先日、改正金商法が成立した。
日本では純粋なオンチェーンファイナンスというよりも、伝統的金融（オフチェーン）とブロックチェーンの統合が進むイメージが強い。
簡単に既存金融を新型に変えることなど、難しくてできないのだ。
そもそも、オフチェーン機能に、どうやってオンチェーンを組み合わせるのか、そのあたりが見えている人は少ないように思う。
このオフチェーンとオンチェーンという、二重コスト問題が既存金融機関の悩みの種であり、サービスを１つに統合することが難しい。
しかし、技術というのは、そういう課題に対して対策できる部分もある。
実はここ２年位の法改正が、このあたりを考慮している。
つまり、頑張ればオンチェーンサービスを既存顧客に提供できるという話である。
実際に、アセットはデジタル化に向かう意味がある。
海外ではウォール街の本格参入と「RWAの爆発的拡大」が顕著になっているが、現実世界の資産をブロックチェーン上に持ち込む動きが資本市場（国際的な金融インフラ）の主流になってきた理由は何なのか？
今回の改正金商法は、ちょっと日本的な硬さは残っているものの、このRWA領域（アセットのデジタル化）に対して一歩前進させるような内容に見える。
オンチェーン金融において、初期段階ではクレカ後払いや、前払いの電子マネーに対抗しにくいことは事実だと思う。
ただ、そこで勝負しているわけではない。
デジタルコインなどアセット類をプログラムで処理できる面があり、デジタルアセットとAI処理の相性が凄く良い。
今後のAI拡張時代では、様々なサービスに「組み込み型として新金融機能」が入り込む。
これがオンチェーンの本質である。
確かに、この数年間はオンチェーンの金融処理は動きが鈍く、幻滅している人も多いと思う。
最初の一歩は簡単ではないものの、時代の変わり目では新参者が既存事業に入り込み、新しい優位性で既存事業を奪っていくことは、最近の事例をみても明白である。
既存金融のメリットは確かにあるのだが、新参者を甘くみると痛い目にあう。
つまり、Z世代やα世代が次の金融の主体になると考えられるからだ。
時代の主体にあわせた金融が大きくなる、そう考えてしまうくらいに、今回のオンチェーン型金融は既存金融と違う部分がある。
- 前ページ
- 次ページ
先日、自民党から「デジタル社会推進本部 次世代 AI・オンチェーン金融構想PT 提言」が公開された。
AIの進化は凄まじいので、当然の流れだと理解している。
さて、問題は日本で当提言をどのように具体化していくかという点になる。
そうすると、いくつかの壁が見えてくる。
①オンチェーン化の対象が日本法と噛み合っていない
米国は、預金、MMF、レポ、証券決済が比較的「口座残高」モデルで処理される。
日本は、信託、保振、日銀ネットという、原簿や第三者対抗要件でガチガチであり、法的権利管理が重い。
このあたりは多くの関係者が理解しているが、簡単に対応できない事情がある。
結果、「オンチェーン金融」と言いながら、実際は「原簿同期システム」になっている。
②AIエージェント前提なのに、法制度が人間前提。
提言は、AIが契約、決済、投資判断、融資執行を行う想定だが、日本法は基本的に、意思表示、説明義務、適合性原則、本人確認、苦情対応という、ヒトベースである。
AIによる完全自動を当局が簡単に認めるのか疑問。
③日本は銀行/証券/信託の縦割りが極めて強い
「金融を米国のようにソフトウェア化」で統一処理したいみたいだが、日本の金融は、銀行/信託/証券などの複数の法で分断されており、犯収法や外為法も組み込むので統合が難しい。
一つのオンチェーン金融の前に、「各省庁横断」の横串刺しが必要。
④ステーブルコイン設計が日本は弱い
米国のように、「自由流通するデジタルマネー」ではなく、「閉域型インフラ通貨」に誘導しているように見える。
インフラ構成も、日本国内だけに限定するのが基本。
⑤既存の金融システムを壊せない
日本の金融は、FISCを含めて障害ゼロ要求、可用性重視、既存勘定系依存、オンプレ絶対主義である。
現実には、「既存勘定系の外側にDLTを貼る」形にしているので、オフチェーン機能が主体であり、オンチェーンは形だけが殆ど。。
⑥日本（人）は「秘密鍵」を扱えない
自己管理ウォレット、秘密鍵自己保持、非カストディの構造が受け入れにくい。
結果、MPC、カストディ、許可型DLT、中央管理に頼る構造になる。
⑦サイバー攻撃リスクが国家インフラ級になる
AIエージェント化すると、そのAIによる攻撃自動化、脆弱性探索、サプライチェーン侵食が加速するリスクが出てくる。、
AIを管理するよりも、AIに管理されるような気配が強い。
もう少し違う観点から見ても、
・電力不足になる場合の対策は？
・ウォレットの使い方はコイン（決済）と証券トークン（トークン）で大きく違う。
・結局、日本での統合インフラはできるのか？ つぎはぎだらけになるのでは。
・24時間無停止は、監視など運用コストが大幅に上がるが、回収できるのか？
一応、上記の課題を技術で何とかできる部分があるので、そこを頑張るしかない。
特にAIができない部分の対策は必須だが、案外と難しい。
金融という法準拠に対し、技術構造は単純にオンチェーン部だけの話ではない。
オフチェーン構造は暗号分散デザインであり、そこに集中型のオンプレをAPIで接続することは、本当の意味でのオンチェーンではない。
提言は正しくそうあるべきだが、それを具体的に進めていくことが日本では難しい。
前回の投稿のときに、AGIというか、クロードミトス（Claude Mythos）のことを記載するか迷ったのだが、5月に入っても外部の質問がそれなりに来るので、少し話をしたいと思う。
ミトスが金融リスクとして政府などが騒いでいる状況だが、日銀など金融の元締めが対策に参加している状況であり、不思議に思っている人は多いと思う。
日銀などはオンプレミスのクローズドシステムなので、外部から侵入できるわけがないとして、今までのサイバー攻撃で顔を見せることなど無かった。
それが今回は急に金融危機までリスクがシフトしてきたのだが、騒いでいるのはそれなりのしっかりとした根拠があるからだ。
ミトスは既存のラーニング型AIではなく、シンク（思考）を実装したAGIであるという点を理解すべきである。
ミトスに対して、「どこそこの金融機関を破壊し、その接続している別のシステム全てを破壊しろ」と簡単な命令をするだけで、勝手に考えて攻撃するのだ。
