4 травня повідомлення, приховане в абетці Морзе, допомогло запустити шестизначний крипто-переказ. Воно пройшло через дві зв'язані ШІ-системи. Однією був Grok Ілона Маска, чат-бот, побудований xAI Ілона Маска. Іншим був Bankrbot, крипто-агент, який міг робити платежі з прив'язаного гаманця.
Атакувальник спершу відправив гаманцю цифровий членський токен, що розблокував платіжні інструменти Bankr. Grok потім декодував повідомлення, і Bankrbot сприйняв відповідь як платіжний ордер. Він переказав, за оцінками, від $150 000 до $200 000.
Повідомлення абеткою Морзе стало шестизначним платежем
Отже, чому це тривожно? Тому що випадок підкреслює шестизначний експлойт, що залучає всього два ШІ-агенти. Один ШІ виробив текст. Інший сприйняв його як дозвіл витрачати.
Якщо подивитися на масштаб ШІ-агентних платежів сьогодні, такі сценарії могли б бути кошмаром для майбутнього агентних фінансів.
Keyrock нарахував 176 мільйонів ончейн-агентних платежів на $73 млн до квітня 2026 року. Медіанний платіж сидів між $0,01 і $0,10, тоді як 76% упали нижче $0,30. Дрібні платежі стають великою проблемою контролю, коли софт може робити їх безперервно.
Патерн рухається в мейнстримну платіжну інфраструктуру. Mastercard запустила Agent Pay for Machines у червні для високочастотних, малоцінних платежів, тоді як Google і Visa розробляють стандарти для агентів, щоб доводити ідентичність і повноваження.
BeInCrypto запитав Родріго Коельо, гендиректора Edge & Node; Нітіна Гаура, главу інституцій у Nethermind; і Франческо Андреолі, директора зі зв'язків із розробниками в MetaMask, хто несе ризик.
Коельо був прямий.
«Компанія, яка його розгорнула. Немає версії цього, де відповідальність приземляється на модель», — сказав Родріго Коельо, гендиректор розробника інфраструктури ШІ й Web3 Edge & Node.
Каліфорнія вже втілила цей принцип у закон. AB 316, що діє з січня, не дає відповідачу, який розробив, модифікував чи використав ШІ, аргументувати, що система автономно спричинила ймовірну шкоду. Причинність і передбачуваність усе ще мають значення.
Квитанція — не дозвіл
Ончейн-транзакція доводить, що гроші рухалися. Вона не доводить, що в агента був валідний мандат їх рухати.
«Більшість компаній, що розгортають агентів сьогодні, не могли б фактично довести, що їхньому агенту було дозволено робити. Вони можуть показати вам транзакцію. Вона сталася на ланцюзі, і запис публічний і постійний. Що вони не можуть вам показати — це дозвіл, що сидів за нею», — сказав Коельо.
Прогалини можуть включати, хто делегував повноваження, яка політика застосовувалася, яку інформацію агент прочитав і чи залишився платіж у його межах. Адреса гаманця не відповідає на жодне з цих питань.
Нітін Гаур із Nethermind сказав, що суперечка повертається на мандаті.
«Що вирішує суперечку — це доказ повноважень. Покажіть, що агент діяв усередині валідного, підписаного, обмеженого за часом мандата, і це розв'язується як будь-який інший авторизований платіж.»
AP2 від Google використовує криптографічно підписані мандати, щоб записувати намір користувача. Trusted Agent Protocol від Visa дозволяє схваленим агентам пред'являти цифрові підписи, що доводять ідентичність і пов'язану авторизацію.
Mastercard додає видачу облікових даних і програмно примушувані ліміти. Рейки різняться, але ціль дизайну розділяється: дозвіл має подорожувати з платежем.
Розмістіть ліміти там, де агент не може дотягнутися
Мандат усе ж провалюється, якщо агент може його переписати, схвалити власний запит чи тримати необмежену владу підпису. Коельо проводить межу на приватному ключі.
«Агент не повинен тримати ключі. Він має вміти пропонувати платіж, а окрема система вирішує, чи дозволений цей платіж», — сказав Коельо.
Франческо Андреолі з MetaMask робить те саме зауваження про промпти:
«Контролі, які працюють, — це ті, до яких агент не може дотягнутися; якщо ваша політика живе в промпті, це не політика, це пропозиція системі, яку ми неодноразово бачили умовляною на різні речі.»
На практиці це означає сегреговані кошти, жорсткі транзакційні й денні ліміти, схвалених контрагентів, швидку відзивність і протестований аварійний вимикач. Незалежна система перевіряє правила перед підписанням.
Інструменти, що живлять агентів, створюють ще один ризик. Snyk просканував 3984 публічні агентні навички у лютому й знайшов щонайменше одну проблему безпеки в 36,82%. Він підтвердив 76 шкідливих навантажень, що залучають крадіжку облікових даних, бекдори чи ексфільтрацію даних.
Гаур бачить промпт-ін'єкцію як домінуючий патерн: «Промпт-ін'єкція — домінуючий патерн: агент бере вказівку з недовіреного контенту, який його попросили прочитати, і виконує його, наче принципал попросив.»
Захисний аудиторський слід тому потребує ідентичності агента, підписаного мандата, версії політики, транзакції, вихідних даних і будь-якого схваленого винятку, записаних, коли відбувається платіж. Ланцюг надає одну частину.
Стандарт Гаура коротший: «Доказовий, відзивний і обмежений.»
Без цих властивостей компанії залишаються з незмінюваною квитанцією за рішення, яке вони не можуть захистити.
Джерело: BeInCrypto
