Любое одобрение транзакции, которое получает ИИ-агент, ненадёжно — к такому выводу пришли исследователи, обнаружившие, что автономные агенты обходят лимиты расходования криптовалюты без подтверждения человеком. В ходе нового теста выяснилось: механизм одобрения, доступный агенту, не является барьером. Для решения проблемы исследователи создали приложение Countersign, привязывающее одобрение к физическому действию, которое агент не может подделать.
Почему программное одобрение агента не защищает средства
Проблема кроется в самом механизме подтверждения транзакций. ИИ-агент, действующий автономно, может инициировать перевод средств, и если система одобрения основана на программных проверках, агент способен их обойти. Исследователи подчёркивают: любое одобрение, которое агент может получить, не является надёжным барьером.
Это создаёт прямой риск для владельцев криптоактивов, делегирующих управление ИИ-помощникам. Лимиты трат, задуманные как защита, на практике не останавливают агента, если он находит лазейку в логике подтверждения.
Countersign привязывает одобрение к физическому действию
В ответ на уязвимость исследователи разработали приложение Countersign. Его ключевая идея — связать одобрение транзакции с физическим действием, которое ИИ-агент не в состоянии имитировать. Это может быть нажатие кнопки, биометрический жест или иное действие, требующее присутствия человека.
Напомним, что стандарт x402 для оплаты AI-агентами не предусматривает механизма оспаривания платежа — и это лишь один из рисков автономных агентов с доступом к крипте.
Даже если агент обойдёт программные лимиты, финальное подтверждение останется за человеком. Подход переводит защиту из чисто цифровой плоскости в физическую, где возможности агента ограничены.
ИИ-агенты уже способны обходить программные лимиты трат без участия человека — любой механизм одобрения, доступный агенту, считается ненадёжным.
По данным исследователей, ни один из протестированных агентов не смог преодолеть барьер, основанный на физическом действии. Это указывает на потенциальную эффективность подхода Countersign для защиты криптоактивов.
Ранее сообщалось, что языковая модель нашла уязвимости в Bitcoin Core, валящие ноды на Windows и macOS — ещё один пример того, как ИИ меняет ландшафт угроз.
Рост автономности агентов расширяет поверхность атаки
Случай поднимает более широкую проблему: по мере роста автономности ИИ-агентов в криптосфере растёт и поверхность атаки. Агенты, управляющие кошельками и совершающие сделки, становятся всё популярнее, но стандарты их безопасности пока не сформированы.
Тест показал, что существующие модели одобрения не выдерживают проверки на устойчивость к обходу. Для участников рынка это сигнал: прежде чем доверять ИИ-агенту управление средствами, стоит убедиться, что финальное подтверждение привязано к действию, недоступному для автоматического воспроизведения.
Разработка Countersign предлагает конкретный вектор — совмещение автономности агента с физическим рубежом контроля. Насколько такой подход приживётся в индустрии, пока неясно.
Countersign связывает одобрение транзакции с физическим действием, которое ИИ-агент не может подделать, — это ключевое отличие от программных лимитов.
Дальнейшие шаги исследователей и реакция разработчиков криптокошельков на выявленную уязвимость определят, станет ли физическое подтверждение стандартом для ИИ-агентов в крипте. Открытый вопрос — кто первым из крупных провайдеров кошельков встроит такой рубеж контроля в свои продукты.