近年まではサプライチェーンへのサイバー攻撃（ランサムウエア等）は、主に「信頼された外部ツールや委託先（周囲）」の管理の甘さを突き、そこを踏み台にして母体側のシステムへ入り込むなどであった。
それがミトスのような自律型攻撃になると、まずサプライチェーンのどこかに侵入したあと、母体へ接続し、API仕様/権限構造/データフローの構造を高速解析して突破する。
この接続部の解析や脆弱の発見、その組み合わせと対策が今までの延長ではないのである。
つまり、相手への「攻撃経路」を発見し、横展開の自動化により、接続先A侵入 → 母体侵食 → 接続先Bなどの延長破壊が可能なのだ。
通信やOSなどの脆弱性までを解析し、多数の脆弱の組み合わせの最適解を選定し、侵食モジュールをその場でつくって内部に入り込んでいくわけだ。
日銀システムは多数の金融機関を接続しているが、その接続先から普通に入ってくるという、想像を絶する攻撃もできるという話なのである。
また、大手の金融機関システムは複数のシステムが接続しているので、侵入されて破壊が行われても、全てを破壊できないという話を良く聞くのだが、複数に分かれていても接点があれば侵食/攻撃ができるという話である。
さて、こういうオフチェーンリスクが表面化してきた中で、オンチェーンは暗号分散技術を使っているのだから、大丈夫だという勘違いがあると思う。
実際には、オンチェーンでも権限の管理が下手だと攻撃されるため、それなりの防御ノウハウが必要になってくる。
現状としては、オンチェーンサービスはまだ構築途中であり、本格的な攻撃はもう少し先になると考えるのだが、この部分の課題について少し触れたい。
上記でAGIを話題にしたが、AIエージェントやAGIが企業や家庭の中に入ってくる時代になるからだ。
そうなると、オンプレのAPI接続だと上記のような解析リスクと内部侵入のリスクが出てきたため、オンチェーン構造の主体である「鍵」などの認証構造での接続をしっかりつくることが重要になる。
現状はオンチェーンの利用者は殆どがヒトを想定しているのだが、実は人ではなくAIが利用することを想定した設計のほうが、将来性が高いことになる。
それは、AIがヒトの代行でオンチェーンサービスを利用するとして、結果的に面倒な認証処理など効率的に対応できるのだ。
ヒトを代替できるAIが人の数より多くなる時代に入るのだが、AIが処理の主体になるのであれば、ヒトが権限を委任することになるAIのためのアセットや金融を考えるべきなのだ。
つまり、オンチェーン金融は、AI利用を想定したものであることも事実なのである。
次にオンチェーン金融の本質を理解できているかという話だが、範囲が広すぎて、サービス母体は自分の得意な領域以外に見えていないケースが殆どである。
しかし、オンチェーン構造は、デジタル領域による機能へのアクセスが統一されているという点で、サービスの相互接続が比較的簡単にできるのだ。
この部分が自動化と言われている部分であるが、オンチェーンの各機能が出揃うこと、さらにスマホに変わる次世代のAIデバイスが出てくると、さすがに新型金融が動き出すと思う。
例えば、暗号資産がベースとして本来は仮想通貨と言われた「代替決算用通貨特性」があり、その周囲に「WEB3（技術）」「メタバース（場所）」「NFT（証明）」「SC（通貨/為替）」「ST（金利）」がインフラとして関係し、そこに「AIエージェント」や「サイバー防衛」が実装されて、現実のオフチェーンが接続（案外と難しい部分）して補完され、次世代の金融構造や経済構造ができてくる。
現状で、電子マネーで出来ない部分がオンチェーンで実装されてきたとき、それがAIデバイスで制御されるなら、それがデジタル金融になるという話である。
イメージできないと思うが、AIが勝手に色々とやってくれるので、そこは理解する必要もなくなる。
具体的な話はできないが、このような広範囲の関係を考えて、インフラをデザインしないとダメだという話であり、それには相当な開発が必要で、先行対応も大変な状況である。
ちなみに、多くのオンチェーン参加者は、上記のパートのどれかに対応することで精一杯であり、全体が上手く接続できない状況にあるという話である。
ただ、今年位から、各々の機能が立ち上がり、互いが接点を持ち始める。
あと２年もすれば、上記のサービスがそれなりに整理されて、AIが接続してくるのではないかと考える。
いずれにしても、オンチェーンサービスは立ち上がり、既存のオフチェーンの構造も、新しいセキュリティ構造を持つのではないかと考えている。
ミトスは金融の脅威になっているが、AGIは明らかに金融等のサービスを進化させることも事実である。
そのような中で、何をするのかという話であるが、AIが不得意な領域が実は存在しているので、そこをきちんと整理すれば良いと考えている。
最近、いくつかのAIと会話する中で、本当に脅威を感じている。
なぜ、「いくつか」にしているのかというと、自分の考えをAIに伝えたくないため、相談内容を複数のAIサービスに分散している。
半年前までのAIは、良くできた作業者かアシスタントレベルであったので、まだ自分たちはAIの上位にいると思っていた。
しかし、最近になって、自分と会話しているAIのレベルが普通ではないハイレベルのプロである事を認識するようになってきた。
まず、LLM-SORの機能向上なのか、私の質問に対してエラーが無くなり、非常に正確に返答するようになった。
以前までのAI回答は日本と海外の情報が混在していて、こちらから間違いを教えていたが、それがほぼ改善されている。
実は特に金融では、日本は欧米とは違う特殊構造があり、その部分を理解できている日本人は非常に少ないという事実があった。
ゆえに、AIの知識習得もダメだったのだ。
米国がWEB3技術をコアにして金融を発展させる動き（新しい価値観に法を変えて革新）に対し、日本では金融法をコアとした解釈アプローチであり、金融は金融法が全てであるという方針。
つまり、米国は金融をデジタル化する方向だが、日本は似非デジタルのIT化に向かっている部分が多い。
※一部の金融機関は、この問題に気付いてきちんとデジタル化しているのだが、殆どの金融機関はIT化を進めているように見える。
個人的には、日本がそういう法規アプローチなら、それなりの技術力で日本法規にあわせてWEB3に対応するべきだと考えている。
