多くの暗号資産交換業者やWeb3プロジェクトでは、依然として「If-Thenルール」に基づいた監視が主流です。例えば「1時間に10回以上の送金があったらアラート」「単一アドレスから100ETH以上の移動があったらアラート」といった設定です。シンプルで分かりやすい反面、この手法には構造的な欠陥があります。皆さんのプロジェクトでも、膨大な誤検知アラートに悩まされてはいないでしょうか？
なぜ従来のルールベース監視では不正を見逃すのか
閾値設定の限界と「いたちごっこ」の構造
最大の問題点は、攻撃者がルールの裏をかくのが容易であるという点に尽きます。
例えば、取引所において「1万ドル以上の送金を監視」というルールを設定したと仮定します。すると、不正行為者は「9,900ドル」の送金を繰り返す「スマーフィング（Smurfing）」や「ストラクチャリング」と呼ばれる手法で、いとも簡単に監視網をすり抜けます。これに対抗しようと閾値を下げれば、今度は一般ユーザーの正常な取引までアラートに引っかかり、コンプライアンス担当者の業務を圧迫してしまいます。
さらに、ウォッシュトレード（仮装売買）のような市場操作は、単一の取引だけを見ていても判別できません。複数のアカウントが連携し、複雑なネットワークの中で資産を循環させる「レイヤリング」のような手口は、単純な閾値ルールでは捕捉不可能なのです。
AI導入がもたらす「未知の予兆」検知という転換
ここで、AI、特に機械学習のアプローチが力を発揮します。ルールベースが「指名手配犯の顔写真（既知の不正パターン）」を持って検問するようなものだとすれば、AIによるアノマリー検知は「街の人の流れ（正常な振る舞い）」を熟知し、「なんとなく挙動がおかしい人」を見つけ出すアプローチと言えます。
AIは、「何が不正か」を定義するのではなく、「何が正常か」を学習します。そのため、これまでに見たことのない新種の手口であっても、「普段の正常なパターンから逸脱している」という理由で検知が可能になります。これこそが、AI導入の最大のメリットであり、いたちごっこを終わらせる鍵なのです。
本記事で構築する検知システムの全体像
今回目指すのは、人間の仕事を奪う完全自動化システムではありません。AIが膨大なトランザクションの中から「違和感のある取引」を高精度にスコアリングし、人間の専門家が最終判断を下すためのHuman-in-the-loop（人間とAIの協働）システムです。
それでは、具体的な構築ステップに入っていきましょう。まずは手を動かし、プロトタイプをイメージしながら読み進めてみてください。
準備編：検知に必要なデータの定義と整形
AIモデルの性能は、アルゴリズムの良し悪しよりも「データの質」で8割決まると言われています。暗号資産の不正検知において、単にブロックチェーン上のデータを流し込むだけでは不十分です。
オンチェーンデータとオフチェーンデータの統合
まず取り組むべきは、データソースの統合です。ブロックチェーン上のデータ（オンチェーンデータ）は透明性が高いですが、それだけでは「誰が」操作しているかが見えません。
- オンチェーンデータ: トランザクションハッシュ、送金元・送金先アドレス、金額、ガス代、タイムスタンプ
- オフチェーンデータ: ユーザーのログインIPアドレス、デバイス情報、KYC（本人確認）情報、取引所の板情報（Order Book）
これらをユーザーIDやセッションIDで紐づけることで、初めて文脈が見えてきます。例えば、「普段は日本からアクセスしているユーザーが、突然海外IP経由で、過去の平均取引額の100倍の資金を、ブラックリストに近いアドレスへ送金しようとしている」といった状況は、両方のデータを合わせることで初めて浮かび上がります。
ここで重要になるのがデータガバナンスの視点です。オフチェーンデータには個人情報が含まれるため、適切な匿名化やアクセス制御を設計段階から組み込む必要があります。データの品質とセキュリティを両立させる基盤があってこそ、AIは真価を発揮します。
特徴量エンジニアリング：何が「怪しさ」の指標か
AIに学習させるための指標を「特徴量（Feature）」と呼びます。生のデータをそのまま使うのではなく、不正を示唆するような指標に加工する工程が重要です。
過去の事例で特に有効だと考えられる特徴量には、以下のようなものがあります：
- 時間的集中度: 短時間（例：1分間）における取引回数や総額。
- 価格乖離率: その取引の成立価格が、市場平均価格からどれだけ乖離しているか（ウォッシュトレードの検知に有効）。
- ネットワーク中心性: 送金グラフを描いた際、そのアドレスがどれだけハブ（中心）として機能しているか。
- ファン・イン/ファン・アウト比率: 多数のアドレスから資金を集めているか（ファン・イン）、多数へ分散させているか（ファン・アウト）。
データセットの分割：学習用と検証用
モデルを学習させる際は、データを「学習用（Train）」と「検証用（Test）」に分けます。ここで非常に重要なポイントがあります。それは、学習用データには極力「正常なデータ」のみを含めることです。
アノマリー検知は「正常」を学習し、そこから外れたものを「異常」とみなす手法です。もし学習データにノイズ（不正データ）が混じっていると、モデルが「不正も正常の一部だ」と誤認してしまうリスクがあるからです。過去の監査で「白」と判定された期間のデータを使うのが定石です。
