Vitalik Buterinのパラノイドモード、Ethereumが掲げるAIプライバシーの約束を検証
Vitalik Buterinは、実験的な構成が依然として低速であり、トラフィック分析に対して脆弱であることを認めながらも、自身のAIエージェントを4層のプライバシー保護の背後に置いた。Vitalik Buterinのパラノイドモードは、Tor経由のルーティング、カバートラフィック、匿名決済、ローカルでのプロンプト書き換えを組み合わせる。AIプロバイダーが会話と、その会話を開始した人物を容易に結び付けられないようにすることが目的だ。
このプロトタイプは、Ethereum FoundationとOpen Anonymity ProjectがEthereumメインネットでzkAPIを公開してから2週間後に登場した。同システムは、ゼロ知識証明を通じて、従量課金APIの決済をユーザーの請求IDから切り離す。Buterinのラッパーは、ネットワークアドレス、時間的パターン、識別可能な文体など、決済のプライバシーだけでは隠せない情報に対処しようとするものだ。
この区別は、金融、研究、社内業務に自律型エージェントの導入を検討する組織にとって重要である。Ethereumはプライベートな決済手段を提供できるが、外部モデルに、処理すべきプロンプトを忘れさせることはできない。したがってこの実験は、より難しい命題を試している。すなわち、不完全な複数の保護機能が、有用なAIエージェントのために十分なプライバシーを備えた運用環境を形成できるかどうかだ。
Vitalik Buterinのパラノイドモード、4つのプライバシー層を追加
Buterinの実験は、AIプライバシーを単一の暗号化問題ではなく、個別の漏えいが連なる連鎖として扱う。
2026年10月16日、Buterinは、自身の個人用AIエージェントハーネスを基盤とするOpenAI互換デーモンについて説明した。デーモンとは、エージェントと外部モデルプロバイダーの間のリクエストを管理するバックグラウンドプログラムである。
この構成では、会話ごとに個別のTor回線を割り当てる。Torは複数のリレーを介してトラフィックをルーティングし、宛先がユーザー本来のインターネットアドレスを直接確認できないようにする。
各会話は、セッションが継続している間、割り当てられた回線を維持する。新しいセッションには異なる回線と新しい決済認可が与えられる。この設計により、メッセージごとに性能コストを支払うことなく、別々の会話間における単純な関連付けを抑えられる。
Buterinは、本物のリクエストにランダムなカバートラフィックも混在させる。カバートラフィックとは、監視者が実際の活動を識別しにくくするために送信されるおとり通信だ。この手法は、受動的な監視から明白なリクエストの急増を隠すが、あらゆる形式のタイミング分析を打ち破るわけではない。
ローカル言語モデルは、プロンプトがユーザーのコンピューターを離れる前に書き換える。この手順は、文体上の特徴、繰り返される表現、書き手を特定し得るその他の言語的パターンを取り除こうとするものだ。
ローカルモデルは、プロンプト内容を不可視にするわけではない。リモートモデルが回答するのに十分な意味を保ちながら、提示の仕方を変更する。名前、文書、取引の詳細、または珍しい事実は、依然としてユーザーを特定し得る。
Buterinはその後、bubblewrapサンドボックス内でエージェントを実行する。サンドボックスは、プログラムがアクセスできるファイル、デバイス、ネットワークリソースを制限する。ネットワーク呼び出しはtorsocksを経由し、対応する接続をTorネットワークへと誘導する。
決済層にはzkAPIを用いる。アカウントに紐付いた従来型のAPIキーを提示する代わりに、ソフトウェアは暗号学的な支払い証明を通じて短期間有効な認証情報を取得する。
Buterinは、タリンのビーガンレストランを尋ねるリクエストで、この統合システムをテストした。このタスクは意図的にありふれたものだったが、ローカルでの書き換えからリモート推論に至る経路全体を試すものだった。