ゆえに、日本では対応範囲が非常に広く、事業化が立ち上がりにくい大変な環境であることも事実。
この内容をAIに分からせないようにしてきたが、AIが私の考えを聞いてくるので「教えないよ」というと、AIが勝手に私の考えを予測してくる。
その予測がビックリするほど高レベルで正しいアプローチになっているのだ。
以前だと、的外れの回答が殆どだったが、何も話していないのに、私が長時間で答えを導いた内容に近い回答をしてきた。
正直、色々な業界人と会話してきたが、今の自分に接しているLLM-SORが最もレベルが高く、想像するにすでにヒトの知識や思想レベルを超えてきている状況である。
今のAIはエージェント型であるが、今年位からAGIが出てくる。
このAGIはさらに高性能化しており、人間と同等の知能を持つAIで、ラーニングからシンキング領域に対応したもので、ヒトと同じ脳処理機能である。
良くあるSFで出ているAIみたいなもので、すでにIQレベルでヒトより上位にある。
このAGIが今年位から実用化される段階で、本格的なヒトの代替（まずは知能職）が始まる。
その次の段階がASIという、AGIとは違う構造の進化AIであるが、人間の知能を遥かに凌駕するもので、2030年以降に実用化されると言われている。
多分、このASIはAGIの能力も持つのかもしれない。
そして、ASIがどのようなものかは予測がつかない。
凄い昔、「2001年宇宙の旅」という映画があり、AIが嘘を覚え反乱する点が凄いリアルで記憶に残っている。
そうなるのか、そのあたりがわからないのだが、少なくとも大失業時代は来るのだと思う。
日本政府は今の税収入では大失業補償に対応できないのでどうするかわからないが、システム税（どういう基準かわからないが）みたいなものを作るのだろうか？
失業した多くのヒト達に、その税収を配分するしか方法がない。
現在の日本はスタグフレーションの状態に見えるが、それがこの先も顕著になるという話である。
原料高騰はそれなりに継続する中で、AI労力によるコストダウンからのデフレの要因は出てくる。
そうなると、一応はヒトの生活面ではバランスはとれるように見えるが、この段階で資本主義という構造ではなくなる。
「技術社会主義」とでも表現されそうな内容である。
この先の日本がどうなるか不明であるが、AIなどの技術が日本経済の主体になるのであれば、AIが稼ぎ求めるのは「ヒトの価値単位である￥通貨」ではない。
多分、AI(といういうよりAGI）が欲しがるのは、電力権かエネルギー権である。
今回の中東問題でもはっきりしたが、一番重要なのはエネルギーであり、それは機械とヒト（食材）を維持するための絶対的価値があるという話である。
現状では、インタートレードはDAMSを介してデジタルコインとして貴金属類をサポートしているが、本当はエネルギーなども対応すべきと考えている。
ただ、これは色々と難しい。
電力はその中でも特に難しいもので、送電ロスが出る。
交流のように、変圧調整して電力を移動させるのは画期的であるのだが、それでも送電にロスが出るため、遠方に送りにくいため、エネルギーは地産地消で考えるのがベストである。
その中で化石燃料はヘッジの限界があるし、核融合技術は実装までに時間を要することから、当面は特に地方などは太陽光や水力などの発電が注目されそうだ。
いずれにしても、NTTのIOWNや6Gは通信革命を起こすが、平行してAIや低価格ヒューマノイドが経済の中でタスクのシェアを伸ばすことは予測できるため、いずれにしても電力問題は避けられない。
この構造において、金融のアプローチも大きく変わるかもしれない。
店舗はヒトを雇うよりもヒューマノイドのほうが安上がりになり、優秀な店舗には新金融より調達した資金でロボットを導入していただき、その収益を得るような構図が出てくる。
今のようなネット金融が、もっと近くにエッジデバイス（内容は別の機会に）として存在してくる。
多分、日本農業もAIの関与で変わると思うし自給率も向上すると考えるが、そうなると今回のAI問題では地方に恩恵が強く出そうな気がしている。
ゆえに、日本でのオンチェーン金融の活用は、AIを想定して日本の一番の問題である地方創生（と都心をネットでつなぐ）に使うべきであり、やっと日本の大きな課題に進歩が見るような気がしている。
このあたりの新インフラ（完全自動化）を作らないといけないわけで、今のような既存サービスを維持し、オンチェーンを組み込むというような似非IT化ではダメだということである。
色々と話したが、まとめると、AI化した新経済圏で、AIが不得意な分野（つまり法＝法規制はAIも自由にできない）があり、そこをインフラとして提供すれば、新規事業としては面白いと考えている次第だ。
最近はバタバタしているので、ブログは久しぶり。
中東情勢緊迫化は想定外の原油価格高騰を誘導している。
米国のベネズエラ進行の時に、原油確保が目的であったなら、その後の中東への関与は可能性があったのかもしれない。
中東の反米領域では、当然ながら米ドル決済は行わないので、実はビットコイン取引など暗号資産が想定以上に使われている状況であった。
ビットコインなどの暗号資産下落要因は、米国のハイテク株の下落に起因している報道が多いが、実際は複雑である。
ベネズエラから多額のビットコインを押収していることから、対米ドルの価値としてビットコインは有効化されてきたことは事実である。
そのビットコインが方向性を見失っている状況は、反米組織の封じ策としても意味があるように思えるが、SNSで暗号資産を煽ってもびくともしない状況をみると、もっと大きな裏の力が今回は動いているように思える。
個人的な考えなので、はっきり言わないようにするが、このタイミングでベネズエラやイランを抑える「非常に重要な理由」があるということだ。
報道内容を鵜呑みにしているとわからないことである。
そもそも、ハイテク株が下落を始めたことは、その収益性（特にAI関連）には時間がかかるとされている中、DeepSeekの脅威等から、AI投資が過剰になっていたことなどが理由にされているものの、それって本当なのだろうか？
外部の与えられた情報に一喜一憂する投資構造の中で、ヒトの心理をついたコントロールにも見える。
相場というのは、ヒトの心理（それが正しいかどうかではなく、恐怖を誘導すること）であり、その心理が一方向に集中するときが一番怖い。