ステップ1：アノマリー検知モデルの選定と学習
データが準備できたら、いよいよモデルの選定です。ここで多くのプロジェクトがつまずきます。「最新のディープラーニングを使えばいい」と安易に考えがちですが、目的に合った手法を選ぶ必要があります。技術の本質を見極め、最短距離でビジネス価値を生む選択をしましょう。
なぜ「教師あり学習」ではなく「教師なし学習」なのか
AI開発には大きく分けて「教師あり学習」と「教師なし学習」があります。
- 教師あり学習: 「これが不正データです」という正解ラベル付きのデータを学習させる。
- 教師なし学習: 正解ラベルなしで、データの構造やパターンを学習させる。
不正検知の分野では、圧倒的に「教師なし学習（Unsupervised Learning）」が推奨されます。理由はシンプルで、「不正データが極端に少ないから」です。全取引のうち不正は0.1%にも満たないことが多く、さらに手口は日々進化します。過去の不正パターンだけを学習させても、明日やってくる新しい攻撃は防げません。
Isolation ForestとAutoencoderの使い分け
では、具体的にどのアルゴリズムを使うべきか。実務でよく使われる2つの代表選手を紹介します。
1. Isolation Forest（アイソレーション・フォレスト）
「孤立の森」という名の通り、データをランダムに分割していき、「他と違って孤立しやすいデータ」を異常とみなす手法です。
- メリット: 計算が高速で、大量のデータを扱いやすい。異常値が極端に少ない場合に高い性能を発揮する。
- デメリット: データの関係性が複雑すぎる場合、精度が落ちることがある。
2. Autoencoder（オートエンコーダ）
ディープラーニングの一種です。入力データを一度圧縮し、再構築（復元）します。正常データで学習させると、正常な取引は綺麗に復元できますが、異常な取引はうまく復元できず、エラー（再構成誤差）が大きくなります。
- メリット: 複雑な非線形な関係性を学習できる。
- デメリット: 計算コストが高く、モデルの調整（チューニング）が難しい。
推奨: まずはIsolation Forestから始めることを強くお勧めします。実装が比較的容易で、ブラックボックス化しにくく、「なぜ異常と判定されたか」の説明もしやすいからです。まずはこれでベースラインとなるプロトタイプを作り、精度が頭打ちになったらAutoencoderなどの深層学習モデルを検討する、という段階的かつアジャイルなアプローチが最もリスクが低いと考えられます。また、初期のモデル選定やハイパーパラメータの調整には、自動機械学習（AutoML）ツールを活用することで、検証サイクルを劇的に高速化できます。
正常な取引パターンの学習プロセス
Isolation Forestを用いる場合、過去数ヶ月分の「正常と思われる取引データ」をモデルに読み込ませます。モデルは「通常の送金頻度はこのくらい」「通常のアドレス間の距離はこのくらい」といった分布を学習します。
この段階では、まだアラートは出しません。まずはモデルが算出した「異常スコア」の分布を確認し、正常な取引がどの程度のスコアに収まるかをじっくり観察することから始めます。実際にどう動くかを確認することが、次のステップへの確かな足場となります。
ステップ2：スコアリングとアラート閾値の最適化
モデルは「これは不正だ！」とは言ってくれません。出力されるのは「異常スコア（Anomaly Score）」という0から1（または0から100）の数値だけです。これを業務で使えるアラートに変換するのが、人間の仕事です。
異常スコア（Anomaly Score）の算出ロジック
Isolation Forestの場合、スコアが1に近いほど異常度が高く、0.5以下なら正常とみなされます。しかし、この数値をそのまま鵜呑みにしてはいけません。ビジネスのリスク許容度に合わせて解釈する必要があります。
運用負荷を考慮した閾値チューニング
ここで重要な概念がPrecision（適合率）とRecall（再現率）のトレードオフです。
- Precision重視: アラートが鳴ったら、それが本当に不正である確率を高める。（誤検知を減らす＝担当者は楽になるが、見逃しが増える）
- Recall重視: 実際の不正をどれだけ網羅して検知できたか。（見逃しを減らす＝安全だが、誤検知が増えて担当者が疲弊する）
コンプライアンス業務においては、見逃し（False Negative）が致命的なリスクとなるため、基本的にはRecallを重視しつつ、オペレーションが破綻しないギリギリのラインでPrecisionを確保することになります。
例えば、「スコア0.8以上は即時凍結」「0.6〜0.8は担当者による目視確認」「0.6未満はスルー」といった具合に、段階的な閾値を設けるのが現実的です。ゲーム開発におけるリソース最適化の考え方と同様に、限られた処理能力（人的リソース）をどこに集中させるかが鍵となります。
アラートの優先順位付け（トリアージ）設計
すべてのアラートを同じ緊急度で扱う必要はありません。異常スコアに加えて、取引金額や関与するアドレスのリスクランク（OFAC制裁リストとの照合など）を組み合わせ、「総合リスクスコア」を算出します。