彼は、新しい会話を開始する際の大幅なレイテンシーに触れつつ、このスタックを「かなり実用的になってきた」と表現した。この認識は、その名称以上に実験の実態を正確に示している。パラノイドモードは、明示的な妥協を伴う動作中のプロトタイプであり、完成したプライバシー製品ではない。
公開コードにも重要な警告が記されている。zkAPIリポジトリは、プライバシー機能を有効にしたブランチを本番環境向けではないリリースとして説明している。一部のネットワークマニフェストは未デプロイのままであり、本番用の証明関連素材も不完全だ。
こうした留保により、この出来事は単なる機能発表にとどまらない。Buterinは具体的な脅威モデルを組み立て、コンポーネントがどこで破綻するかを明らかにした。その結果は、保証、監査、運用上の説明責任を必要とする組織による精査を促す。
EthereumのAIセキュリティ推進が今重要な理由
AIエージェントは、機密コンテキスト、外部ツール、行動する権限を組み合わせるため、一般的なプライバシー上の弱点を運用リスクへと変える。
標準的なチャットボットはテキストを受け取り、テキストを返す。エージェントは、メモリを維持し、文書を調べ、APIを呼び出し、コードを実行し、金融口座とやり取りできる。こうした追加機能はシステムをより有用にする一方、ID漏えいの影響も拡大する。
投資エージェントは、ポートフォリオの詳細、予定取引、ウォレットアドレス、税務上の質問、非公開の調査情報を受け取る可能性がある。企業向けエージェントは、顧客記録、ソースコード、製品計画、法務文書を処理し得る。
プロバイダーが実名を要求しない場合でも、複数のシグナルによってIDは再構築され得る。インターネットアドレスはネットワークの発信元を明らかにする。決済手段は利用状況とアカウントを結び付ける。文体や繰り返される事実は、別々のセッションを関連付ける可能性がある。
Ethereum FoundationによるzkAPIの公開は、この問題の請求部分に対処する。ユーザーはEthereumのボールトにクレジットを預け入れ、残高を表すプライベートノートを受け取る。
ソフトウェアがAPIアクセスを必要とする際、ゼロ知識証明を生成する。この証明は、元の預け入れやその所有者を特定することなく、十分なクレジットが存在することを確認する。
その後、サービスは限定された支出上限を持つ短期間有効なキーを発行する。プロンプトはモデルプロバイダーへ送られ、決済認可は別経路を通過する。プロバイダーは内容と利用状況を確認するが、支払者の請求IDを受け取るべきではない。
現在の設計では、BN254曲線上のGroth16証明を使用する。コミットメントとヌリファイアは、監視者がすべてのリクエストを同じ預け入れ残高に単純に結び付けることを防ぐ。ヌリファイアは、基礎となる秘密を明かさずに再利用を防止する一方向の識別子だ。
この手法は、目に見えるブロックチェーン取引を通じてリクエストごとに支払う方法とは異なる。直接的なオンチェーン決済は、タイミング、ウォレット履歴、サービス間の関係を露出させる可能性がある。また、対話型エージェントには許容できない遅延を生むこともある。
zkAPIは、代わりにセッションを認可する。これにより、資金供給と個々のリクエストの分離を保ちながら、繰り返される証明と決済処理を削減する。
このシステムはAI推論にとどまらない。そのアーキテクチャは、ブロックチェーンデータ呼び出し、メディア生成、帯域幅、マシン間タスクなど、ほかの従量制サービスも支援できる。プロンプトには親密な情報や商業的に機密性の高い情報が含まれることが多いため、AIは最も明確なテストケースであり続ける。
組織は個人開発者とは異なる視点でこのシステムを評価する。プロトタイプでは手動設定や変化するインターフェースを許容できる。銀行、研究所、企業のセキュリティチームには、安定した制御、文書化された障害モード、独立したレビューが必要だ。
こうした導入者は、各段階をどの当事者が観測できるのかも知る必要がある。決済サーバーは有効な認可と総利用量を確認する。モデルプロバイダーはプロンプトと応答を見る。Ethereumは預け入れと引き出しを記録するが、会話そのものは記録しない。