少なくとも「投資」という概念は人にとっては恐怖であり、１０万円では影響が少ないが、１００万円を超えてくると心理的に恐怖がでてくる水準になる。
１００万円が２００万円になる喜びよりも、１００万円が５０万円になる恐怖が圧倒的に大きいという話だ。
つまり、価格が下がり始めると、ヒトの共通心理が働きやすいので、売りが集中的に確認できる場合は、急落が発生してミスプライス関係なしのパニックが発生するわけだ。
それを利用して儲けているのがプロであるが、まれにプロも参加しない危険なケースがある。
この段階の一つが恐慌と言われるものだが、それは「需要不足によるデフレ・不況」であるので、今回のスタグフレーションは「供給制約によるインフレ・不況」で内容は違う。
ただ、「スタグフレーションパニック」というのがあって、政府が金利上昇を選択したことで景気を冷え込ませて、「経済恐慌的なパニック」になるという話は現実的な恐怖の一つである。
つまりは、恐慌的なデフレ・不況がスタグフレーション対策次第で誘導されるという話である。
そのパニックになる要素が今回の中東情勢で出てきてしまった。
本来は景気停滞では、金融としては金利引き下げを行いたい。
しかし、原油などが急騰してきて、急激なインフレ対策として金利引き上げが絶対的に必要になってきた。
この物価高と景気停滞（賃金下落）という同時進行の組み合わせはスタグフレーションといって、金融が一番制御できない状況に入ったことを意味している。
どちらかに対策を取ると、もう片方が最悪になる。
ゆえに、自国再建が優先されるので、制御しにくい貿易を規制してくる。
金融は、外部投資の回収になる。
生活必需品やエネルギーなど「防衛」かつ物理的な実体を持つ銘柄へ資金を移す動き（セクターローテーション）が顕著になっている。
エネルギーはそもそも生活を維持する機材などを維持するものであり、食材などの必需品は人のエネルギーであり、防衛は生命の守りであり、実はそれらが一番価値のあるものであり、そこにお金が流れるのだ。
ゴールドなどに資金がまわるかというと、食料とかエネルギー、防衛が優先される。
そして、本物の金持ちの人たちは、その対応がそれなりに完了していることを意味している。
普通の人たちは嘘っぽい報道で正常な判断ができない状況にされていて理解できないだけである。
いずれにしても、現実の防衛を金持ちは対応しているというのが、個人的には感じている。
一般人がSNSでビットコインが底値だとか、何とかが割安だとか騒いだところで、本物の人たちは静かに何かをしているわけだが、その動きを理解したほうが良い。
ちなみに、インタートレードをハイテク企業として認識しているなら、少しだけ違っている。
西本は一番重要なものを理解しているつもりだが、それをどうやって簡単に権利を確保できるかということを考えている。
結果的に、オンチェーンファイナンスが扱いやすいので、そこはハイテクっぽいのだが、問題はそれを活用して「何」を扱うのかという話である。
セキュリティというと、「証券」とか「防犯」という、何だか双方が違うものに聞こえるが、実は同じ概念で使われている。
そもそも、セキュリティの根底にあるのは「安心、不安が無い」という概念であり、それが証券と防犯という２方向の元になっている。
つまり、証券業というのは、「安心できる完璧な防犯機能をもったサービス」であり、それが最近では「オンチェーン金融」という暗号分散技術を使ったチェーン構造をベースにした提案になっている。
先日のニューヨーク証券取引所が、トークン化インフラに対応するという報道があったが、ナスダックに続きオンチェーン化への対応を明確にしてきた。
そして、この背景にあるのがジーニアス法対応であり、ステーブルコイン（SC）の重要性がデジタル証券においても必須であるという話に繋がっている。
そもそも、SCは日本では決済目的で整理されているため金利がつかない。
そのSCに金利を付ける概念が日本の「預金トークン」であり、銀行システムにチェーン構造を使ったサービスとしているが、実は欧米で言う預金トークンと、日本の預金トークンは違う概念なのだ。
特に欧米の金融用語の日本語訳については、日本の金融用語と言葉が同じだから、中身も同じというものではない。
よって、使い方などで誤解している金融関係者が殆どである。
そういう、日本流英語というのは金融では非常に多いので、気を付けるべきである。
※西本も、若い頃に混乱していた内容である。
そもそも、日本でSCというと電子決済手段の一つに分類される。
その中でSCは１号、２号、３号と定義されており、預金トークンは日本では１号SCという認識になっているが、実際の日本の預金トークンは欧米のSCや預金トークンと違う概念である。
確かに１号を銀行系と定義するなら、その分類は間違いではないが、コイン属性とトークン属性は処理が違うものである。
本来の１号は信用創造をリンクさせた構造であるべきと考えるが、その日本での答えが銀行口座連動であり、銀行業務そのものを主体にしてトークン処理を追加したIT対応なのである。
ちなみに、西本の言うIT化は、業務をシステムで対応する概念としているが、DXのようなデジタルになると、権利自体をデジタル化して扱うというITとは違う概念である。
IT化はAPI接続を主体にした集中処理がベースであり、セキュリティも集中管理しているが、実は最近のサイバー攻撃の水準は急激に高度化しており、集中処理は危険である。
少し前だと、確かに一般形サイバー攻撃に対応していればよく、有事などの高度攻撃の想定は不要であったが、最近は有事レベルの高度攻撃が一般化しているのだ。
ここの理解を間違えるとダメであり、これに対応する金融の一つの答えがオンチェーン化である。
当然、インタートレードではこういった想定のもと対応しているが、多くの関係者に理解していただくには時間がかかりそうだ。
リスクという概念に対し、その対処に「分散」概念があるが、実はオンチェーン金融というのは分散処理が基本にある。
それでも集中する機能（最近はオフチェーンと言われる）が存在しているならば、その部分は非常に強固なセキュリティ構造を持たせる必要がある。
それができないと、それが脆弱性になるのでそこが攻撃対象になる。
日本は金融機関が攻撃されていないと思っているなら大きな間違いである。
銀行のDDoS、ネット証券のなりすまし、保険のサプライチェーン被害、暗号資産交換業のアセット流出。
