Am 4. Mai half eine versteckte Nachricht im Morsealphabet dabei, eine Krypto-Überweisung im sechsstelligen Bereich auszulösen. Dabei wurden zwei verbundene KI-Systeme verwendet. Das eine war Grok, ein Chatbot von Elon Musks xAI. Das andere war Bankrbot, ein Krypto-Agent, der Zahlungen von einer verbundenen Wallet senden konnte.
Der Angreifer schickte der Wallet zunächst ein digitales Mitgliedstoken, das die Zahlungstools von Bankr freischaltete. Grok entschlüsselte die Nachricht und Bankrbot wertete die Antwort als Zahlungsanweisung. Anschließend hat der Bot etwa 150.000 bis 200.000 USD überwiesen.
Eine Morse-Code-Nachricht löste eine sechsstellige Zahlung aus
Warum ist das problematisch? Der Fall zeigt einen Angriff im sechsstelligen Bereich mit nur zwei KI-Agenten. Eine KI erzeugte Text, die andere nutzte diesen als Erlaubnis für eine Zahlung.
Wenn wir auf den Umfang von KI-Agenten-Zahlungen heute schauen, sehen wir, dass solche Szenarien eine Gefahr für die Zukunft des automatisierten Finanzwesens darstellen könnten.
Keyrock zählte 176 Millionen On-Chain-Agenten-Zahlungen mit einem Volumen von 73 Millionen USD bis April 2026. Die mittlere Zahlung lag zwischen 0,01 und 0,10 USD, und 76% lagen unter 0,30 USD. Kleine Zahlungen werden zu einem großen Kontrollproblem, wenn Software sie kontinuierlich ausführen kann.
Das Volumen der Agenten-Zahlungen ist hoch, obwohl die einzelnen Zahlungen sehr gering sind. Quelle: Keyrock Dieses Muster wird Teil der Mainstream-Zahlungsinfrastruktur. Mastercard hat Anfang Juni Agent Pay for Machines eingeführt für Zahlungen mit hoher Frequenz und geringem Wert. Google und Visa entwickeln zudem Standards, damit Agenten Identität und Befugnisse nachweisen können.
BeInCrypto hat Rodrigo Coelho, CEO von Edge & Node, Nitin Gaur, Leiter Institutionen bei Nethermind, und Francesco Andreoli, Director of Developer Relations bei MetaMask gefragt, wer das Risiko trägt.
Coelho war klar in seiner Aussage.
„Das Unternehmen, das es eingesetzt hat. In keinem Fall liegt die Verantwortung beim Modell“, sagte Rodrigo Coelho, CEO des KI- und Web3-Infrastrukturunternehmens Edge & Node.
Kalifornien hat diesen Grundsatz bereits gesetzlich verankert. AB 316 gilt seit Januar. Das Gesetz verhindert, dass ein Angeklagter, der KI entwickelt, verändert oder genutzt hat, behaupten kann, das System selbst habe den Schaden verursacht. Dennoch bleiben Kausalität und Vorhersehbarkeit entscheidend.
Die Quittung ist nicht die Berechtigung
Eine Transaktion auf der Blockchain zeigt, dass Geld bewegt wurde. Sie beweist jedoch nicht, dass der Agent eine gültige Erlaubnis für die Überweisung hatte.
„Die meisten Unternehmen, die heute Agenten einsetzen, könnten nicht wirklich darstellen, was ihr Agent ausführen durfte. Sie können die Transaktion nachweisen, denn sie fand auf der Blockchain statt und der Nachweis ist öffentlich sowie dauerhaft. Was sie jedoch nicht zeigen können, ist die dahinterstehende Erlaubnis“, sagte Coelho.
Lücken betreffen, wer die Befugnis übertragen hat, welche Richtlinie galt, welche Informationen der Agent gelesen hat und ob die Zahlung im Rahmen der Vorgaben blieb. Eine Wallet-Adresse beantwortet keine dieser Fragen.