この分離により、集中的なデータ収集を減らせる可能性がある。ただし、データ露出をなくすわけではない。組織利用者にとって、その違いはシステムが規制対象のワークロードを支援できるのか、それとも低リスクの実験にとどまるのかを左右する。
このタイミングは、AIセキュリティにおけるより大きな変化も反映している。組織は、一般的なプライバシーの約束から、デバイス、決済システム、ネットワーク、推論プロバイダーに信頼を分散する技術的制御へと移行している。
Buterinのプロトタイプは、プライバシーをエージェント自体を中心に構築すべきかを問うことで、この流れに圧力をかける。エージェントがルーティング、書き換え、決済、権限を制御すれば、ユーザーはプロバイダーのアカウントポリシーへの依存を減らせる。
匿名決済だけでは匿名AIにならない
中心的なトレードオフは明快だ。Ethereumは誰が支払うかを隠せる一方、モデルは要求された作業を実行するために十分な情報を依然として必要とする。
プライベート利用の設計は、この制約を直接的に述べている。zkAPIはネットワーク匿名性を提供せず、プロンプト内容を通じたプライバシー漏えいも防止しない。
この境界は極めて重要である。ゼロ知識証明は、資金供給の関係を露出させずに決済を確認できる。しかし、推論プロバイダーが処理のために送信されたテキストを読むことを止めることはできない。
ローカルでのプロンプト書き換えは、その露出を減らそうとする。小規模モデルは、習慣的な言い回しを取り除き、識別につながる表現を置き換え、送信前に特定の詳細を一般化できる。
しかし、エージェントがより具体的な作業を受け取るほど、書き換えの有用性は低下する。公開文書を要約するリクエストは、容易に無害化できる。非公開契約、医療記録、独自リポジトリを含むリクエストは、はるかに難しい。
コンテキストを取り除きすぎると、回答の質が落ちる。必要なコンテキストを維持すれば、ユーザーが保護したかった情報そのものを開示しかねない。ルーティング技術では、この内容と有用性の衝突を解決できない。
会話履歴も別の弱点を生む。単独のプロンプトがほとんど情報を明かさなくても、連続したやり取りは固有のプロファイルを形成し得る。繰り返し登場する場所、プロジェクト、好み、語彙は、セッション間の相関点を与える。
別々のTor回線は、内容に基づく相関を防げない。別々の決済認証情報も同様だ。これらは特定の識別子を制限する一方、意味論的な識別子はモデルプロバイダーが利用できる状態に残す。
エージェントのツールも情報を生成する。検索クエリ、取得した文書、取引呼び出し、エラーメッセージは意図を露出させ得る。後でツールが未修正のファイルを送信すれば、書き換えられたユーザープロンプトによる保護はほとんど意味をなさない。
サンドボックスは別の脅威に対処する。侵害された、または誤った方向に誘導されたエージェントがローカルマシン上でアクセスできる範囲を制限する。この保護が重要なのは、エージェントがウェブサイトや文書内に埋め込まれた悪意ある指示に従う可能性があるためだ。
ただし、サンドボックスが強制できるのは、与えられた権限だけである。エージェントが正当な理由で機密フォルダーにアクセスする必要がある場合、そのフォルダーの内容は依然として作業コンテキストに入り得る。
したがって組織での導入には、明示的なデータ境界が必要となる。セキュリティチームは、エージェントが調べられるファイル、呼び出せるツール、出力の送信先を定義しなければならない。
また、インシデント調査のためのログも必要だ。この要件は、非リンク可能性と衝突し得る。IDと利用状況の関連を消去するよう設計されたシステムは、監査をローカルで処理しない限り、内部の説明責任を難しくする場合がある。
約束されているのは完全な匿名性ではない。異なる当事者が取引の異なる部分を知る、区画化である。
それでも価値はあり得る。モデルプロバイダーは、持続的な請求プロファイルを受け取らずにプロンプトを処理できる。決済システムは、会話を見ることなく利用を決済できる。ネットワークリレーは、両方のエンドポイントを知らずにトラフィックを転送できる。