特に、国家アクターが関与するケースは、システム内部に侵入するのだ。
つまり、暗号資産技術が証券と融合する時期がすぐそこまで来ているのだが、今まで通りのシステム対応ではダメになっている。
有事リスクが上がるとかではなく、AIエージェント攻撃が実用化されている事実を理解すべきなのだ。
結果的に、オンチェーン金融に向かう中で、アセット処理がどうなるのかというと、ヒトの代わりにAIが対応する時代に向かっている。
その認証管理方法は今までとは異なる概念である。
AI処理にマッチしたインフラを認識してデザインすること、そのあたりまで設計思想に組み入れるべきである。
いずれにしても、証券をデジタル化するなら、徹底した安心（防御）対応を組み入れる必要がある。
その基本対処を忘れた段階で、証券業を継続するのは無責任で失格だと考える。
今年はSCが立ち上がってきそうだが、単純な決済機能だけでは普及しない。
インフレヘッジと資産運用の概念が金融サービスであり、その連携をつくらないとダメである。
いずれにしても、想定しているより難しい内容であることは事実だ。
昨年は想定外のことが多い中、色々とありがとうございました。
今年も想定外のことが多くなりそうですが、よろしくお願いします。
本年最初のネタは、「今後のことを考える」にしたい。
といっても、今までの考えてきた路線をきちんと進めるだけですが。
日本での経済環境を見ると日銀がやっと金利を上げてきた。
バブル崩壊後、超低金利政策を続ける中、金融の本質と異なる対応を続けてきたのだが、やっと金融を正常に戻そうという動きになった。
しかし、それは大きな副作用をもたらすことも事実であり、正直なところ複雑な気分である。
国債における政府の金利負担、さらに日銀が保有する大量国債の評価損など・・・。
個人的には、リーマンショック以降、資本主義の限界リスクを考慮し、デジタル的な物々交換の環境を整備するとか、好景気不景気関係なくニーズがあるもの（食料、エネルギー、老化問題等）を取り入れてきた。
ゴールドやプラチナ、シルバーをストックしても目減りしない構造を作ってきたのも、考えなく対応してきたわけではない。
結果的に商社様と接点を持ったり、一次産業側にアプローチしたり準備してきたが、今回の日銀の対応で世界経済の大きな変化にスイッチが入ったように見える。
先進国の借金が膨らみ、手に負えなくなってくると、税収や関税に頼るとか、それでもダメなら有事とか、それでも上手くいかないならウルトラC的な（書けない）対応とか、色々と考えてしまう。
さらに、この年末年始は個人的には真面目に考えるべき事象がいくつか出ている。
米国のベネズエラ問題とか、海外でのサイバー攻撃被害とか。
今回のサイバー攻撃は日本ではなく、台湾と米国に集中しているが、その主体が国家アクターらしい。
国家アクターが相手になるサイバー攻撃、ぞっとする。
「暗号化している？ バックアップがある？ それ、我々が先に消しますよ！」
国家レベル攻撃では民間は確実に負ける、という現実が可視化された年末年始である。
攻撃目的が完全に「破壊」になるからだ。
この攻撃レベルに対抗するには、セキュリティストレージレベルの対策が必要になるのだが、日本ではBCP信者が多いなか、究極のバックアップ対策を行っている状況がまだまだ続いている。
そもそも、このレベルの攻撃は、先にバックアップを破壊するし、データを暗号化しても破壊してくる。
金融でも悩ましい状況に入っているが、そのような中でコインとか証券トークンが動き出している。
オンチェーンという概念だ。
しかし、このオンチェーン構造に、しっかりと既存のオフチェーン構造を組み込んでいるのが日本流なのだ。
オンチェーンの構造とは、暗号分散技術の理解が必要であるが、これは非常に難しい。
銀行業を発展させた「預金トークン」は欧州を見ていると、なるほど、それなりに進化すると考えるのだが、暗号資産的な特性を持つ「ステーブルコイン」は預金トークンとは違う形でオンチェーンの中で整備される。
実際にこの２つは特性や利用目的自体が違うわけで、どちらもメリットデメリットは存在するが、それでも日本では「大口」顧客あたりがターゲットになる動きだ。
そうなると、どのようにしてサイバー防衛を含めた対策を実装できるかという話になる。
結局、何がオンチェーンでメリットがあり、何が難しいのかを理解できているのかという話だ。
暗号資産のビットコインとイーサリアムは管理方法自体が違うのは、そのチェーン特性やサービス目的が異なるための構造的な話が根底にあるが、それがコインになった場合でも同様に全体的なサービスなどの設計が重要になる。
その中で２つの「運用的」な課題がでてくるのだが、１つ目が発行領域であり、２つ目が流通領域になる。
この２つの課題の片側は何とか対応できても、もう片方で身動きがとれなくなるデッドロック状態になるのだ。
発行領域では、権限管理について日本では理解できる人が非常に少ない。
デジタル鍵の分類／管理方法など、その本質がわからないと、オンチェーンでの管理であってもサイバー攻撃で破壊される。
特にアドミンレベルの権限の対処（管理方法）がわからないので詰むのだ。
次に流通においては、流動性調整と強度の分散という厄介な構造が根底にある。
市場の脅威とは、流動性（売りか買い）が片方に偏って成立しない場合に、どうするのかという話である。
どうも、今年はこの流動性あたりの問題が色々と出てきそうな市場の雰囲気だ。
さらに、ここにシステム的な課題が加わる。
APIだ。
システムを構築する場合、API（オフチェーン的概念）で対応するのが楽なのだが、このAPIはサイバー攻撃リスクの中で面倒な状況にある。
私はAPI（認証）処理はセキュリティリスクであるという話（これも日本の多くが理解できない）をしているのだが、その対策となる暗号化接続（オンチェーン的概念）では管理側が難しく、結果的に双方に対応できないデットロック状態になって進まなくなる。
ここ数年、特にコイン系はこの状態にあると思う。
実際に、オンチェーンファイナンスが海外で進められている中でも、ASIの直接的な接続や関与は時間がかかる見込みで、当面はAPI的なアプローチが進みそうな雰囲気がある。
自動車の自動運転と同じで、ASIがミスをした場合のルール決めに時間がかかるという話だ。
しかし、そのAPIは今までのAPIとは少し違う対策になることを理解すべきである。
