4 maja wiadomość ukryta w kodzie Morse'a pomogła wywołać transfer kryptowaluty w wysokości sześciu cyfr. Przeszła przez dwa połączone systemy AI. Jeden z nich to Grok Elona Muska, chatbot stworzony przez xAI Elona Muska. Drugi to Bankrbot, agent kryptowalutowy, który mógł dokonywać płatności z powiązanego portfela.
Napastnik najpierw wysłał portfelowi cyfrowy token członkowski, który odblokował narzędzia płatnicze Bankr. Grok następnie zdekodował wiadomość, a Bankrbot potraktował odpowiedź jako zlecenie płatności. Przesłał szacunkowo od 150 000 do 200 000 dolarów.
Wiadomość w kodzie Morse'a stała się płatnością w wysokości sześciu cyfr
Dlaczego to jest niepokojące? Ponieważ sprawa podkreśla wykorzystanie w wysokości sześciu cyfr z udziałem tylko dwóch agentów AI. Jeden AI wygenerował tekst. Drugi potraktował to jako pozwolenie na wydanie.
Jeśli spojrzymy na skalę płatności agentów AI dzisiaj, takie scenariusze mogą być koszmarem dla przyszłości Finansów Agentowych.
Keyrock policzył 176 milionów płatności agentów na łańcuchu o wartości 73 milionów dolarów do kwietnia 2026 roku. Mediana płatności wynosiła od 0,01 do 0,10 dolara, podczas gdy 76% mieściło się poniżej 0,30 dolara. Małe płatności stają się dużym problemem kontrolnym, gdy oprogramowanie może je wykonywać ciągle.
Wzór ten przenika do głównej infrastruktury płatniczej. Mastercard uruchomił Agent Pay for Machines w czerwcu dla płatności o wysokiej częstotliwości i niskiej wartości, podczas gdy Google i Visa opracowują standardy dla agentów, aby udowodnić tożsamość i autorytet.
BeInCrypto zapytał Rodrigo Coelho, CEO Edge & Node; Nitina Gaura, szefa instytucji w Nethermind; oraz Francesco Andreoliego, dyrektora ds. relacji z deweloperami w MetaMask, kto ponosi ryzyko.
Coelho był bezpośredni.
„Firma, która to wdrożyła. Nie ma wersji, w której odpowiedzialność spoczywa na modelu,” powiedział Rodrigo Coelho, CEO dewelopera infrastruktury AI i Web3 Edge & Node.
Kalifornia już wprowadziła tę zasadę w życie. AB 316, obowiązujące od stycznia, uniemożliwia oskarżonemu, który opracował, zmodyfikował lub używał AI, argumentowanie, że system autonomicznie spowodował rzekomą szkodę. Przyczynowość i przewidywalność wciąż mają znaczenie.
Paragon nie jest pozwoleniem
Transakcja on-chain dowodzi, że pieniądze zostały przetransferowane. Nie dowodzi, że agent miał ważne upoważnienie do ich przemieszczenia.
„Większość firm wdrażających agentów dzisiaj nie mogłaby faktycznie udowodnić, co ich agent miał prawo zrobić. Mogą pokazać ci transakcję. To się wydarzyło na łańcuchu, a zapis jest publiczny i trwały. Czego nie mogą ci pokazać, to pozwolenie, które stało za tym,” powiedział Coelho.
Luki mogą obejmować to, kto delegował władzę, która polityka miała zastosowanie, jakie informacje agent przeczytał i czy płatność pozostała w jej granicach. Adres portfela nie odpowiada na żadne z tych pytań.
Nitin Gaur z Nethermind powiedział, że spór opiera się na mandacie.
„To, co decyduje o sporze, to dowód autorytetu. Pokaż, że agent działał w ramach ważnego, podpisanego, ograniczonego czasowo mandatu, a to rozwiązuje sprawę jak każda inna autoryzowana płatność.”
AP2 Google'a wykorzystuje kryptograficznie podpisane mandaty do rejestrowania intencji użytkownika. Protokół Zaufanego Agenta Visa pozwala zatwierdzonym agentom przedstawiać podpisy cyfrowe potwierdzające tożsamość i powiązaną autoryzację.
Mastercard dodaje uwierzytelnianie i programowo egzekwowane limity. Tory różnią się, ale cel projektowy jest wspólny: zgoda musi podróżować z płatnością.
Umieść limity tam, gdzie agent nie ma dostępu
Mandat nadal jest nieważny, jeśli agent może go przepisać, zatwierdzić własne żądanie lub mieć nieograniczoną moc podpisu. Coelho wyznacza granicę na kluczu prywatnym.
„Agent nie powinien posiadać kluczy. Powinien być w stanie zaproponować płatność, a oddzielny system decyduje, czy ta płatność jest dozwolona,” powiedział Coelho.
Francesco Andreoli z MetaMask podkreśla ten sam punkt dotyczący komunikatów:
„Kontrole, które działają, to te, do których agent nie ma dostępu, jeśli twoja polityka znajduje się w komunikacie, to nie jest polityka, to sugestia dla systemu, który wielokrotnie obserwowaliśmy, jak wciąga się w różne rzeczy.”
W praktyce oznacza to wydzielone fundusze, twarde transakcje i dzienne limity, zatwierdzone strony transakcyjne, szybkie unieważnienie i przetestowany wyłącznik awaryjny. Niezależny system sprawdza zasady przed podpisaniem.
Narzędzia zasilające agentów stwarzają kolejne ryzyko. Snyk przeskanował 3,984 publicznych umiejętności agentów w lutym i znalazł przynajmniej jeden problem z bezpieczeństwem w 36,82%. Potwierdził 76 złośliwych ładunków związanych z kradzieżą poświadczeń, tylnymi drzwiami lub eksfiltracją danych.
Gaur postrzega wstrzykiwanie poleceń jako dominujący wzorzec: „Wstrzykiwanie poleceń jest dominującym wzorcem: agent przyjmuje instrukcje z nieufnej treści, którą poproszono go o przeczytanie i wykonuje je, jakby główny użytkownik o to poprosił.”
Obronny ślad audytowy wymaga zatem tożsamości agenta, podpisanego mandatu, wersji polityki, transakcji, danych źródłowych oraz wszelkich zatwierdzonych wyjątków, sporządzonych w momencie dokonania płatności. Łańcuch dostarcza jedną część.
Standard Gaur'a jest krótszy: „Dowodowy, odwołalny i ograniczony.”
Bez tych właściwości firmy pozostają z niezmiennym dowodem decyzji, której nie mogą obronić.
Źródło: BeInCrypto