組織はすでに、金融カストディやアクセス管理で類似の分離原則を用いている。単一の運用者が、システムを悪用するために必要なすべての認証情報、承認、記録を保有すべきではない。
しかし、AI推論には避けられない受信者が存在する。ローカル環境または機密ハードウェア内で計算しない限り、リモートモデルは有用なコンテンツを受け取らなければならない。Paranoid modeは周辺メタデータを減らすが、この基本的な依存関係をなくすものではない。
Torとカバートラフィックに残るタイミング上の隙
Paranoid modeは監視のコストを引き上げるが、Buterin自身の脅威モデルは、ランダムなデコイトラフィックでは非リンク可能性を保証できない理由を示している。
Torは多くの受動的な監視者に対して有効に機能する。複数のノードを経由してトラフィックを中継することで、ユーザーと宛先の直接的な接続を隠す。
しかしAIトラフィックには、識別可能なパターンがある。ユーザーがプロンプトを送信し、プロバイダーがリクエストを受け取り、応答が返る。内容が暗号化されたままでも、パケットのタイミングと通信量によって一致するシグネチャが生じ得る。
ランダムなカバートラフィックは、この照合を困難にする。本物のアクティビティを偽のリクエストで囲むことで、監視者が比較すべきイベントの候補を増やす。
能動的な攻撃者には、さらに多くの選択肢がある。モデルプロバイダーは、応答トラフィックを意図的に遅延させたり変動させたりできる。そのプロバイダーがエントリーリレーと協力すれば、両者は同じ操作済みパターンを探せる。
Buterinは実装について説明した際、この可能性を指摘した。彼が長期的な解決策として望むのは、一定のカバートラフィックを備えた専用mixnetだ。
mixnetは、トラフィックを遅延、並べ替え、結合する複数の仲介者を通じてメッセージを送る。一定のカバートラフィックは、ユーザーに実際のリクエストがない場合でも規則的な通信フローを維持する。
実際のメッセージは、可視的な送信レートを変えずにデコイパケットと置き換わる。監視者には、エージェント活動の前後および最中で同じパターンが見える。
このより強力な設計には、直接的なコストが伴う。一定のトラフィックはユーザーがアイドル状態でも帯域幅を消費する。ミキシングはレイテンシーを増やし、グローバルに分散したリレーは運用の複雑さを高める。
また、システムには十分な数の独立したリレー運営者が必要だ。選択された経路上のすべてのリレーを1組織が支配していれば、より多くの経路を再構築できる。
経済的インセンティブがこの問題を自動的に解決するわけではない。ステーキングは測定可能な失敗にペナルティを科せるが、名目上は別々の運営者が共通の所有者を持たないことまでは証明できない。
Paranoid Modeの名称を使う最近ローンチされたプロジェクトは、3ホップ経路とステーキングされたリレーを提案している。同プロジェクトのウェブサイトは、ButerinおよびEthereum Foundationとは独立しているとしている。この区別は重要だ。実装が存在することは、支持を意味しない。
この独立ネットワークは、別の課題も示している。トークンによるインセンティブは、セキュリティ評価から注意をそらし得る。リレー報酬、ガバナンスルール、スラッシングのパラメーターは、暗号学的レビューの代替にはならない。
Torの制約に関する分析も、プロバイダーは書き換えられたプロンプトを依然として受け取ると指摘している。したがって、トラフィック保護とコンテンツ保護は別々に評価する必要がある。
レイテンシーは依然として最も目に見えるユーザーコストだ。Buterinは、各セッションが新しいネットワーク状態と支払い状態を確立するため、新規会話の開始が遅くなると報告した。
組織は、機密性の高い調査や高額取引ならこの遅延を受け入れる可能性がある。一方、迅速なツール呼び出しを必要とする日常的な対話タスクでは、受け入れる可能性は低い。
カバートラフィックは追加の財務上の問題も生む。デコイとして使われるモデル呼び出しが有料プロバイダーまで到達すれば、高コストになる。ネットワークレベルのパケットはより安価だが、カバーメッセージを安全に認識して破棄する専用インフラが必要になる。
