OpenVM の暗号ライブラリに重大な証明検証バグ、AI 監査で発見

要約

セキュリティ企業 ZK Security が AI 監査ツール zkao で OpenVM のゲストライブラリ openvm-pairing をスキャンし、ペアリング等式検証を偽造できる重大な soundness バグを発見した。このバグは CVE-2026-46669 に割り当てられ OpenVM 1.6.0 で修正され、パートナー企業は既に対応版にアップグレード済みだという。従来の LLM による単純スキャンでは複雑な依存関係を持つ zkVM は検出できず、context engineering を施した zkao が 9.5 時間以上の走査で初めて有効な bug を抽出できた。AI の候補検出は人間チームが検証・exploit 可能性を確認した上で開示された。