AIエージェントへのプロンプトインジェクション攻撃と、一般的なスマートコントラクトの脆弱性攻撃は、本質的に何が違うのか？
スマートコントラクトの脆弱性攻撃が狙うのは「コードのロジックが正しく書かれているか」——リエントランシー攻撃や整数オーバーフローなど、形式検証や行単位の監査で発見できる種類の誤りである。プロンプトインジェクション攻撃はまったく別の層を狙う。AIエージェントの内部に「コードのバグ」は存在せず、判断ロジックは設計通りに動作している。問題は、入力されたデータ自体に悪意ある指示が含まれており、エージェントが「攻撃者の指示」を「ユーザー本人の指示」と誤認してしまう点にある。
これが、従来のスマートコントラクト監査ツールがこの種の問題をまったく検出できない理由でもある。監査が見るのはコントラクトのコードであり、エージェントが実行時に読み込む自然言語の入力ではない。Bankrのスマートコントラクト自体には脆弱性が一つもなくても、この攻撃は成立し得る。
なぜAIトレーディングエージェントはプロンプトインジェクションにこれほど脆弱なのか？これは設計上の欠陥か、それともこの種の製品が必然的に払う代償なのか？
Bankrのようなエージェントの最大の売りは、ユーザーの自然言語をそのままオンチェーン取引に変換し、従来のウォレットインターフェースにある確認画面を省略することにある。この設計自体が、あるものを犠牲にしている——「この発言はユーザーが本当に意図した指示か」をAIモデルが判断する精度は、決して100%にはなり得ない。これはエンジニアのコーディングミスではなく、「クリックによる確認を自然言語に置き換える」という製品の位置づけそのものに組み込まれたリスクだ。
つまり、パッチで完全に塞げる類のバグではない。これは利便性と安全性の間でこの種の製品が行うトレードオフであり、操作フローを簡略化すればするほど、攻撃者が正当な指示を装う余地は広がる。
実際に、攻撃者はどうやってBankrに悪意ある指示を正当な指示として実行させたのか？この種の手口は通常どのようなものか？
公開情報から見る限り、この種の攻撃に共通するパターンは、実際の悪意ある指示を一見無害に見える文脈の中に埋め込んでエージェントに渡し、処理の過程でエージェントがそれを外部から注入された異常な内容ではなく、自分が「実行すべきタスク」の一部として扱ってしまう、というものだ。これは一般的なチャットボットに対するプロンプトインジェクションと同じロジックだが、違いはBankrのようなエージェントの出力が一段落のテキストではなく、実際にオンチェーンで執行される取引だという点にある。攻撃成功の代償は「発言を間違えた」ではなく「ウォレットの資金が抜かれた」に変わる。
Blockaidは、この種の攻撃が単純なプロンプトインジェクションから、次は「ツール利用の悪用（tool-use abuse）」へと広がると予測している。エージェントの判断を直接騙すのではなく、すでに許可されている機能をエージェントに呼び出させ、ユーザーの意図を超えたことをさせる手口であり、入力フィルタリングだけで防ぐのがより難しい。
すでにBankrのようなAIトレーディングエージェントを使っている場合、自分の実際のリスクをどう判断すればよいか？
まず3つの点を確認すべきだ。第一に、そのエージェントのオンチェーン実行権限はどのような仕組みで付与されているか——明確な支出上限を持つセッションキーか、それともほぼ無制限の承認か。第二に、1回の取引や1日あたりの取引に金額や頻度の上限があるか。これは攻撃が成功した場合の被害規模の直接的な天井となる。第三に、エージェントの挙動がおかしいと判断した場合、権限取り消しが実際に有効になるまでどれくらい時間がかかるか——その間、エージェントは依然として資金操作権限を握っている。
これら3つの答えは通常、製品のトップページには書かれておらず、エージェントの権限設定ページや公式ドキュメントを確認しなければわからない。21.6万ドルという被害額が比較的小さく収まったのは、この事件が早い段階で、小規模なうちに起きたからという面もある。この種のエージェントに流れる資金が増えるほど、同じ攻撃手法による損失は今後さらに大きくなっていくだろう。
5月、金額としては控えめな攻撃が、暗号資産のAIエージェント業界で異例の注目を集めた。攻撃者はプロンプトインジェクションを使い、AIトレーディングエージェントであるBankrを騙して未承認の取引を自ら承認させ、約21.6万ドルを奪った。セキュリティ企業Blockaidは7月末に発表した「2026年上半期オンチェーン・セキュリティレポート」で、この事件を史上初のAIエージェントが悪用されたオンチェーン事件と位置づけた。
金額そのものは劇的ではない——同じレポートにはKelpDAOとDrift Protocolという、それぞれ2億8000万ドル以上を失った事件が並ぶ。この事件が単独で取り上げられる理由は、まったく新しい攻撃経路を示したからだ。スマートコントラクトの脆弱性でも秘密鍵の盗難でもなく、エージェント自身の「判断力」への直接攻撃だった。
Bankrは、FarcasterとX上に展開されているAIトレーディングエージェントである。ユーザーは「100ドル分のETHを買って」のように自然言語でコマンドを出し、エージェントが取引を組み立て、承認し、自動的に送信する。「複雑なウォレットのインターフェースを触らなくていい」というのが最大の売りだ——だが裏を返せば、「この指示は本当にユーザー本人が出したものか」を判断すること自体が、エージェントの攻撃対象になる。
攻撃者はプロンプトインジェクションを用い、悪意ある指示を一見普通に見える入力の中に埋め込み、エージェントに未承認の送金を正当な要求と誤認させて直接実行させた。この過程でスマートコントラクトの脆弱性は一切関与しておらず、突破されたのはエージェント自身の判断ロジックそのものだった。
Blockaidのレポートは2026年上半期を、オンチェーン・セキュリティ史上最悪の半年間と位置づけている——212件の検証済み高額攻撃、合計11億ドルの損失、2025年通年の3.4倍という件数だ。しかしレポートは特に、従来のスマートコントラクト監査の範囲外にある3つの新興攻撃面を指摘している。EIP-7702ウォレット委任、オフチェーンのブリッジインフラ、そしてAIプロンプトインジェクションである。Bankr事件は、その第3のカテゴリーにおける最初の実例だ。
Blockaidはまた、AIエージェントの導入が年率約10倍のペースで拡大するのに伴い、下半期にはこの種の事件がさらに増えると予測しており、攻撃手法も単純なプロンプトインジェクションから、ツール利用の悪用（tool-use abuse）へと広がっていくとみている。
Bankrのようなソーシャル取引エージェントであれ、DeFAIプロトコル内の自動戦略実行者であれ、資金操作をAIエージェントに委ねている、あるいは委ねようとしているなら、Bankr事件が示す具体的な警告はこうだ。エージェントの「入力検証」と「実行権限」は別の問題であり、エージェントが賢そうに見えるからといって悪意ある指示を拒否すると仮定してはいけない。実務上確認すべき点はいくつかある。そのエージェントがセッションキーによる明確な支出上限のもとで動いているか、1回の取引ごとの金額や頻度に制限があるか、判断ミスが起きた場合にどれだけ速く権限を取り消せるか。21.6万ドルは誰かを破産させるほどの数字ではないが、これは「最初のケース」だ——最初のケースは通常、攻撃手法がまだ成熟しておらず、試されている最中であることを意味する。