実用的な設計では、デコイがどこで終端し、その転送費用を誰が負担するかを決めなければならない。また、リレーが帯域幅を節約しながら必要なトラフィックを送っているふりをすることも防ぐ必要がある。
これらの問題はプロトタイプを無効にするものではない。明白なメタデータを減らすことと、防御可能な匿名性保証を提供することの隔たりを明確にするものだ。
この区別が、paranoid modeが個人的な設定にとどまるのか、制度的AIの参照アーキテクチャになるのかを左右する。
制度的導入には監査、統制、明確な責任範囲が必要
機関は、このスタックをEthereumブランドの単一のプライバシー機能ではなく、セキュリティ依存関係の集合として評価する。
最初の依存関係はzkAPIそのものだ。公開リポジトリでは、このプロトコルを実験的なものと位置づけ、安定版リリース前にインターフェースが変更される可能性があると警告している。
暗号システムには、動作するコード以上のものが求められる。機関は、独立監査、再現可能なビルド、安全なパラメーター生成、発見された脆弱性への明確な対応を求めるだろう。
スマートコントラクトのリスクも残る。vaultに預けられた資金は、コントラクトロジック、証明検証、引き出しメカニズムに依存する。プライバシー上の利点があっても、資産をロックまたは誤送金する欠陥を相殺することはできない。
2つ目の依存関係はローカルクライアントだ。これはウォレットの情報、セッション認証情報、プロンプトの書き換え、ルーティング判断を扱う。この時点で侵害されれば、下流のすべてのプライバシー層を迂回できる。
そのため、ソフトウェア配布も脅威モデルの一部となる。ユーザーはバイナリ、アップデート、依存関係、設定ファイルを検証する必要がある。エンタープライズチームは、管理されたデプロイメントとポリシー適用も求めるだろう。
3つ目の依存関係は、書き換えに使用されるローカルモデルだ。その出力は、タスクの意味を保ちながら識別子を除去しなければならない。両方を達成したと証明する単純なスコアは存在しない。
書き換えによって、重要な契約上の文言や技術的制約が変わる可能性がある。また、その詳細を削除するとプロンプトが使えなくなるため、特徴的な詳細が残される可能性もある。
組織には、プライバシーと意味的正確性の両方を対象としたテストが必要だ。それらの評価では、一般的なチャット例ではなく、代表的なワークロードを使うべきである。
4つ目の依存関係はモデルプロバイダーだ。Paranoid modeは、プロバイダーによるIDおよび支払いメタデータへのアクセスを減らすが、プロバイダーは依然として推論を制御する。
プロバイダーは、技術設定や契約上の義務に従ってコンテンツを保持できる。また、ローカルクライアントでは検証できない方法で、モデル、ロギングシステム、不正利用対策を変更することも可能だ。
機密コンピューティングは、支援策の1つになり得る。信頼実行環境は、保護されたハードウェア内でコードとデータを分離すると同時に、実行中のソフトウェアに関する証拠を提供する。
ただし、ハードウェアに支えられた推論には、独自のベンダー、アテステーションシステム、脆弱性の履歴が伴う。信頼をなくすのではなく、移し替えることになる。
機関は、法的要求や内部調査をどう扱うかも決めなければならない。相関付けを防ぐよう設計されたプライバシーシステムは、コンプライアンス、不正調査、従業員の説明責任を複雑化させる可能性がある。
実用的なエンタープライズ版には、プロバイダーの外側で組織が管理するIDが必要になるかもしれない。雇用主はどの従業員がセッションを開始したかを把握できる一方、モデルプロバイダーはリンク不可能な認可だけを受け取る。
この仕組みは、推論企業に完全なユーザープロファイルを渡すことなく、内部ガバナンスを維持できる。ただし、監査ログとプロンプト内容を慎重に分離する必要がある。
元のAMBCryptoの記事は、この実験をEthereumに対する制度的関心と結び付けた。この結論は依然として推測の域を出ない。Buterinは、制度向け製品、顧客導入、正式なEthereumプロトコル変更を発表していない。
