在5月4日，一条隐藏在摩尔斯电码中的消息帮助触发了一笔六位数的加密货币转账。它经过了两个连接的人工智能系统。一个是埃隆·马斯克的Grok，由埃隆·马斯克的xAI构建的聊天机器人。另一个是Bankrbot，一个可以从关联钱包进行支付的加密代理。
攻击者首先向钱包发送了一枚数字会员令牌，解锁了Bankr的支付工具。然后，Grok解码了消息，Bankrbot将响应视为支付指令。它转账了估计在150,000到200,000美元之间。
一条摩尔斯电码消息变成了六位数的支付
那么，这为什么令人担忧呢？因为这个案例突显了仅涉及两个人工智能代理的六位数漏洞。一个人工智能生成文本。另一个将其视为支出的许可。
如果我们看看今天人工智能代理支付的规模，这种情况可能会对代理金融的未来造成噩梦。
Keyrock统计到2026年4月，链上代理支付达到了1.76亿笔，价值7300万美元。中位支付在0.01美元到0.10美元之间，而76%的支付低于0.30美元。当软件可以持续进行小额支付时，小额支付会成为一个大的控制问题。
这种模式正在进入主流支付基础设施。万事达卡在6月推出了机器代理支付，用于高频、低价值的支付，而谷歌和维萨正在开发代理证明身份和权限的标准。
BeInCrypto询问了Edge & Node的首席执行官Rodrigo Coelho；Nethermind的机构负责人Nitin Gaur；以及MetaMask的开发者关系总监Francesco Andreoli，谁承担风险。
Coelho直言不讳。
“部署它的公司。没有任何版本的责任会落在模型上，”Rodrigo Coelho，Edge & Node的AI和Web3基础设施开发公司的首席执行官。
加利福尼亚州已经将这一原则写入法律。自一月生效的AB 316法案，禁止开发、修改或使用AI的被告辩称该系统自主造成了所指控的伤害。因果关系和可预见性仍然重要。
收据不是许可
链上交易证明了资金的流动。它并不能证明代理人有有效的授权去移动资金。
“今天大多数部署代理的公司实际上无法证明他们的代理被授权做什么。他们可以向你展示交易。它发生在链上，记录是公开和永久的。但他们无法向你展示背后的许可，”Coelho说。
缺口可能包括谁委托了权力，适用的政策是什么，代理人读取了什么信息，以及支付是否在其限制内。一个钱包地址无法回答这些问题。
Nethermind 的 Nitin Gaur 表示，争议的关键在于授权。
“决定争议的是权威证据。展示代理人在有效的、签署的、时间限制的授权范围内行事，这就像任何其他授权支付一样解决。”
谷歌的 AP2 使用加密签名的授权来记录用户意图。Visa 的可信代理协议允许经过批准的代理提供证明身份和相关授权的数字签名。
万事达卡增加了凭证和程序化强制限制。虽然轨道不同，但设计目标是共享的：权限必须与支付一起传递。
将限制放在代理无法触及的地方
如果代理可以重写授权、批准自己的请求或拥有无限制的签名权，授权仍然会失败。Coelho 将边界划定在私钥处。
“代理不应该持有密钥。它应该能够提出支付请求，而一个独立的系统决定该支付是否被允许，”Coelho 说。
MetaMask 的 Francesco Andreoli 对提示提出了同样的观点：
“有效的控制是代理无法触及的，如果你的政策存在于提示中，那就不是政策，而是对我们反复看到被说服的系统的建议。”
在实践中，这意味着隔离资金、严格的交易和每日限制、批准的交易对手、快速撤销和经过测试的紧急停止开关。一个独立的系统在签名之前检查规则。
喂养代理的工具创造了另一个风险。Snyk 在二月份扫描了 3,984 个公共代理技能，发现 36.82% 至少存在一个安全问题。它确认了 76 个涉及凭证盗窃、后门或数据外泄的恶意负载。
Gaur 认为提示注入是主要模式：“提示注入是主要模式：代理从被要求读取的不可信内容中获取指令，并像主要方请求一样执行它。”
因此，一个可辩护的审计轨迹需要代理身份、签署的授权、政策版本、交易、源数据以及任何在付款时书写的批准例外。链条提供了一个部分。
Gaur 的标准更简短：“可证明、可撤销和有限。”
没有这些属性，公司将面临无法辩护的不可变决策收据。
来源：BeInCrypto
