4 мая сообщение, скрытое в азбуке Морзе, помогло запустить шестизначный крипто-перевод. Оно прошло через две связанные ИИ-системы. Одной был Grok Илона Маска, чат-бот, построенный xAI Илона Маска. Другой был Bankrbot, крипто-агент, который мог делать платежи из привязанного кошелька.
Атакующий сначала отправил кошельку цифровой членский токен, разблокировавший платёжные инструменты Bankr. Grok затем декодировал сообщение, и Bankrbot воспринял ответ как платёжный ордер. Он перевёл, по оценкам, от $150 000 до $200 000.
Сообщение азбукой Морзе стало шестизначным платежом
Итак, почему это тревожно? Потому что случай подчёркивает шестизначный эксплойт, вовлекающий всего два ИИ-агента. Один ИИ произвёл текст. Другой воспринял его как разрешение тратить.
Если посмотреть на масштаб ИИ-агентных платежей сегодня, такие сценарии могли бы быть кошмаром для будущего агентных финансов.
Keyrock насчитал 176 миллионов ончейн-агентных платежей на $73 млн до апреля 2026 года. Медианный платёж сидел между $0,01 и $0,10, тогда как 76% упали ниже $0,30. Мелкие платежи становятся большой проблемой контроля, когда софт может делать их непрерывно.
Паттерн движется в мейнстримную платёжную инфраструктуру. Mastercard запустила Agent Pay for Machines в июне для высокочастотных, малоценных платежей, тогда как Google и Visa разрабатывают стандарты для агентов, чтобы доказывать идентичность и полномочия.
BeInCrypto спросил Родриго Коэльо, гендиректора Edge & Node; Нитина Гаура, главу институций в Nethermind; и Франческо Андреоли, директора по связям с разработчиками в MetaMask, кто несёт риск.
Коэльо был прям.
«Компания, которая его развернула. Нет версии этого, где ответственность приземляется на модель», — сказал Родриго Коэльо, гендиректор разработчика инфраструктуры ИИ и Web3 Edge & Node.
Калифорния уже воплотила этот принцип в закон. AB 316, действующий с января, не даёт ответчику, разработавшему, модифицировавшему или использовавшему ИИ, аргументировать, что система автономно вызвала предполагаемый вред. Причинность и предвидимость всё ещё имеют значение.
Квитанция — не разрешение
Ончейн-транзакция доказывает, что деньги двигались. Она не доказывает, что у агента был валидный мандат их двигать.
«Большинство компаний, развёртывающих агентов сегодня, не могли бы фактически доказать, что их агенту было разрешено делать. Они могут показать вам транзакцию. Она случилась на цепи, и запись публична и постоянна. Что они не могут вам показать — это разрешение, сидевшее за ней», — сказал Коэльо.
Пробелы могут включать, кто делегировал полномочия, какая политика применялась, какую информацию агент прочитал и остался ли платёж в его пределах. Адрес кошелька не отвечает ни на один из этих вопросов.
Нитин Гаур из Nethermind сказал, что спор поворачивается на мандате.
«Что решает спор — это доказательство полномочий. Покажите, что агент действовал внутри валидного, подписанного, ограниченного по времени мандата, и это разрешается как любой другой авторизованный платёж.»
AP2 от Google использует криптографически подписанные мандаты, чтобы записывать намерение пользователя. Trusted Agent Protocol от Visa позволяет одобренным агентам предъявлять цифровые подписи, доказывающие идентичность и связанную авторизацию.
Mastercard добавляет выдачу учётных данных и программно принуждаемые лимиты. Рельсы различаются, но цель дизайна разделяется: разрешение должно путешествовать с платежом.
Разместите лимиты там, где агент не может дотянуться
Мандат всё же проваливается, если агент может его переписать, одобрить собственный запрос или держать неограниченную власть подписи. Коэльо проводит границу на приватном ключе.
«Агент не должен держать ключи. Он должен уметь предлагать платёж, а отдельная система решает, разрешён ли этот платёж», — сказал Коэльо.
Франческо Андреоли из MetaMask делает то же замечание о промптах:
«Контроли, которые работают, — это те, до которых агент не может дотянуться; если ваша политика живёт в промпте, это не политика, это предложение системе, которую мы неоднократно видели уговариваемой на разные вещи.»
На практике это означает сегрегированные средства, жёсткие транзакционные и дневные лимиты, одобренных контрагентов, быструю отзываемость и протестированный аварийный выключатель. Независимая система проверяет правила перед подписанием.
Инструменты, питающие агентов, создают ещё один риск. Snyk просканировал 3984 публичных агентных навыка в феврале и нашёл как минимум одну проблему безопасности в 36,82%. Он подтвердил 76 вредоносных нагрузок, вовлекающих кражу учётных данных, бэкдоры или эксфильтрацию данных.
Гаур видит промпт-инъекцию как доминирующий паттерн: «Промпт-инъекция — доминирующий паттерн: агент берёт указание из недоверенного контента, который его попросили прочитать, и исполняет его, как будто принципал попросил.»
Защитимый аудиторский след поэтому нуждается в идентичности агента, подписанном мандате, версии политики, транзакции, исходных данных и любом одобренном исключении, записанных, когда происходит платёж. Цепь предоставляет одну часть.
Стандарт Гаура короче: «Доказуемый, отзываемый и ограниченный.»
Без этих свойств компании остаются с неизменяемой квитанцией за решение, которое они не могут защитить.
Источник: BeInCrypto
