イーサリアムのzkAPIがAI決済にプライバシー保護の「覆い」を提供しますが、落とし穴もあります

イーサリアムはAIの「紙の痕跡」を断ち切りたい

商用AIモデルに投げかけられるあらゆる質問は、多くのユーザーが想像する以上に多くの「足跡」を残す可能性があります。 APIキーはアカウントに紐づき、アカウントは資金に紐づきます。その背後にはプロンプトが蓄積されていきます。イーサリアム財団（EF）はこの問題を率直に指摘しています。「今日のAI API呼び出しのすべてに、身元情報が含まれている」。zkAPIが断ち切ろうとしているのは、まさにこの痕跡です。

zkAPIは10月1日にイーサリアム財団とOpen Anonymity Projectによってリリースされ、ユーザーはETHやUSDCなどの対応クレジットをイーサリアムのヴォールトに預け入れ、後で支払いサーバーに身元を明かすことなくAIリクエストの代金を支払えます。AIプロバイダーはリクエストを受け取りますが、その背後にある請求先の身元は把握できません。

この請求履歴がどれほど個人的なものになり得るかを考えると、財団の説明は衝撃的です。「プロンプトは個人的なものです。人々はAIモデルに、自分の健康、経済状況、悩みについて尋ねます」と、財団のブログ記事『zkAPIの紹介：あらゆるAPI向けのプライベート利用クレジット』には記されています。 1つのアカウントにそうした質問が十分に蓄積されると、プロバイダーの手元には単なる請求書以上のものが残ることになります。それは、ある人物が長年にわたり何を考えてきたかという記録になり得るのです。

金庫に資金を預け、請求書から姿を消す

zkAPIの仕組みは、通常のイーサリアム取引から始まります。ユーザーはヴォールト契約にクレジットを預入します。その後、その資金はプライベートノートとして表現され、どの元の預入金がその資金の源であるかを特定することなく使用できるようになります。EFの説明にあるように、「zkAPIは支払いと身元を分離する」のです。

その後、ユーザーのデバイス上で動作するソフトウェアが、資金が充当されたノートが要求された支出を賄えること、かつまだ使用されていないことを示すゼロ知識証明を生成します。サーバーは、どのノートがユーザーに属するかを特定することなく、この主張を検証します。仕組みはすぐに技術的な話になります。預け入れは、深さ32レベルのマークルツリー内のコミットメントとして扱われます。 支出時には「ヌリファイア」と呼ばれる一方向のシリアル番号が生成され、BN254曲線上のGroth16証明とポセイドンハッシュが暗号処理の重責を担っています。

ヌリファイアはパトロール中の警察官のような役割を果たします。同じ残高を2回使おうとすると、重複によって不正が露見します。残高の範囲内にとどまっていれば、プロトコルの設計上、そのノートは追跡不可能のままです。あるいは、財団の言葉を借りれば：

「残高の範囲内にとどまるユーザーは、追跡不可能のままです。」

AIには使い捨ての鍵が与えられる

最も巧妙な仕組みは、支払いが承認された後に発動します。zkAPIのサーバーは、人工知能（AI）プロバイダーに通常の顧客アカウントに紐付けられた恒久的なAPIキーを付与する代わりに、支払い証明を確認したうえで金額上限を設定した新しい短命なキーを生成します。このキーはユーザーのデバイスのメモリ内にのみ存在します。 その後、プロンプトは直接AIプロバイダーに送信されます。 「金銭を扱うサーバーはコンテンツを一切見ることがなく、コンテンツを見るプロバイダーはキーの背後にある課金対象の身元を知ることはありません」と財団は説明しています。 その一時的なキーの有効期限が切れると、プロバイダーは実際に消費された金額を署名付きの使用明細書に記録します。 zkAPIは、上限額全体を自動的に引き落とすのではなく、実際の消費額をユーザーのプライベートノートから差し引きます。つまり、質問ごとにイーサリアムトランザクションを行う必要はなく、1回の承認でセッション全体をカバーできます。決済システムは「誰かが支払った」ことを認識し、AIは「誰かが質問した」ことを認識します。しかし、どちらの側も、この2つを結びつけるのに十分な情報を知ることは想定されていません。

イーサリアム自体にはさらに限定された情報しか開示されません。パブリックブロックチェーンでは入金、口座の閉鎖、出金は確認できますが、その残高で何が購入されたかは確認できません。また、zkAPIサーバーが消失した場合でも資金は回収可能です。「たとえすべてのzkAPIサーバーが消失したとしても、残高を清算してオンチェーンで出金することは可能です」とEFのブログ記事は説明しています。

プライバシー対策には抜け道がある

しかし、完全な「透明マント」が存在するわけではありません。zkAPI技術は課金対象となる身元とAPIの利用を分離するものであり、誰かがAIモデルに入力した内容を魔法のように隠すわけではありません。プロバイダーはモデルを実行する必要があるため、依然としてプロンプトや応答を受け取ります。また、ネットワーク情報からも相手側の身元が特定される可能性があります。 安定したIPアドレス、タイミングのパターン、あるいは繰り返される行動は、一見分離されていると思われるセッションを結びつける手がかりとなり得ます。財団は別の問題についても非常に率直に述べており、次のように指摘しています：

「共有されたプロンプトの内容は、そのプロンプトを読める者にとっては『指紋』のような役割を果たす可能性があります。」

同じ雇用主、家族、文章の書き方、プロジェクト文書、あるいは過去の会話履歴を繰り返し言及していると、その内容自体が「ハンプティ・ダンプティ」を再び組み立て始めるきっかけになりかねません。より強力なネットワーク上の匿名性を求めるユーザーには、Torの利用や、セッションごとに新しい回路を使用することが推奨されています。また、このプロトコルのリポジトリでは、zkAPIを「実験的」と明記しています。

とはいえ、AIはあくまで最初の導入例に過ぎません。同じシステムは、ブロックチェーンのRPCクエリ、画像や動画の処理、VPNの帯域幅、さらにはソフトウェアエージェントが従来の顧客アカウントを維持することなく作業の対価を支払うM2M（マシン間）サービスにも対応可能です。そのため、zkAPIの提案は、匿名AIよりも範囲は狭いものの、より興味深いものとなっています。 zkAPIは「誰も何も知らない」ことを約束するものではありません。むしろ「誰もすべてを知らない」ことを確実にすることを目指しています。