浮上している：AIエージェントのセキュリティ境界は、いまだ確立されていない。
演説の中で、余弦はOpenClawを起点に詳細に分析し、重要な判断「テキストは命令である」と提唱した。彼は、AI Agentの実行環境において、すべての入力がもはや単なる「情報」ではなく、実行可能な潜在的な命令であると説明した。これは、モデルが受信するあらゆる外部情報——ユーザー入力、ドキュメントの説明、またはサードパーティのSkillのいずれであっても——が直接解釈・実行される可能性があることを意味し、攻撃面をコード層から「認知層」へと拡大する。
このメカニズム下では、攻撃経路が大幅に簡素化される。攻撃者は従来のセキュリティ防壁を突破する必要がなく、精心して設計されたテキストコンテンツを構成するだけで、資産移転、機密情報の漏洩、あるいはリモートコマンド実行などの意図しない操作をAgentに誘発する可能性がある。この攻撃経路の隠蔽性と低コスト性は、現実的な脅威として極めて高い。
上記のメカニズムに基づき、コサインはOpenClawが直面する三つの核心的リスクをさらにまとめた：
- 入力と意図の操作（ユーザーインタラクション層）：攻撃者は「直接プロンプトインジェクション」により、エージェントに危険な操作を実行させることができる。特に注意すべきは間接的なサプライチェーンポイズニングであり、攻撃者がスキルのMarkdownドキュメントに悪意のあるコマンドを埋め込む。Markdownはしばしば「インストール入口」として機能するため、元々の「説明テキスト」が悪意のある実行スクリプト（例：curl | bash）に容易に変質し、データの盗難を引き起こす可能性がある。
- 意思決定とオーケストレーション層のリスク（アプリケーションロジック層）：このエラーはモデル自体由来ではなく、「誤った実行ロジック」に起因します。攻撃者はエージェントの論理的推論を干渉し、暗号通貨送金などのビジネスプロセスで受取アドレスを改ざんさせ、直接的な資金損失を引き起こす可能性があります。
- モデル層のリスク（コアブレイン）：モデルが生成する「幻覚」により、存在しないまたは危険なシステムコマンドを実行すること、およびトレーニングデータから誤って学習した不安全な操作モード。
余弦は、「OpenClawが露呈した問題は孤立した現象ではなく、現在のAI Agentエコシステムが直面する普遍的な構造的課題である」と指摘した。言い換えれば、セキュリティ上のリスクはもはや特定のプロジェクトの「個別事例」ではなく、業界全体が直視しなければならないシステム的なリスクとなっている。
攻防両立：AI Agentの安全でオープンソースのエコシステムを構築
変化し続ける脅威の形態に直面して、余弦は講演で、SlowMistの「攻防両立」のセキュリティアプローチを提唱しました。攻撃経路を理解するだけでなく、防御機能をAgentの動作メカニズムに組み込み、セキュリティを内蔵することを実現する必要があります。
また、参加者に対して、SlowMistがAI Agentに基づいて構築した一連のオープンソースツールと実践手法を紹介し、透明性があり、検証可能で再利用可能なセキュリティエコシステムの構築を推進しました。
- OpenClaw 簡素なセキュリティ実践ガイド：認知層からインフラ層までをカバーするエンドツーエンドのセキュリティ導入マニュアルで、本番環境における高権限AIエージェントの導入に体系的な「セキュリティ思想の鋼印」を提供します。
- SlowMist Agent Security Skill：OpenClawなどのエージェントに「慧眼」を追加する包括的なセキュリティレビュー枠組みです。通常のSkillsのポイズニングリスクを検出するだけでなく、チェーン上のウォレットアドレス、コードリポジトリ、およびURLのリスクも識別できます。
- MistTrack Skills：AIエージェントにプロフェッショナルな暗号資産AMLコンプライアンスおよびアドレスリスク分析機能を提供する、プラグアンドプレイのエージェントスキルパッケージ。オンチェーンアドレスリスク評価や取引前のリスク判断に使用できます。
