Am 4. Mai half eine Nachricht, die im Morsecode versteckt war, einen sechsstelligen Krypto-Transfer auszulösen. Sie durchlief zwei verbundene KI-Systeme. Eines war Elon Musks Grok, der Chatbot, der von Elon Musks xAI entwickelt wurde. Das andere war Bankrbot, ein Krypto-Agent, der Zahlungen von einer verknüpften Brieftasche vornehmen konnte.
Der Angreifer sendete zunächst der Brieftasche ein digitales Mitgliedstoken, das die Zahlungstools von Bankr freischaltete. Grok entschlüsselte dann die Nachricht, und Bankrbot behandelte die Antwort als Zahlungsauftrag. Es übertrug geschätzte 150.000 bis 200.000 US-Dollar.
Eine Morse-Code-Nachricht wurde zu einer sechsstelligen Zahlung
Warum ist das besorgniserregend? Weil der Fall einen sechsstelligen Exploit zeigt, der nur zwei KI-Agenten involviert. Eine KI erzeugte Text. Eine andere behandelte ihn als Erlaubnis zum Ausgeben.
Wenn wir uns das Ausmaß der KI-agentischen Zahlungen heute ansehen, könnten solche Szenarien ein Albtraum für die Zukunft der agentischen Finanzen sein.
Keyrock zählte bis April 2026 176 Millionen On-Chain-Agentenzahlungen im Wert von 73 Millionen US-Dollar. Die mediane Zahlung lag zwischen 0,01 und 0,10 US-Dollar, während 76 % unter 0,30 US-Dollar fielen. Kleine Zahlungen werden zu einem großen Kontrollproblem, wenn Software sie kontinuierlich vornehmen kann.
Das Muster bewegt sich in die Mainstream-Zahlungsinfrastruktur. Mastercard startete im Juni Agent Pay for Machines für hochfrequente, niedrigwertige Zahlungen, während Google und Visa Standards entwickeln, damit Agenten Identität und Autorität nachweisen können.
BeInCrypto fragte Rodrigo Coelho, CEO von Edge & Node; Nitin Gaur, Leiter der Institutionen bei Nethermind; und Francesco Andreoli, Direktor für Entwicklerbeziehungen bei MetaMask, wer das Risiko trägt.
Coelho war direkt.
„Das Unternehmen, das es bereitgestellt hat. Es gibt keine Version davon, in der die Verantwortung beim Modell liegt“, sagte Rodrigo Coelho, der CEO des Entwicklers von AI- und Web3-Infrastruktur Edge & Node.
Kalifornien hat dieses Prinzip bereits in ein Gesetz umgesetzt. AB 316, das seit Januar in Kraft ist, verhindert, dass ein Beklagter, der KI entwickelt, modifiziert oder verwendet hat, argumentiert, dass das System autonom den angeblichen Schaden verursacht hat. Kausalität und Vorhersehbarkeit sind weiterhin wichtig.
Der Beleg ist nicht die Erlaubnis
Eine On-Chain-Transaktion beweist, dass Geld bewegt wurde. Sie beweist nicht, dass der Agent ein gültiges Mandat hatte, um es zu bewegen.
„Die meisten Unternehmen, die heute Agenten einsetzen, könnten tatsächlich nicht beweisen, was ihr Agent autorisiert war zu tun. Sie können Ihnen die Transaktion zeigen. Sie fand auf einer Kette statt und der Datensatz ist öffentlich und dauerhaft. Was sie Ihnen nicht zeigen können, ist die Erlaubnis, die dahinter stand“, sagte Coelho.
Lücken können beinhalten, wer die Autorität delegiert hat, welche Richtlinie galt, welche Informationen der Agent gelesen hat und ob die Zahlung innerhalb ihrer Grenzen blieb. Eine Wallet-Adresse beantwortet keine dieser Fragen.
Nitin Gaur von Nethermind sagte, dass der Streit auf dem Mandat beruht.
„Was einen Streit entscheidet, ist die Autorität des Beweises. Zeigen Sie, dass der Agent innerhalb eines gültigen, unterzeichneten, zeitlich begrenzten Mandats gehandelt hat, und dies löst sich wie jede andere autorisierte Zahlung auf.“
Google’s AP2 verwendet kryptografisch signierte Mandate, um die Absicht des Nutzers aufzuzeichnen. Visas Trusted Agent Protocol ermöglicht es genehmigten Agenten, digitale Signaturen vorzulegen, die Identität und zugehörige Autorisierung beweisen.
Mastercard fügt Credentialing und programmatisch durchgesetzte Grenzen hinzu. Die Rahmenbedingungen unterscheiden sich, aber das Designziel ist gemeinsam: Die Erlaubnis muss mit der Zahlung reisen.
Setzen Sie die Grenzen dorthin, wo der Agent nicht erreichen kann
Ein Mandat schlägt immer noch fehl, wenn der Agent es umschreiben, seine eigene Anfrage genehmigen oder uneingeschränkte Signaturrechte haben kann. Coelho zieht die Grenze beim privaten Schlüssel.
„Der Agent sollte die Schlüssel nicht halten. Er sollte in der Lage sein, eine Zahlung vorzuschlagen, und ein separates System entscheidet, ob diese Zahlung erlaubt ist“, sagte Coelho.
Francesco Andreoli von MetaMask macht denselben Punkt zu den Aufforderungen:
„Die Kontrollen, die funktionieren, sind die, die der Agent nicht erreichen kann. Wenn Ihre Richtlinie in der Aufforderung lebt, ist es keine Richtlinie, sondern ein Vorschlag an ein System, das wir wiederholt dazu beobachtet haben, in Dinge hineingeredet zu werden.“
In der Praxis bedeutet das segregierte Mittel, harte Transaktions- und Tageslimits, genehmigte Gegenparteien, schnelle Widerrufung und einen getesteten Kill-Switch. Ein unabhängiges System überprüft die Regeln vor der Unterzeichnung.
Die Werkzeuge, die Agenten füttern, schaffen ein weiteres Risiko. Snyk hat im Februar 3.984 öffentliche Agentenfähigkeiten gescannt und mindestens ein Sicherheitsproblem in 36,82 % gefunden. Es wurden 76 bösartige Payloads bestätigt, die mit Diebstahl von Anmeldeinformationen, Hintertüren oder Datenexfiltration zu tun haben.
Gaur sieht die Eingabeaufforderungsinjektion als das dominante Muster: „Eingabeaufforderungsinjektion ist das dominante Muster: Ein Agent nimmt Anweisungen aus nicht vertrauenswürdigem Inhalt entgegen, den er lesen sollte, und führt sie aus, als hätte der Hauptakteur darum gebeten.“
Ein verteidigbarer Prüfpfad benötigt daher die Identität des Agenten, das unterzeichnete Mandat, die Richtlinienversion, die Transaktion, die Quelldaten und jede genehmigte Ausnahme, die zum Zeitpunkt der Zahlung schriftlich festgehalten wird. Die Kette liefert einen Teil.
Gaur's Standard ist kürzer: „Nachweisbar, widerrufbar und begrenzt.“
Ohne diese Eigenschaften bleiben Unternehmen mit einem unveränderlichen Beleg für eine Entscheidung zurück, die sie nicht verteidigen können.
Quelle: BeInCrypto
