「スマートコントラクト」のセキュリティ上の欠陥を特定し、
修正方法まで説明するAIを開発
―安全なデジタル決済・金融サービスの実現に向けて―

【ポイント】

• スマートコントラクトのセキュリティ上の欠陥を関数ごとに特定し、内容と修正方法まで説明するAIを開発しました。
• 従来の「全体として危険か」の判定にとどまらず、欠陥の場所・原因・直し方まで提示できることを示しました。
• 実際に使われている242個のスマートコントラクトで、従来手法を上回る検出精度を確認しました。

【概要】

１．研究の背景

　ブロックチェーンは、多くのコンピュータが同じ記録を共有して管理する仕組みで、記録の改ざんが非常に難しいという特徴があります。スマートコントラクトは、このブロックチェーン上に置かれたプログラムで、例えば「Aさんから代金が届いたら、自動でデジタル商品をAさんに送る」といった処理を、銀行などの仲介者なしで実行します（図1）。そのため、暗号資産による支払いや送金、インターネット上の貸し借りや両替のサービス、デジタルアートやゲームのアイテム、会員管理や投票の仕組みなど、さまざまなサービスで使われています。
　一方で、スマートコントラクトは公開後に修正することができず、多くの場合、資金を直接管理しています。プログラムに脆弱性があると、世界中の攻撃者にすぐに悪用される可能性があり、盗まれた資金はほとんどの場合戻りません。2016年には「The DAO」と呼ばれるスマートコントラクトの脆弱性が突かれ、数千万米ドル相当の暗号資産が流出する事件が起きました。そのため、公開する前に脆弱性を見つけることが非常に重要です。
　しかし、これまでの自動点検ツールには三つの課題がありました。一つ目は、多くがプログラム全体として危険かどうかを判定するだけで、どの部分に問題があるかは専門家が手作業で探す必要があったことです。二つ目は、短い警告を出すだけで、なぜ危険なのか、どう直せばよいのかを説明しなかったことです。三つ目は、AIに脆弱性の場所を正確に学習させるための、関数ごとに詳しく記録された大量の例が存在しなかったことです。本研究は、これら三つの課題を同時に解決することを目指しました。

２．研究内容

　開発したシステムは、次の三つの部分からなります。
(1)学習用データの作成
　脆弱性が見つかっていない実際のプログラムに、現実的な脆弱性を自動で一つずつ埋め込むツールを開発しました（図2）。このツールは、文章を主語や述語に分けるように、まずプログラムの構造を読み取り、脆弱性を入れるのに適した場所を探してコードを書き換えます。書き換え後に正しく動かなくなったプログラムは取り除き、自然な例だけを残します。
　こうして、8種類の代表的な脆弱性を含む4,208個のプログラム、118,126個の関数からなるデータを作成し、公開しました。

(2)脆弱性の場所を突き止めるAI
　新たに開発したAI（HCA-SGNN）は、プログラムを、要素（丸）とそのつながり（線）で表した図（グラフ^*6）に置き換え、二つの見方を同時に使って調べます。
　建物の点検に例えると、廊下やドアで部屋同士がどうつながっているかを調べる見方と、部屋の中を一つずつ細かく調べる見方です。リエントランシー^*7のように、複数の関数の連携を悪用する深刻な攻撃は、関数同士のつながりを見なければ気づけません。AIは二つの見方をどの程度重視するかを自動で学習します。
　二つの見方を分けずに一つにまとめた場合と比べ、脆弱性を含む関数を特定する精度の指標が23.6ポイント向上することも確認しました。

(3)脆弱性を説明する
　大規模言語モデルを使い、脆弱性ごとに「名前」「場所」「説明」「起こり得る被害」「修正方法」をまとめた報告を作成します。
　例えば、リエントランシーの脆弱性に対しては、外部にお金を送る処理が記録の更新より先に行われている箇所を示し、記録の更新を先に行うよう順番を入れ替えるという直し方を提案します。この能力を、一般的なコンピュータでも動く小型のAIに受け継がせました。

３．研究の成果

　実際に使われている242個のスマートコントラクトで、従来のAIによる検出手法や、同じ目的のために学習させた汎用の大規模言語モデルと比較しました。
　プログラムに脆弱性があるかどうかの判定では、比較したすべての手法の中で最も高い精度を示しました。「危険」と判定したときに実際に脆弱性があった割合は約80％で、最も良い汎用の大規模言語モデルの約56％を大きく上回りました。
　また、脆弱性を含む関数を特定する精度の総合的な指標でも、汎用の大規模言語モデルの約2倍となりました。汎用モデルはほとんどの関数を危険と判定してしまい、誤った警告が多くなる傾向がありました。
　さらに、学習に含まれていなかった種類の脆弱性もいくつか見つけることができ、例を暗記するのではなく、危険の一般的な兆候を学んでいることが示されました。脆弱性を説明する小型AIは、大型の商用AIの約97～98％の品質の説明を作成できました。

４．今後の展望

　本技術は、プログラムを公開する前の点検にかかる時間を短縮し、セキュリティの専門家や開発者を支援することで、決済や金融などのデジタルサービスでの被害の防止に役立つことが期待されます。警告だけでなく、脆弱性の場所と修正方法を示すため、開発者は具体的な対応につなげることができます。
　なお、本システムは人の専門家を置き換えるものではなく、専門家や開発者による点検を支援するものです。現在は、イーサリアムで主に使われるSolidityという言語で書かれたプログラムを対象とし、一つずつ点検します。今後は、複数のプログラムにまたがる攻撃への対応、他のブロックチェーンへの拡張、一つの関数に複数の欠陥がある場合への対応などに取り組む予定です。

【用語説明】

【研究資金】

　本研究は、国立研究開発法人科学技術振興機構（JST）先端国際共同研究推進事業（ASPIRE）（課題番号：JPMJAP25B2）の支援を受けて実施されました。

【論文情報】

令和8年10月26日