ダッシュボード上では、このリスクスコアが高い順にアラートを表示させます。これにより、限られた人的リソースを「最もリスクの高い事案」に集中させることができます。アラートの数自体を減らすのではなく、見るべき順番を整理するのです。経営者視点で見れば、リソースの最適配分こそが重要です。皆さんの組織では、リスクの優先順位付けは明確に定義されているでしょうか？
ステップ3：オペレーションへの統合と継続的改善
モデルの構築はゴールではなく、スタートラインに過ぎません。AIシステムを実際の業務フローへシームレスに組み込み、継続的に価値を生み出す状態へと育てるプロセス、すなわちMLOps（Machine Learning Operations）の確立こそがプロジェクトの成否を分けます。
ダッシュボードによる可視化と審査フロー
調査担当者（アナリスト）が利用するインターフェースには、単なる「異常スコア」の表示だけでは不十分です。意思決定を支援するためには、「なぜAIがその取引を異常と判断したのか」という根拠を提示する「説明可能なAI（XAI）」の実装が不可欠です。
例えば、「過去の取引パターンと比べて送金頻度が500%突出している」「ブラックリストと関連性の高いアドレス群との相互作用が検出された」といった具体的な要因（寄与度）の可視化が求められます。さらに最新のトレンドでは、単一のモデルによる要約にとどまらず、複数のAIエージェントが協調するアプローチが注目されています。
たとえば、xAIが提供するGrokなどの最新モデルでは、情報収集、論理検証、多角的な視点からの分析を担当する複数のエージェントが並列稼働し、互いの出力を議論・統合する「マルチエージェントアーキテクチャ」が採用されています。不正検知のダッシュボードにおいても、こうした高度な自己修正機能や多角的な検証プロセスを応用し、より正確で説得力のある根拠を自然言語で提示する仕組みが有効です。理由が明確なアラートは、担当者の心理的負担を軽減し、初動対応の迅速化に直結します。
フィードバックループ：人間の判断をAIに再学習させる
AI運用の核心は、人間とAIの高度な協調サイクルにあります。担当者がアラートを審査し、「これは実際に不正だった（True Positive）」「これは誤検知だった（False Positive）」と判定した結果は、次世代モデルを育成するための貴重な教師データとなります。この判定結果をシステムへ確実にフィードバックする仕組みの構築が必須です。
ここでDevOpsの知見が活きてきます。ソフトウェア開発におけるCI/CD（継続的インテグレーション/継続的デリバリー）のパイプラインと同様に、蓄積されたフィードバックデータを基にモデルを自動的かつ安全に再学習・デプロイする仕組みを構築することが重要です。特に「AIが異常と判断したが、人間が正常と判断した」という境界線上のデータを重点的に学習させるアプローチは、現場の疲弊を招く誤検知（False Positive）を劇的に削減するための最も効果的な手段です。
モデルの陳腐化を防ぐ定期的な再評価
暗号資産や金融市場は極めて流動的です。市場トレンドや攻撃手法の巧妙化に伴い、「正常な取引パターン」の定義自体が時間とともに変化していきます。データサイエンスの領域では、これをConcept Drift（コンセプトドリフト）と呼びます。
例えば、新たなDeFiプロトコルの台頭やクロスチェーン取引の普及により、以前は異常値とされた「高頻度の小額決済」や「複雑なスマートコントラクト操作」が、正常な経済活動として定着するケースは珍しくありません。モデルの検知精度を維持するためには、データ分布の変化を常時監視し、市場環境が大きく変動したタイミングや定期的なサイクルでモデルの性能評価と再学習を実行する明確な運用ルールを定めておく必要があります。
まとめ：AIは「監視の自動化」ではなく「判断の高度化」を実現する
ここまで、AIを活用した不正検知システムの実装ロードマップについて考察してきました。
- ルールベースの限界を理解する: 既知のパターンだけでなく、未知の予兆を「教師なし学習」で捉える。
- データを統合する: オンチェーンデータとオフチェーン情報を紐づけ、取引の文脈を深く理解する。
- スモールスタート: 軽量で解釈性の高いモデルから着手し、運用しながら高度化する。
- 人間とAIの協働: フィードバックループを回し、MLOpsのサイクルを通じてモデルを進化させ続ける。
AIを導入したからといって、コンプライアンス担当者の業務がゼロになるわけではありません。しかし、AIは膨大なトランザクションの中から「砂漠の針」を見つけ出す単純作業から人間を確実に解放します。その結果、人間は「見つかった針がなぜ危険なのか、どう対処すべきか」を分析する高度な判断業務に貴重なリソースを集中できるようになります。
35年以上の開発現場で培った知見から言えることは、技術は常に「現場の課題を解決するための手段」であるということです。組織が日々の誤検知アラートの処理に忙殺され、本来向き合うべきリスク管理の本質がおろそかになっているのであれば、AIという強力なパートナーを迎え入れ、監視体制を次世代型へと進化させる絶好のタイミングだと言えます。まずは小さなプロトタイプから、確実な一歩を踏み出してみてはいかがでしょうか。
コメント