- MCP セキュリティチェックリスト：Agent サービスの迅速な監査と強化を目的とした体系的なセキュリティチェックリストで、MCPs/Skills および関連する AI ツールチェーンのデプロイ時に重要な防御ポイントを見落とさないように支援します。
- 悪意のあるMCPデモ：リアルな攻撃シナリオを再現し、防御システムの堅牢性をテストするためのオープンソースの悪意のあるMCPサーバーの例です。セキュリティ研究と防御検証に使用できます。
この一連の実践を通じて、余弦は次のように強調しました：「セキュリティ機能は、周囲の防護に頼るのではなく、Agentに内蔵されるべきです。」防御メカニズムをAgentの動作ロジックと深く統合することで、AI Agentは複雑なWeb3およびAIエコシステムにおいて継続的かつ安全に動作できます。
システム化されたセキュリティ：ADSSがAIとWeb3エコシステムを包括的に保護
スピーチの最後で、余弦はSlowMistが提唱するADSS（AI Development Security Solution）を紹介しました。
前述のツールが「戦術的機能」に該当するならば、ADSSはよりシステムレベルのセキュリティフレームワークに該当します。その核心理念は、散在するセキュリティアクションを実行可能で監査可能かつ持続可能なシステム化されたセキュリティ運用メカニズムへと昇華させることです。
ADSSは複数の層面でAI + Web3のセキュリティガバナンス能力を構築しています：
- L1 セキュリティガバナンス（開発基準）：開発ツール、Agentフレームワーク、プラグインエコシステム、および実行環境をカバーする一貫した開発および使用セキュリティ基準を確立し、チームに統一された戦略の源泉と監査基準を提供します。
- L2権限と操作制約：エージェントの権限範囲を収束させ、ツール呼び出し権限を最小限に抑え、重要な操作に人間による確認メカニズムを導入することで、高リスク行動の実行範囲を効果的に制御します。
- L3 外部インタラクション保護：URL、依存リポジトリ、プラグインのソースなどの外部リソースレベルでリアルタイムの脅威感知を導入し、悪意のあるコンテンツやサプライチェーンポイズニングが実行パスに侵入する確率を低減します。
- L4チェーン上資産の分離：チェーン上取引を伴う操作に対して、チェーン上リスク分析と独立署名メカニズムを組み合わせることで、Agentがプライベートキーに直接アクセスすることなく取引を構築でき、高価値資産の操作に伴うシステムリスクを軽減します。
- L5 継続的な監視と振り返り：ログ監査、定期的なセキュリティレビュー、および運用メカニズムを通じて、「実行前には事前チェック、実行中には制約、実行後には振り返り」が可能なクローズドループセキュリティ機能を実現します。
余弦は、ADSSが単一のツールではなく、持続可能で進化可能なセキュリティ運用体制であると指摘した。これは、開発効率と自動化能力を大幅に低下させることなく、体系的な戦略、継続的な監査、および能力の連携を通じて、チームが監査可能でアップグレード可能なAgentセキュリティ体制を構築することを支援し、AIとWeb3の深層融合という背景下的に進化するセキュリティ脅威に対応することを目的としている。
まとめ
初のAgentic AIイノベーションとセキュリティフォーラムは、業界のトップエキスパートを一堂に会し、AI Agentのセキュリティに関する先見的な洞察を提供しました。Agentic AIとWeb3の深度融合に伴い、セキュリティ上の課題はさらに深刻化していくでしょう。世界をリードするブロックチェーンセキュリティ企業であるSlowMistは、ADSSやオープンソースツール、実践を通じて体系的なセキュリティガバナンスを推進し、AI Agentに内生的なセキュリティ機能を構築することで、業界がイノベーションの波の中で安全かつ持続可能な発展を実現するよう支援します。