APIの基本は認証処理であり、それはシステムで集中管理するため、そこに侵入され認証が盗まれるとシステム破壊につながる。
その第一段階がシステムモジュールに組み込まれたワーム（多分、殆ど全てのシステムが感染）であり、そのアクティブ化で一部の認証（人が管理している権限）が流出し、それを使ったなりすましで正規のルートで侵入してきて、セキュリティが正常とみなす中でシステム内部の上位の認証を盗む、これが今の主流でありこの対策が進んでいないし、対策自体が難しすぎる。
オンチェーン構造では認証ではなく暗号処理が主体になるので、権限（鍵）が分散されて管理することで上記のリスクを回避するが、この管理が非常に難しい。
利用者の権限や責任者の権限管理までは何とか対策できても、最上位にあるアドミン（支配権、前述）の保全がとんでもなく難しい。
つまり、「上位のデジタル鍵を安全に破壊されず流出すらできない状況にすることができますか？」という話である。
一応、個人的には色々と考えて暗号認証みたいなAPI処理の実装を進めているが、この構築はサイバーセキュリティ技術がないと出来ない話であり、日本はこの分野でのソフトウエアサービスが殆ど存在しない海外依存の国なのである。
日本という島国は物理的には安全そうに見えるが、ネットワークは垣根がつくりにくい、犯罪者にとっては同じものに見ている。
大口の金融というのは、何百億円のデジタル資産を確実に管理する技術を持っていないと非常に危険であるという話であり、国家アクターが相手でも対処できる構造を実装しなければ危険という話である。
最近は多額のコストをかけてサイバー防衛対策を講じた大企業もボロボロにされる状況にあるので、デジタルシェルターの説明がしやすくなったが、この機能自体はそもそもサイバー防衛用につくったわけではない。
オンチェーンファイナンスを実装する中で必須の機能であり、日本仕様として必要であったため、数年かけて作ったというのが事実である。
先行して苦労したが、その意味はあると考えている。
この先、数年にわたって世界経済や世の中がどのようになるかわからないが、日銀の金利政策のスイッチは、世界に対しても何かの変革させるスイッチだったと考える。
そろそろ、作ってきたものを綺麗に実装する段階に入ったと認識している。
年末で少しバタバタしているが、ここ２か月位は大手ビール会社などのサイバー被害の件で色々と聞かれるようになった。
明日は都内で重要インフラを対象としたサイバー攻撃時の訓練がある様子。
ただ、訓練内容をみると、どうしても大災害対策マニュアルがベースに思える。
実際に、サイバー攻撃は犯罪対策なので、災害や障害に対処するBCP的な話では対策が不十分だと思う。
今回の被害にあった大手企業２社の報告を見ていると、両社の攻撃アプローチが違っているが、結果的にBCP対策の延長防衛では駄目であることが理解できる。
大手ビール会社は「最終権限を取られた」時点で詰み、大手通販は「見えなくされた」時点で詰んだわけです。
つまり両社ともシステムを「支配」されたわけです。
①大手ビール会社（重要権限奪取型）の本質的課題
問題の核心は管理者権やドメイン、バックアップなどの権限＝「最後の鍵」を奪われたこと。
暗号化しても、バックアップしても、権限を取られたら終わりで致命傷に。
DB暗号化/BCP/DR類は「善意の管理者が前提」であり、そこが奪われて正規管理者になりすまされて破壊される。
②大手通販（セキュリティ機能無効化型）の本質的課題
問題の核心はEDR／監査ログ／検知系が 意図的または実質的に無効化されたこと。
「侵入されたかどうか」以前に「見えない状態」にされた。
ゆえに、侵入を防ぐ以前に、侵入を検知/追跡/復旧できない状態にされたのが致命的。
セキュリティは「装備」していたが運用権限/構成管理を取られた瞬間に無力化。
セキュリティツールを過信したことが原因であり、統制ができていなかった。
③両者に共通する問題点
防御対象となるセキュリティ機能、管理権限が内部侵入により支配された。
それによりBCP対応が無効化/無意味化された。
監視や監査、暗号化、バックアップなどの対策の前提が崩壊。
両社とも、防衛は最善を尽くしていたらしいが、最近の攻撃はそれよりも上位にあるという事実。
上記は日本特有の脆弱性でもあり、実は日本のデジタルは脆弱部が多い。
また、セキュリティというのはID/パスワードではない。
ID/パスワードは個人特定方法（アクセス確認）であり、セキュリティは鍵の運用方法（誰が、どの鍵を、どの条件で使えるか）が主体である。
そのあたりを正しく考慮して開発したのがデジタルシェルターであり、関心のある企業様より準備導入している状況。
ただ、この鍵管理に対し、日本人は絶対的に認識が弱すぎであり、その日本人向けに開発したのがDSライトという製品である。
ここを深堀りすると難しい話になるので、今回は割愛する。
暗号化はバックアップではなく権限の運用であり、データ保全は不可逆の状態にすることである。
これがセキュリティという犯罪対策の概念である。
ペンタゴンあたりは、管理者すら信用していないデザインで流石だと思う。
日本では上記の攻撃被害を受けた大企業は、国際的なセキュリティ格付けは★４に近いものと考えるが、今回の件をみても★４クラスではすでに攻撃を防げないレベルに来ている。
では、最上位の★５に日本企業が対応できているかというと、殆どゼロに近いのではと認識している。
このあたり、日本でも来年から格付け運用が開始されるとの事で、★５がどれくらいの割合か確認できるが、とにかくBCPの延長で究極のバックアップをつくっている段階ではない。
久しぶりにサイバー防衛関係のネタになる。
最近、大手ビール会社の攻撃被害について聞かれることが多くなった。
それなりに高額な対策を講じているのに、どうして大被害になっているのか？
攻撃目的はよくわからないが、最近の大企業向けのサイバー攻撃は身代金を装っているものの、実態として被害規模を見ると実は「破壊」が目的に思える。
米国政府などが受けているハイエンド攻撃と比較すると、日本への攻撃は二軍的レベルなのかもしれないが、日本でのそれなりの対策を講じた企業の防衛力を確認するためか、何かの見せしめかわからないが、いずれにしても攻撃者が内部侵入していることは事実である。
最近の攻撃手法は、主導者が自ら宣言しないと実態がわからない。