Nitin Gaur von Nethermind erklärte, dass sich der Streitpunkt um das Mandat dreht.
„Im Streitfall entscheidet der Nachweis der Befugnis. Weisen Sie nach, dass der Agent im Rahmen eines gültigen, signierten und zeitlich begrenzten Mandats gehandelt hat, dann wird die Angelegenheit wie jede andere genehmigte Zahlung gelöst.“
Googles AP2 nutzt kryptografisch signierte Mandate, um den Nutzerwunsch festzuhalten. Das Trusted Agent Protocol von Visa ermöglicht es zugelassenen Agenten, digitale Signaturen vorzulegen, um die Identität sowie die zugehörige Freigabe zu belegen.
Mastercard ergänzt dies durch Berechtigungen und programmatische Grenzen. Die technischen Ansätze unterscheiden sich, das Ziel ist jedoch dasselbe: Die Befugnis muss mit der Zahlung verknüpft werden.
Setzen Sie die Grenzen außerhalb der Reichweite des Agenten
Ein Mandat ist wirkungslos, wenn der Agent es abändern, seine eigenen Anfragen genehmigen oder uneingeschränkt unterzeichnen darf. Coelho zieht die Grenze beim privaten Schlüssel.
„Der Agent sollte die Schlüssel nicht besitzen. Er darf eine Zahlung vorschlagen, aber ein unabhängiges System entscheidet, ob diese Zahlung zulässig ist“, so Coelho.
Francesco Andreoli von MetaMask betont dasselbe bei Prompts:
„Die Kontrollen, die wirken, sind diejenigen, an die der Agent nicht herankommt. Leben die Regeln nur im Prompt, ist das keine Richtlinie, sondern lediglich eine Anregung an ein System, das schon oft zu Dingen überredet wurde.“
Das bedeutet in der Praxis: Getrennte Gelder, feste Transaktions- und Tageslimits, zugelassene Gegenparteien, schnelle Entziehungsmöglichkeiten sowie einen getesteten Notausschalter. Ein unabhängiges System kontrolliert die Regeln vor der Unterzeichnung.
Die Werkzeuge, die sogenannten Feeding Agents nutzen, bringen ein weiteres Risiko mit sich. Snyk hat im Februar 3.984 öffentliche Agent Skills untersucht und festgestellt, dass mindestens ein Sicherheitsproblem in 36,82 % der Fälle vorkam. Es wurden zudem 76 schädliche Nutzlasten bestätigt, bei denen Zugangsdaten gestohlen, Backdoors eingebaut oder Daten abgeflossen sind.
Snyk fand Sicherheitsprobleme bei einem großen Teil öffentlicher Agent Skills. Quelle: Snyk ToxicSkills Forschung Gaur sieht Prompt Injection als das vorherrschende Muster: „Prompt Injection ist das vorherrschende Muster: Ein Agent erhält Anweisungen aus nicht vertrauenswürdigen Inhalten, die er lesen soll, und führt diese so aus, als hätte der Auftraggeber sie gegeben."
Daher braucht eine überprüfbare Dokumentation die Agenten-Identität, eine unterschriebene Erlaubnis, die aktuelle Version der Richtlinie, die jeweilige Transaktion, Ursprungsdaten und jede genehmigte Ausnahme, die dokumentiert wird, wenn eine Zahlung erfolgt. Die Blockchain liefert einen Teil davon.
Gaur fasst es kürzer zusammen: „Nachweisbar, widerrufbar und begrenzt."
Ohne diese Eigenschaften bleibt Unternehmen lediglich ein nicht veränderbarer Nachweis einer Entscheidung, für die sie keine Verteidigung haben.
Lesen Sie die Originalgeschichte Wer haftet, wenn ein KI-Agent Ihr Geld verliert? von Mohammad Shahid auf de.beincrypto.com