mainnet支払いに関する報道はzkAPIが稼働していることを確認しているが、デプロイメントは導入を立証しない。利用データ、プロバイダー統合、独立したセキュリティレビューのほうが、より強い証拠となる。
機関は継続性も重視する。信頼できる運営者、サポートプロセス、サービスレベルへの期待、移行計画が必要だ。オープンソースのプロトタイプはコンポーネントを提供できても、そうした保証を提供するとは限らない。
短期的に最も有力な用途は、すでにEthereumインフラを運用し、そのリスクを理解している開発者にあるかもしれない。彼らは、スタック全体を本番環境対応とみなさずに、プライベートAPI支払いを試験できる。
より大きな組織は、このアーキテクチャをパターンとして研究できる。支払いID、ネットワーク起点、プロンプト準備、ローカル権限を分離する。そして各統制を、組織の実際の脅威モデルに照らして評価する。
Ethereum AIプライバシーの次の展開
Vitalik Buterin paranoid modeがインフラとなるのか、影響力のある実験にとどまるのかを示すシグナルは3つある。
第1のシグナルは、安定した本番用アーティファクトを備え、独立したレビューを受けたzkAPIリリースだ。監査では、vaultコントラクト、証明システム、クライアントウォレット、引き出し経路を検証すべきである。
安定版リリースは、匿名API支払いが実際のアプリケーションを支えられるという見方を強めるだろう。未デプロイのコンポーネントに関する警告が続くなら、システムは実験的な用途にとどまる。
第2のシグナルは、モデルプロバイダーまたはAPIゲートウェイによる導入だ。開発者がサービスごとに統合を作り直すことなく複数の推論サービスへアクセスできれば、支払い層の有用性は高まる。
プロバイダーの対応は、匿名支払いが不正利用防止と両立できるかも試すことになる。すべての支払者を識別できない場合でも、サービスにはレート制限、不正対策、法令遵守が必要だ。
うまく均衡が取れれば、APIに恒久的なID連携アカウントは必要ないというButerinのより広い主張を支えることになる。主要プロバイダーに拒否されれば、このアーキテクチャの実用的な到達範囲は狭まる。
第3のシグナルは、エージェントトラフィック向けに特別に設計された、信頼できるネットワークプライバシー層だ。レイテンシーと帯域幅を許容不能な水準にせず、一定のカバートラフィックを提供しなければならない。
この層には、独立したリレーの多様性と、測定可能なセキュリティモデルも必要だ。トークン化されたリレー一覧だけでは、運営者の集中や能動的攻撃に関する疑問には答えられない。
開発が成功すれば、Buterinが特定した最も重要なネットワーク上の弱点を埋められる。失敗すれば、Torとランダムなカバートラフィックは有用ではあっても不完全な防御にとどまる。
読者は、ETHの市場変動を検証指標として扱うべきではない。このプロトタイプと、ネットワーク収益、制度的需要、資産価格との関係は実証されていない。
意味のある指標は技術面と運用面にある。監査結果、安定版リリース、実際のプロバイダー統合、機密性の高い業務を扱う開発者による継続的な利用に注目すべきだ。
AIビルダーにとって、当面の教訓はアーキテクチャにある。IDは複数の経路から漏れるため、単一のプライバシー機能だけでエージェントを保護することはできない。
チームは、支払いシステム、ネットワーク、プロバイダー、ローカルクライアント、エージェントツールがそれぞれ何を観測できるかを整理すべきだ。また、脅威モデルと判断を、検索可能な技術ナレッジベースに記録しておくべきである。
Vitalik Buterin paranoid modeは、この断片化されたリスクを可視化する。制度グレードのプライベートAIを確立するものではないが、セキュリティチームが検証すべき具体的なスタックを提示している。
次の焦点は、独立したレビュアーとサービスプロバイダーが、その多層的な保護を信頼できるインフラへと変えられるかどうかだ。それまでは、paranoid modeを、異例なほど率直に限界を示した真剣な実験として扱うべきである。