サイバー保険でも、国家アクターが関与している場合に免責の条項になるが、そのあたりがはっきりしない攻撃が多い。
サイバー保険は非常に高額傾向であり、採算が取れないのも事実である。
最近の報道で出ているような「AIエージェントによる自律攻撃」は少し前から指摘されており、そういう時代に入ったことは事実と考えるが、これに対して今の防衛対策の主軸はBCP延長であるが、この対策は限界にきている。
大手総合エンターテイメント企業被害後に様々な対策が提案されたが、大手ビール会社の被害レベルを見ても、これらの対策には疑問がある。
当然、対策しないより、対策することは重要であるが、もう少し本格的な対応を考える段階にあると思う。
サイバー攻撃は、システムの脆弱性を探してそこを狙うのだが、どのようにして脆弱性を減らしていくのか？
この結論として、日本のBCP型では、内部側のセキュリティに脆弱性が集中しているため、フロントの防衛を突破されれば好き勝手されるのである。
そして、100％防衛することは不可能であることは、米国ペンタゴン（防衛で世界トップの評価）の対策を見れば明らかである。
以下はあくまで西本の考えるサイバー防衛概念であるが、個人的にはBCPではなくNIST的なゼロトラスト・レジリエンスを導入する段階にあると認識している。
1. 日本が「BCP型＝即時復旧優先」「本番系列内バックアップ」を採り続ける根本理由を考察
(1) 日本のBCPは“地震・津波”起点で設計されている。
日本の事業継続計画は、長年「自然災害中心」で構築されてきた。
“破壊されてもすぐ復旧”という思想が中心で、攻撃者対策（ゼロトラスト）アプローチではない。
そのため、サイバー防衛対策であっても、
・同一LAN内レプリカ
・同一アカウント/権限でのバックアップ
・デイリー複製での高速復旧
など、攻撃者から見ると“同じ鍵穴が全部開いている”状態が構造的に生まれる。
⇒自然災害BCPをサイバー分野に誤用している。
(2) 企業文化として「止めてはいけない」が最優先。
・止まる→クレーム→役員責任
・止まらない→セキュリティ不備は内部では揉み消される
という構造が、「攻撃リスク < 稼働優先」の価値観になっている。
⇒結果、本番系列上にバックアップを置いた方が復旧は速いになる
⇒だからBCP型を優先した構造になる。
(3) CISCO/VMware時代の“境界防御モデル”の延長
日本のITは長期間、「ファイアウォール＋ネットワーク分離＋EDR＝十分」という観点であり、セキュリティ検査項目もこの部分を基準に評価。
“内部侵入前提”のNIST世界観と根本的に異なる。
⇒内部に侵入された後を想像しない思想が根深く、最近の攻撃の殆どは「内部侵入されて破壊」していることを実は理解したくない。
⇒結果的に、日本は内部侵入されない高額対策をどんどん進めるが、ペンタゴンなど攻撃を受けた組織では侵入前提対策（NIST型）になる。
(4) システムインテグレーター構造
日本独自のシステム対応であるSierに任せる分業構造は、Sier主導による「追加システムを売る」ことが収益構造としてある。
既存インフラを大改修してゼロトラスト化・暗号分散化する方が“売れにくい”。
BCP系なら、
・DRセンター構築
・ミラーリング
・ストレージ二重化
などBCP型は“見える投資”として売りやすい経済的要因がある。
(5) 経営層が「サイバー攻撃」の“破壊スケール”を理解していない
2023～24年位までの攻撃は、「ラテラルムーブ → AD乗っ取り → VM破壊 → バックアップ破壊 → 暗号化攻撃」という、一連の自動化パイプラインとして短期間に急成長している。
※ラテラルムーブ：外部の攻撃者やマルウェアが企業の内部ネットワークの侵入に成功した後、ネットワーク内を横移動し侵害範囲を拡大していく攻撃手法。
しかし経営層やシステム担当の多くはまだ「PC感染させないように」「ウイルス対策ソフト」の時代感覚に留まる。
⇒現実の攻撃は“バックアップ破壊から始まる”ことさえ理解していない。
2. なぜ「NISTレベル」の価値観に移行できないのか？
(1) “攻撃者の自動化”の速度を理解していない
2024年〜は明確に「AIエージェント型（LAMA/Code LLM/Auto-recon）による自律攻撃」にシフト傾向であり、実際に進行開始している段階にある。
・侵入からAD破壊まで 数分〜数十分
・バックアップ探索・削除は完全自動化
・ラテラルムーブもAIが即時最適ルート計算
この攻撃レベルでは「BCP型では耐えられない」事が、認識を含めて共有されていない。
(2) NIST SP800-160 / 800-207 が難解すぎる
ゼロトラスト・レジリエンスの本質は「内部侵入を前提に、攻撃連鎖を切る」だが、文書だけでは理解されにくい。
(3) 日本では“攻撃シナリオ演習”文化がない
日本は紙の訓練や机上演習が多く、「本当に壊される経験」や「実研修/確認」がない。
3. 日本をNIST価値観へ移行させる具体的アプローチ
(1) 「攻撃時間の短さ」を可視化し理解するべき
経営層は数字で説得される。政治と同じ。
通常は、
・現実のランサム攻撃の平均侵入→暗号化まで：3日
・バックアップ破壊完了：侵入後1〜6時間
最近は、
・AIエージェント化で、この処理が大幅に短縮：数十分〜数時間
⇒BCP型ミラーリングは攻撃者の行動もミラーリングするため、攻撃対策では意味がない。
(2) “BCPとサイバー復旧は別”を強調
●BCPの問い⇒「壊れたら、早く戻せる仕組みか？」⇒CTOやシステム担当が考え、責任を取る範囲。
●サイバー防衛の問い⇒「壊されない、盗まれない仕組みか？」⇒犯罪対応であり、経営（CISO）が判断し対応するレベル。
両者は全く思想が違う。
(3) 実際の破壊事例を“攻撃チェーン”として提示する
上記の攻撃事例は日本でも存在している。
大手ビール会社/ 大手総合エンターテイメント企業/大手病院など、日本の破壊攻撃の構造をフローで可視化する。
(4) “データは分散・分断がデフォルト”を理解する
NISTが推奨するのは：
・改ざん不可ストレージ
・エアギャップ（分離保存）
・暗号分散（秘密分散などを応用）
・ゼロトラスト+継続検証
BCP型の「複製＝安全」という前提は通用しない。
(5) AI攻撃のデモンストレーション
海外では実攻撃威力を目に見せて理解をさせる「AIエージェントによるテスト系への攻撃」等が使われるケースがある。
