I lørdags hjalp en besked skjult i morsekode med at udløse en kryptooverførsel på over 100.000 dollars. Det foregik gennem to sammenkoblede AI-systemer. Det ene var Elon Musks Grok, chatbotten udviklet af Elon Musks xAI. Det andet var Bankrbot, en krypto-agent som kan foretage betalinger fra en tilknyttet wallet.
Angriberen sendte først wallet’en et digitalt medlemskabstoken, der låste Bankrs betalingsværktøjer op. Grok dekodede derefter beskeden, og Bankrbot behandlede svaret som en betalingsordre. Der blev overført anslået 150.000 til 200.000 dollars.
En morsekodebesked blev til en betaling på over 100.000 dollars
Hvorfor er det bekymrende? Fordi sagen fremhæver et markant udnyttelse kun med to AI-agenter. Den ene AI genererede tekst. Den anden opfattede det som tilladelse til at bruge penge.
Hvis vi kigger på omfanget af AI-agent-betalinger i dag, kan sådanne situationer blive et mareridt for fremtiden for Agentic Finance.
Keyrock talte 176 millioner on-chain-agent-betalinger til en samlet værdi af 73 millioner dollars frem til april 2026. Den typiske betaling lå mellem 0,01 og 0,10 dollar, mens 76% var under 0,30 dollar. Små betalinger bliver hurtigt et stort problem, når software kan foretage dem løbende.
Mønstret bevæger sig ind i traditionelle betalingssystemer. Mastercard introducerede Agent Pay for Machines i juni til hyppige betalinger af lav værdi, mens Google og Visa udvikler standarder for, hvordan agenter kan bevise identitet og bemyndigelse.
BeInCrypto spurgte Rodrigo Coelho, direktør for Edge & Node; Nitin Gaur, leder af institutter hos Nethermind; og Francesco Andreoli, direktør for udviklerrelationer hos MetaMask, hvem der bærer risikoen.
Coelho var meget klar.
“Virksomheden der har sat det i drift. Der findes ikke et scenarie, hvor ansvaret lander på modellen,” udtalte Rodrigo Coelho, direktør for AI og Web3-infrastrukturudvikleren Edge & Node.
Californien har allerede gjort det til lov. AB 316, som har været gældende siden januar, forhindrer en tiltalte, der har udviklet, ændret eller brugt AI, i at påstå, at systemet selvstændigt forårsagede det påståede tab. Årsagssammenhæng og forudsigelighed har stadig betydning.
Kvitteringen er ikke tilladelsen
En on-chain transaktion beviser, at penge har flyttet sig. Det beviser ikke, at agenten havde gyldig mandat til at gøre det.
“De fleste virksomheder, der bruger agenter i dag, kan faktisk ikke bevise, hvad agenten var bemyndiget til at gøre. De kan vise dig transaktionen. Den skete på en kæde, og posten er offentlig og permanent. Det de ikke kan vise dig, er tilladelsen bag,” sagde Coelho.
Der mangler svar på, hvem der gav bemyndigelsen, hvilken politik der gjaldt, hvilken information agenten læste, og om betalingen holdt sig inden for begrænsningerne. En wallet-adresse giver ingen af disse svar.
Nitin Gaur fra Nethermind fortalte, at tvisten afhænger af mandatet.
“Det, der afgør en tvist, er bevis for bemyndigelse. Hvis man kan vise, at agenten handlede inden for et gyldigt, underskrevet og tidsbegrænset mandat, løses det præcis som enhver anden godkendt betaling.”
Googles AP2 bruger kryptografisk signerede mandater til at registrere brugerens hensigt. Visas Trusted Agent Protocol lader godkendte agenter fremvise digitale signaturer for at bevise identitet og tilknyttet adgang.
Mastercard tilføjer kontrol af legitimationsoplysninger og systemstyrede begrænsninger. Teknologien bag er forskellig, men målet er det samme: Tilladelsen skal følge med betalingen.
Placer begrænsninger, hvor agenten ikke kan nå
Et mandat virker stadig ikke, hvis agenten kan omskrive det, godkende egne anmodninger eller har uindskrænket underskriftsret. Coelho sætter grænsen ved den private nøgle.
“Agenten bør ikke have nøglerne. Den skal kunne foreslå en betaling, men et separat system skal afgøre, om betalingen er tilladt,” sagde Coelho.
Francesco Andreoli fra MetaMask fremhæver det samme med hensyn til prompts:
“De kontroller, der virker, er dem agenten ikke kan tilgå. Hvis din politik står i prompten, er det ikke en politik, men blot et forslag til et system, vi igen og igen har set lade sig overtale.”
I praksis betyder det adskilte midler, hårde grænser for enkelte og daglige transaktioner, godkendte modparter, hurtig tilbagekaldelse og en testet nødstopfunktion. Et uafhængigt system tjekker reglerne, inden der underskrives.
De værktøjer, der forsyner agenter, skaber en ekstra risiko. Snyk undersøgte 3.984 offentlige agent-skills i februar og fandt mindst ét sikkerhedsproblem i 36,82%. De bekræftede 76 ondsindede payloads, som involverede tyveri af adgangsoplysninger, bagdøre eller datatyveri.
Gaur mener, at prompt-injektion er det mest udbredte mønster: “Prompt-injektion er det dominerende mønster: en agent modtager instrukser fra utroværdigt indhold, den blev bedt om at læse, og udfører det, som om principalen selv havde bedt om det.”
Et forsvarligt revisionsspor kræver derfor agentens identitet, underskrevet mandat, politikversion, transaktion, kilde-data og eventuelle godkendte undtagelser, nedskrevet når betalingen sker. Kæden står for en del af det.
Gaur’s standard er mere kortfattet: “Beviselig, tilbagekaldelig og afgrænset.”
Uden disse egenskaber står virksomheder tilbage med en uforanderlig kvittering for en beslutning, de ikke kan forsvare.
