エージェントが読み込んだ細工されたコンテンツが、オンチェーンウォレットの送金を承認できてしまうのはなぜか？

暗号ウォレットへの署名権限を持つAIエージェントは、ウェブページ、メール、ドキュメント、APIレスポンスなど、任意の外部コンテンツをタスクのコンテキストとして処理する。現在の署名インフラには命令の発信源を区別する仕組みがないため、要約を依頼されたページに隠された送金命令を埋め込むことができ、エージェントはそれを正当なタスクとして解釈・実行してしまう。ERC-4337のセッションキーのようなウォレット標準は、「この命令はどこから来たのか」ではなく「このキーは何ができるか」という観点で問題をモデル化している。現在のエージェントランタイムで署名の判断を命令の発信源によってフィルタリングするものは存在しない。つまり、資金の移動を許可されたウォレットは、エージェントがいつか読む最も悪意あるドキュメントと同程度にしか安全ではないということだ。