暗号資産投資会社ドラゴンフライ（Dragonfly）のマネージングパートナーであるハシーブ・クレシ氏が8月4日、AIモデルが暗号資産関連プロダクトの脆弱性を再現・発見するために必要な費用を示す指標「発見コスト（Cost of Discovery：CoD）」の報告を提案しました。この提案は、ビットコイン向けハードウェアウォレット「コールドカード（COLDCARD）」で発覚した脆弱性が、AIモデルによって約20分・約2ドルの費用で再現・発見されたとする報告を受けたものです。サイバー攻撃へのAI活用が進むと予想される中、防御側である開発企業が講ずべきセキュリティ検証体制や資金投入のあり方を示す議論として注目されています。
コールドカードの脆弱性とAIによる低コストでの再現
今回の提案の背景には、ビットコイン（Bitcoin）向けハードウェアウォレット「コールドカード」で発生した重大なセキュリティ問題が存在します。同製品を開発するコインカイト（Coinkite）は7月30日にセキュリティ勧告を公開し、シードフレーズ（ウォレットのバックアップや復元に使われる12語または24語の単語列）生成時の乱数予測困難性が設計上の想定を下回っていたことを明らかにしました。これにより第三者に秘密鍵を推測されるリスクが生じ、コインカイトは8月2日に資産被害が発生したことを認めました。なお、ギャラクシー（Galaxy）による推計では被害規模は約1,756BTCに上るとされています。
この脆弱性を巡り、AIコーディングツール「クロード・コード（Claude Code）」が約8分で問題を発見したとする報告がレディット（Reddit）上で話題となりました。クレシ氏は当初、公開済みの脆弱性情報をウェブ検索経由で参照した可能性を挙げましたが、その後別のユーザーがジープーAI（ZhipuAI）のAIモデル「GLM 5.2」のウェブアクセス機能を無効化した状態で調査を行い、約20分で同脆弱性を独立して発見したと報告しました。GLM 5.2のAPI利用料等を基に試算された発見コストは、わずか約2ドル（約320円）でした。
「発見コスト」導入の狙いと製品開発者への影響
クレシ氏は、AIによって既知あるいは未知の脆弱性が再現された場合、その処理にかかった費用を「発見コスト」として併せて報告することを提案しています。
一方で同氏は、企業が自社の製品監査へ実際に投入した検証費用については公表する必要はないとしています。公表された額を上回る資金を投入すれば未発見の脆弱性を攻撃者が発見できる、という情報を意図せず与えてしまう懸念があるためです。
AIが攻撃手段として用いられる時代においては、防御側も最先端AIを活用したセキュリティ検証へ十分な費用を投じる必要があります。クレシ氏は、スタートアップを含む開発企業に対し、全てのプロダクトリリース時に最先端AIを用いた脆弱性探索を行い、少なくとも数千ドル規模の費用を投じるべきだと主張しています。その結果として、資金を十分に投じてセキュリティの強化を継続できる大規模事業者へ市場が集約されていく可能性も指摘されています。
暗号資産業界におけるAIセキュリティ活用の進展
AIモデルをセキュリティ検証やコード監査に活用する取り組みは、暗号資産業界全体で急速に評価と実務利用が進んでいます。
2026年2月にはオープンAI（OpenAI）とパラダイム（Paradigm）が共同で、AIエージェントによるスマートコントラクトの脆弱性検出・修正・悪用能力を測る評価指標「EVMベンチ（EVMbench）」を公開しました。また2026年6月には、プライバシー特化型暗号資産「ジーキャッシュ（Zcash）」で約4年間にわたり存在していた重大な脆弱性が、アンソロピック（Anthropic）のAIモデル「クロード・オーパス4.8（Claude Opus 4.8）」を活用した研究者の調査によって特定された事例も報告されています。
ポイント
- ドラゴンフライのハシーブ・クレシ氏が、AIが脆弱性を発見・再現する際にかかる費用を示す「発見コスト（CoD）」の報告を提案しました。
- ビットコイン向けハードウェアウォレット「コールドカード」の脆弱性が、AIモデルにより約20分・約2ドルという低コストで再発見されたことが議論の契機となりました。
- 今後、攻撃手法のAI化に伴い、開発側もプロダクトリリース毎に数千ドル規模の最先端AI検証コストを投じる必要性が示されています。
- セキュリティ投資を継続できる資金力の有無が、ウォレット等のセキュリティ製品市場における事業者の集約につながる可能性が提示されています。
- EVMbenchの公開やZcashでの脆弱性発見事例に見られるように、Web3領域におけるAIを活用した監査・検出ツールの実用化が加速しています。