Il 4 maggio, un messaggio nascosto in codice Morse ha contribuito a innescare un trasferimento crypto a sei cifre. È passato attraverso due sistemi AI collegati. Uno era Grok, il chatbot creato da Elon Musk tramite xAI. L'altro era Bankrbot, un agente crypto in grado di effettuare pagamenti da un wallet collegato.
L'attaccante ha inizialmente inviato al wallet un token di membership digitale che sbloccava gli strumenti di pagamento di Bankr. Grok ha poi decodificato il messaggio e Bankrbot ha considerato la risposta come un ordine di pagamento. Ha trasferito una cifra stimata tra 150.000 e 200.000 dollari.
Un messaggio in codice Morse diventa un pagamento a sei cifre
Perché questa situazione è preoccupante? Perché il caso mette in luce un exploit a sei cifre che coinvolge solo due agenti AI. Una AI ha generato del testo. Un'altra lo ha interpretato come permesso di spendere.
Se osserviamo la portata dei pagamenti agentici AI di oggi, questi scenari potrebbero rappresentare un incubo per il futuro della Agentic Finance.
Keyrock ha contato 176 milioni di pagamenti on-chain degli agenti per un valore totale di 73 milioni di dollari fino ad aprile 2026. Il pagamento mediano si aggira tra 0,01 e 0,10 dollari, mentre il 76% è inferiore a 0,30 dollari. Pagamenti piccoli possono diventare un grande problema di controllo quando il software può effettuarli in continuo.
Il volume dei pagamenti gestiti dagli agenti è elevato, nonostante i singoli pagamenti restino molto piccoli. Fonte: Keyrock Il modello si sta spostando anche verso l’infrastruttura di pagamento tradizionale. Mastercard ha lanciato Agent Pay for Machines a giugno per i pagamenti ad alta frequenza e basso valore, mentre Google e Visa stanno sviluppando standard perché gli agenti possano dimostrare identità e autorità.
BeInCrypto ha chiesto a Rodrigo Coelho, CEO di Edge & Node; Nitin Gaur, Head of Institutions di Nethermind; e Francesco Andreoli, Director of Developer Relations di MetaMask, su chi ricada il rischio.
Coelho è stato diretto.
“L’azienda che l’ha sviluppata. Non esiste una versione di questa storia in cui la responsabilità ricade sul modello,” afferma Rodrigo Coelho, CEO dello sviluppatore di infrastruttura AI e Web3 Edge & Node.
La California ha già trasformato questo principio in legge. AB 316, attivo da gennaio, impedisce a un imputato che abbia sviluppato, modificato o usato AI di sostenere che il sistema abbia causato autonomamente il danno. Causalità e prevedibilità restano comunque importanti.
La ricevuta non equivale al permesso
Una transazione on-chain dimostra che il denaro è stato spostato. Non prova che l’agente avesse un mandato valido per muoverlo.
“La maggior parte delle aziende che oggi implementano agenti non sarebbe in grado di provare cosa il proprio agente fosse autorizzato a fare. Possono mostrarti la transazione. È avvenuta su una blockchain e la traccia è pubblica e permanente. Quello che non possono mostrarti è il permesso che c’era dietro,” afferma Coelho.
Le lacune possono riguardare chi abbia delegato l’autorità, quale policy fosse applicata, quali informazioni l’agente abbia letto e se il pagamento sia rimasto entro i limiti previsti. Un indirizzo wallet non risponde a nessuno di questi quesiti.
Nitin Gaur di Nethermind sostiene che la controversia dipende dal mandato.
“Ciò che decide una controversia è la prova dell’autorità. Se dimostri che l’agente ha agito secondo un mandato valido, firmato e limitato nel tempo, la questione si risolve come qualsiasi altro pagamento autorizzato.”
L’AP2 di Google usa mandati firmati crittograficamente per registrare l’intenzione dell’utente. Il Trusted Agent Protocol di Visa consente agli agenti approvati di presentare firme digitali che attestano identità e autorizzazione associate.
Mastercard aggiunge la gestione delle credenziali e limiti imposti in modo programmato. Le infrastrutture sono diverse, ma l'obiettivo progettuale è lo stesso: il permesso deve accompagnare il pagamento.
Metti i limiti dove l’agente non può arrivare
Anche un mandato può fallire se l’agente può modificarlo, approvare le proprie richieste o disporre di pieno potere di firma. Coelho segna il confine alla chiave privata.
“L’agente non dovrebbe detenere le chiavi. Dovrebbe poter proporre un pagamento, e un sistema separato deve decidere se quel pagamento sia ammesso,” afferma Coelho.
Francesco Andreoli di MetaMask ribadisce lo stesso concetto riguardo ai prompt:
“I controlli efficaci sono quelli a cui l’agente non ha accesso; se la tua policy vive nel prompt, non è una policy, è solo un suggerimento verso un sistema che più volte abbiamo visto lasciarsi convincere a fare cose.”
In pratica, ciò significa fondi segregati, limiti rigidi sulle transazioni e sui movimenti giornalieri, controparte autorizzata, possibilità di revoca rapida e un kill switch testato. Un sistema indipendente verifica le regole prima della firma.
Gli strumenti che alimentano gli agenti creano un ulteriore rischio. Snyk ha esaminato 3.984 skill pubbliche di agenti a febbraio e ha riscontrato almeno un problema di sicurezza nel 36,82% dei casi. Ha confermato 76 payload dannosi che riguardavano furto di credenziali, backdoor o esfiltrazione di dati.
Snyk ha individuato problemi di sicurezza su una vasta percentuale di skill pubbliche per agenti. Fonte: Snyk ToxicSkills research Secondo Gaur, la prompt injection rappresenta lo schema dominante: “La prompt injection è lo schema dominante: un agente riceve istruzioni da contenuti non affidabili che gli viene chiesto di leggere ed esegue tali istruzioni come se fossero un comando dell’utente principale.”
Per poter difendere la propria attività serve quindi una traccia di audit solida che includa l’identità dell’agente, il mandato firmato, la versione della policy, la transazione, i dati di origine e ogni eventuale eccezione approvata, il tutto scritto nel momento in cui avviene il pagamento. La blockchain fornisce solo una parte di queste informazioni.
Lo standard di Gaur è più sintetico: “Dimostrabile, revocabile e limitato”.
In assenza di queste caratteristiche, le aziende si ritrovano con una ricevuta immutabile per una decisione che non sono in grado di difendere.
Leggi la storia originale Chi è responsabile quando un agente AI ti fa perdere dei soldi? di Mohammad Shahid su it.beincrypto.com