リップル、新融資機能をAIのみで監査｜人の検証は不要か

リップルがXRPレジャー(XRPL)の攻撃対象領域を縮小する動きを進めています。同社は使われていない「XChainBridge」関連コード1万行超の削除を提案する一方、ネイティブ融資機能「Lending Protocol V1.1」をAIのみによるセキュリティレビューにかけました。機能を減らす作業と増やす作業が並行している構図です。

削除対象のXChainBridge(XLS-38)は、ウィットネスサーバーが取引を観測して証明することで、XRPLと接続されたサイドチェーン間で資産を移動させる仕組みでした。リップルは2024年6月、EVMサイドチェーン向けにアクセラーの採用を決め、XLS-38についてはバリデータ投票用に残したうえで、12〜15か月かけて需要の有無を見極める姿勢を取っていました。結果として期待した需要は集まらず、主要な用途が他の手段で満たされたまま保守とレビューだけが続く状態になっています。

同社はXChainBridgeと関連するfixXChainRewardRounding修正案を撤回すれば、xrpldから1万行以上を削減できると見積もっています。ただし削除は即時ではなく、まず廃止予定として印を付け、ネットワークが収束した後のリリースで取り除く手順です。

金融ロジックが増えるほど検証の負荷は上がる

一方の融資機能は、これまでXRPLに追加された機能のなかで最も金融的に複雑だとリップル自身が説明しています。ローンのライフサイクル管理、金利計算、複数当事者への手数料配分、資格情報に基づく権限管理、資産プールとの相互作用が組み合わさる構造です。

前世代のコードでは繰り返しの検証が実際に効果を上げてきました。リップルとイミュニファイは2025年後半、3万5,498行を対象に20万ドル規模のアタッカソンを実施し、131人の研究者から455件の応募を集め、最終的に94件の有効な指摘を得ています。うち15件が重大、19件が高深刻度に分類されました。さらに3月から5月にかけての社内AIレッドチームは融資関連で20件のチケットを起票し、7件のバグを確認・修正しています。

2026年の被害はコードの外側で起きている

ただし、コード監査が守れる範囲には限界があります。サーティックの集計では、2026年上半期の被害は344件で13億1,500万ドル。件数では「コードの脆弱性」が204件と全体の59.3%を占めた一方、そこから生じた損失は約1億5,200万ドルで全体の11.6%にとどまります。対照的に、鍵やウォレットの侵害はわずか33件ながら4億4,450万ドル、全体の33.8%を占めました。

つまり監査の高度化は「頻度は高いが金額は小さい」カテゴリーへの対策であり、「頻度は低いが金額が大きい」運用・鍵管理のリスクとは別の問題です。リップル自身の研究者も、AIパイプラインは誤検知を生むため不変条件の意図を取り違えやすい微妙なバグでは人間による検証が特に重要だと注意を促しています。

今回の取り組みは、専門特化したモデルがプロトコルの安全性検証をどこまで広げられるかを測る材料になりますが、実際の価値は検出された脆弱性の内容とV1.1が本番へ進む前に修正へ結びつくかで決まりそうです。

記事ソース：資料