Il 4 maggio, un messaggio nascosto in codice Morse ha aiutato a innescare un trasferimento di criptovaluta a sei cifre. È passato attraverso due sistemi AI connessi. Uno era Grok di Elon Musk, il chatbot costruito da xAI di Elon Musk. L'altro era Bankrbot, un agente crypto che poteva effettuare pagamenti da un portafoglio collegato.
L'attaccante ha prima inviato al portafoglio un token di adesione digitale che ha sbloccato gli strumenti di pagamento di Bankr. Grok ha quindi decifrato il messaggio e Bankrbot ha trattato la risposta come un ordine di pagamento. Ha trasferito un importo stimato tra $150.000 e $200.000.
Un Messaggio in Codice Morse è Diventato un Pagamento a Sei Cifre
Ora, perché questo è preoccupante? Perché il caso evidenzia uno sfruttamento a sei cifre che coinvolge solo due agenti AI. Un'AI ha prodotto testo. Un'altra lo ha trattato come permesso di spendere.
Se guardiamo alla scala dei pagamenti agentici AI oggi, tali scenari potrebbero essere un incubo per il futuro della Finanza Agente.
Keyrock ha conteggiato 176 milioni di pagamenti agentici on-chain per un valore di $73 milioni fino ad aprile 2026. Il pagamento mediano si attestava tra $0,01 e $0,10, mentre il 76% era al di sotto di $0,30. I piccoli pagamenti diventano un grande problema di controllo quando il software può effettuarli continuamente.
Il modello si sta spostando nell'infrastruttura di pagamento mainstream. Mastercard ha lanciato Agent Pay for Machines a giugno per pagamenti ad alta frequenza e basso valore, mentre Google e Visa stanno sviluppando standard per gli agenti per dimostrare identità e autorità.
BeInCrypto ha chiesto a Rodrigo Coelho, CEO di Edge & Node; Nitin Gaur, Head of Institutions di Nethermind; e Francesco Andreoli, Direttore delle Relazioni con gli Sviluppatori di MetaMask, chi si assume il rischio.
Coelho è stato diretto.
“L'azienda che l'ha implementato. Non esiste una versione in cui la responsabilità ricade sul modello,” ha detto Rodrigo Coelho, il CEO dello sviluppatore di infrastrutture AI e Web3 Edge & Node.
La California ha già messo questo principio nella legge. L'AB 316, in vigore da gennaio, impedisce a un imputato che ha sviluppato, modificato o utilizzato l'AI di sostenere che il sistema ha autonomamente causato il danno presunto. La causalità e la prevedibilità contano ancora.
La Ricevuta Non È il Permesso
Una transazione on-chain prova che il denaro è stato trasferito. Non prova che l'agente avesse un mandato valido per trasferirlo.
“La maggior parte delle aziende che oggi implementano agenti non potrebbe effettivamente dimostrare cosa fosse autorizzato a fare il loro agente. Possono mostrarti la transazione. È avvenuta su una catena e il record è pubblico e permanente. Ciò che non possono mostrarti è il permesso che c'era dietro,” ha detto Coelho.
Le lacune possono includere chi ha delegato l'autorità, quale politica si applicava, quali informazioni l'agente ha letto e se il pagamento è rimasto entro i suoi limiti. Un indirizzo di wallet non risponde a nessuna di queste domande.
Nitin Gaur di Nethermind ha detto che la disputa si basa sul mandato.
“Ciò che decide una disputa è la prova di autorità. Mostra che l'agente ha agito all'interno di un mandato valido, firmato e con scadenza, e questo si risolve come qualsiasi altro pagamento autorizzato.”
L'AP2 di Google utilizza mandati firmati crittograficamente per registrare l'intento dell'utente. Il Protocollo di Agente Fidato di Visa consente agli agenti approvati di presentare firme digitali che provano l'identità e l'autorizzazione associata.
Mastercard aggiunge credenziali e limiti applicati programmaticamente. Le infrastrutture differiscono, ma l'obiettivo di design è condiviso: il permesso deve viaggiare con il pagamento.
Metti i Limiti Dove l'Agente Non Può Raggiungere
Un mandato fallisce comunque se l'agente può riscriverlo, approvare la propria richiesta o detenere potere di firma illimitato. Coelho traccia il confine alla chiave privata.
“L'agente non dovrebbe detenere le chiavi. Dovrebbe essere in grado di proporre un pagamento, e un sistema separato decide se quel pagamento è consentito,” ha detto Coelho.
Francesco Andreoli di MetaMask fa lo stesso punto riguardo ai prompt:
“I controlli che funzionano sono quelli che l'agente non può raggiungere, se la tua politica vive nel prompt, non è una politica, è un suggerimento a un sistema che abbiamo ripetutamente visto convincere a fare cose.”
In pratica, ciò significa fondi segregati, limiti di transazione e giornalieri rigorosi, controparti approvate, revoca rapida e un kill switch testato. Un sistema indipendente verifica le regole prima di firmare.
Gli strumenti che alimentano gli agenti creano un altro rischio. Snyk ha scansionato 3.984 abilità pubbliche degli agenti a febbraio e ha trovato almeno un problema di sicurezza nel 36,82%. Ha confermato 76 payload malevoli che coinvolgono furto di credenziali, backdoor o esfiltrazione di dati.
Gaur vede l'iniezione di prompt come il modello dominante: “L'iniezione di prompt è il modello dominante: un agente prende istruzioni da contenuti non affidabili che gli è stato chiesto di leggere ed esegue come se il principale avesse chiesto.”
Pertanto, una catena di audit difendibile ha bisogno dell'identità dell'agente, del mandato firmato, della versione della politica, della transazione, dei dati sorgente e di qualsiasi eccezione approvata, scritta quando avviene il pagamento. La catena fornisce una parte.
Lo standard di Gaur è più breve: “Provabile, revocabile e limitato.”
Senza queste proprietà, le aziende si trovano con una ricevuta immutabile per una decisione che non possono difendere.
Fonte: BeInCrypto