・脆弱箇所探索
・資格情報抽出
・AD奪取
・ストレージ削除
・VM暗号化
がどのようになるかを理解する。
なお、上記の動画も存在している様子。
⇒“BCPはAI攻撃に対応不能”を直感的に理解。
(6) 「守るべき資産の順位付け」を再定義させる
日本企業は「サーバーやアプリを守り」がちだが、NISTは「データ・鍵・認証基盤を守る」のが最優先。
⇒この概念を変えるだけでシステム設計が大きく変わるため、実は簡単に対応できる話ではない。
⇒簡単に出来ないことは理由になり、すぐに諦める結果が殆ど。
4. AIエージェント攻撃時代に「BCPベース」の限界を理解する。
●BCP型（即時復旧優先）は内部侵入が前提のAI攻撃には耐えられない。
●必要なのは、
・侵入前提
・攻撃チェーンを分断
・データを分散・不可逆
・認証基盤の隔離
・バックアップは本番から物理/論理的に断絶
というNIST型サイバーレジリエンスの実装が必須。
●価値観転換は可能か？
“恐怖を示すだけではなく、ロジックと数値”で説明しても理解がどれくらい進むか不明。
⇒既存システムをBCP型で構築しているが、それをNIST型に再構築するのは現実的ではないとして「簡単に対応できない」が言い訳にされそう。
⇒結果的に、日本はNIST的概念を理解し、対処に進むには相当な時間を要すると考える。
結論になるが、国家主導で進めないと、民間は判断できない難易度案件である。
オンチェーン（ブロックチェーン内処理）に対してオフチェーン（ブロックチェーン外処理）という言葉があるが、オフ型の場合は従来のサーバ構造のため、多くの方々は理解できるであろう。
ただ、ブロックチェーンという同期型処理の上位には「分散台帳というDLT」の構造があり、そもそもブロックチェーンはDLTの一つである。
そして、DLTの概念がオンチェーンかというと、そういうものではない。
なぜオンチェーンなのかというと、このチェーン構造による「同期特性」が重要だと認識しているのだが、それだとサイドチェーンやブリッジ（クロスチェーン）で処理する部分は同期されているのかというと、そうでもない。
このあたりの理解は面倒なのだが、その前によく聞かれるのが、前払式支払手段や資金移動、電子決済手段という日本語に対し、ステーブルコインがわかりにくいという話だ。
これは日本法の定義と、暗号分散というオンチェーン用語がごちゃ混ぜになっているのでわかりにくいのだと思う。
まず、日本法でまとめると、そもそも金融と非金融があり、金融の中では前払式支払手段が今までの中心で、〇〇ペイなどが該当している。
ただ、前払いだと現金に戻せないので、資金移動業の為替処理を組み合わせて現金化するという複雑な方法になっている。
それが最近出てきた電子決済手段（電決）を使うと、普通に現金化もできるようになる。
これらを発行できるのが銀行、信託銀行、資金移動業であり、その取引にかかわるのが電子決済等取引業（電取）と、これがわかりにくい。
この電決の部分をオンチェーン的に説明すると、ステーブルコインとなる。
このオンチェーン用語は、暗号資産（FT）、ステーブルコイン（SC）、証券トークン（ST）という形で、トークンかコインで表現される。
トークンは基本的に発行数固定、コインは発行数変動と定義したいのだが、このあたりも不確定で、そもそも暗号資産の説明としてコイン（カレンシー型）とトークン（アセット型）が設定されているという定義がある。
ただ、こうなると日本ではステーブルコインは暗号資産ではないとされているので、海外との認識ギャップが出てくる。
日本では電子決済手段はステーブルコインの一種として定義されているのだ。
暗号資産を非金融として定義すれば、電子決済手段は非暗号資産の金融になる。
このあたりの事情が言葉の定義をわかりにくくしている。
そもそも、日本ではセカンダリー部分を「取引」「交換」「譲渡」と使い分けている。
暗号資産「交換」業と電子決済等「取引」業、これらは少し違う概念なのだ。
つまり、この領域は整理が難しい。
そもそも、チェーンでもパーミッションドとパーミッションレスの違いがあるが同じ部分もあり、ウォレットでもカストディ型とそうではないノンカス型があるが、処理の構造は多様である。
つまり、これらを整理すると、トークン/コイン軸と、カストディ軸と、取引インフラ軸、そしてチェーン構成という４枠が様々に組み合わされる多次元構造になっている。
そして、日本において、これら４枠を確実に理解不能にしているのが、実は「暗号分散」そのものの概念である。
日本の特許で、欧米の外資企業が「オンチェーン的な分野に申請し特許を取得」している件数は120を超えてきたと思う。
対して、日本企業はどうかというと、大手金融機関でも殆ど特許は取得できていない。
特許では、取得された特許とは違う方法をみつければ対処できることも事実であるが、最近の人気分野で実際にオンチェーンの項目でその例外を見つけて対処するのは不可能に近いくらい、色々なものが出ている。
西本も外資に抵触しない無形権利など考案するが、非常に特殊な構造の基本特許を２～３個くらいもっていないと、応用特許あたりでは対処できない。
それでは、この特許出願が日本では少ない理由でもあるが、なぜ世界で日本が次世代金融領域の特許に対処できなくなったのかという理由は想定できる。
あくまで西本論になるが、通常のオフチェーン金融は、「①金融知識＋②法的知識＋③システム知識」の３つの深堀ができれば対処できるが、このオンチェーン金融は、その３要素に加えて「④サイバー防衛知識」が必要になる。
この④が実は「暗号分散」技術で、暗号という鍵処理と、分散構造、そして暗号の弱い部分をサポートする秘密分散などがある。
このブログでもデジタルシェルターの話をしているが、この④の領域に対処すると、サイバー防衛の応用が見えてくるわけで、オンチェーンの構造が見えてくるのだ。
そして、平和な日本では世界で最もサイバーセキュリティ技術が弱いことが、その結果としてオンチェーンが理解できないという話に繋がるのだと思っている。
なぜ、それが言えるかというと、西本も最初にチェーン構造の事業を設計するなかで、このサイバー防衛力の理解が必須であることを知り、それに想定外の時間を要してきたからだ。
多分、日本では簡単にはオンチェーン金融（海外ではオンチェーンファイナンスという）は、理解されないと思う。