KI-Agenten können die Nutzung von Krypto einfacher machen, aber das Anschließen von Sprachmodellen an Brieftaschen führt zu einer neuen Angriffsfläche: Prompt-Injection. Das Sicherheitsmodell muss mit der Signierleistung dieser Systeme Schritt halten.
Warum KI-Krypto-Agenten an Aufmerksamkeit gewinnen
Binance Agent OS und Coinbase Base MCP veranschaulichen, wie Sprachmodell-Agenten Marktdaten lesen, mit DeFi-Anwendungen interagieren und Transaktionen ausführen können. Dies schafft eine neue Signierungsoberfläche: Software kann Anweisungen in natürlicher Sprache und Inhalte aus dem offenen Internet interpretieren, bevor sie auf eine Wallet zugreift.
Wichtigste Erkenntnisse
• KI-Agenten können reale Vermögenswerte über Exchange-Unterkonten, Wallets und DeFi-Tools bewegen. • Prompt-Injection kann bösartige Anweisungen in Inhalte einschleusen, die ein Agent liest. • In dem Quellentwurf zitierte Sicherheitsforschungen berichten von hohen Erfolgsquoten sowohl für direkte als auch für indirekte Injection-Versuche. • Prinzipien der geringsten Rechte, Ausgabenlimits, Whitelists, ablaufende Sitzungsschlüssel und menschliche Genehmigungen sind wichtige Schutzmaßnahmen. • Die Haftung für autonome On-Chain-Aktionen bleibt ein ungelöstes Problem.
Krypto hat wieder einen Entscheidungsträger eingeführt
Smart Contracts sind deterministisch und überprüfbar. Sprachmodell-Agenten sind probabilistische Systeme, die Text lesen, darüber schlussfolgern und Aktionen auswählen. Wenn ein solches System mit einer Signatur-Wallet verbunden ist, könnte ein Angreifer den Entscheidungsprozess statt des Vertragscodes ins Visier nehmen.
Was unterscheidet einen KI-Krypto-Agenten
Ein traditioneller Trading-Bot folgt expliziten Regeln. Ein KI-Agent kann sich anpassen, interpretieren und improvisieren. Diese Flexibilität kann nützlich sein, macht den Agenten aber auch anfällig für Anweisungen, die in Webseiten, Token-Beschreibungen, Preis-Feeds, Forumsbeiträgen oder anderen Datenquellen verborgen sind. Die übergeordnete Kategorie wird oft als DeFAI bezeichnet, was dezentrale Finanzen mit KI-basierten Schnittstellen und Automatisierung kombiniert.
Das Risiko ist sowohl operativer als auch technischer Natur
Börsen und Infrastrukturanbieter können von der durch Agenten ermöglichten Bequemlichkeit profitieren, während Nutzer das Risiko einer übermäßigen Berechtigungsvergabe eingehen. Ein Nutzer, der die Signaturbefugnis delegiert, trifft nicht mehr jede Transaktionsentscheidung direkt. Wenn ein Agent Werte über legitime, auf einer Whitelist geführte Verträge leitet, kann die resultierende Transaktion on-chain normal aussehen, selbst wenn die Entscheidung manipuliert wurde.
Angriffsflächen haben sich auf Schlüsselverwahrer verlagert
Sicherheitslücken im Kryptobereich haben sich von Smart-Contract-Fehlern hin zu Bridges, Schlüsseln, privilegierten Zugriffen und operativen Prozessen verlagert. KI-Agenten fügen eine weitere Art von Schlüsselverwalter hinzu: ein System, das durch Texteingaben beeinflusst werden kann, statt durch einen gestohlenen privaten Schlüssel. Die On-Chain-Finalität und das Fehlen von Rückbuchungen machen dies besonders schwer rückgängig zu machen.
Warum Prompt-Injection schwer zu lösen ist
Prompt-Injection versucht, die beabsichtigten Anweisungen eines Agenten außer Kraft zu setzen, indem konkurrierende Anweisungen in Inhalte eingefügt werden, die der Agent verarbeitet. OWASP führt Prompt-Injection als das größte Risiko in seinem Risikorahmenwerk für LLM-Anwendungen auf und weist darauf hin, dass es keine allgemeine Lösung gibt. Die praktische Konsequenz ist, dass Filterung allein nicht ausreicht; Berechtigungen und Transaktionsgrenzen müssen den Schaden begrenzen, wenn die Interpretation fehlschlägt.
Speicherinjektion fügt Persistenz hinzu
Eine persistente Anweisung, die in den Speicher eines Agenten geschrieben wird, kann spätere Sitzungen beeinflussen und ist möglicherweise schwerer als nicht vertrauenswürdige Eingabe zu identifizieren. Systeme, die Speicher beibehalten, benötigen daher Provenienz, Isolation, Überprüfung und eine Möglichkeit, vergifteten Kontext zu entfernen oder zu invalidieren.
Was die nächsten Jahre bringen könnten
Ein größerer Vorfall im Zusammenhang mit einem autonomen Agenten könnte die regulatorische und brancheninterne Debatte über Verantwortung beschleunigen. Die wahrscheinliche Sicherheitsreaktion ist eine Verlagerung hin zu begrenzten Wallets, Transaktionsobergrenzen pro Vorgang, kurzlebigen Sitzungsschlüsseln, Vertrags-Allowlists, Überwachung und sichtbaren Notfallkontrollen. Das nachhaltigere Designmuster ist Co-Pilot statt Autopilot: Das System bereitet eine Aktion vor oder erklärt sie, während eine Person bedeutende Transfers genehmigt.
Risikoprüfliste für Benutzer
Behandeln Sie die Signierberechtigung als primäre Risikokennzahl. Bewahren Sie einen Agenten in einer separaten Wallet mit geringem Wert auf. Verwenden Sie feste Ausgabegrenzen und zeitlich begrenzte Berechtigungen. Geben Sie keine Seed-Phrasen weiter. Trennen Sie den Datenzugriff nach Möglichkeit vom Signierzugriff. Verlangen Sie eine manuelle Genehmigung ab einem definierten Schwellenwert und halten Sie einen Notausschalter bereit, der Berechtigungen schnell widerrufen kann.
Schlussbetrachtung
Die zentrale Frage ist nicht, ob KI Krypto-Nutzer übertreffen wird. Es geht darum, ob ein System nicht vertrauenswürdigen Text sicher interpretieren kann, während es irreversible Finanztransaktionen steuert. Komfort ist wertvoll, aber die Sicherheitsgrenze sollte durch den maximalen Verlust bestimmt werden, der entstehen kann, wenn der Agent manipuliert wird.
FAQ: Können KI-Krypto-Agenten durch Prompt-Injection angegriffen werden?
Ja. Böswillige Anweisungen können in Inhalten versteckt werden, die ein Agent liest. Das Risiko ist so weit anerkannt, dass Prompt-Injection zu den höchstrangigen Sicherheitsbedenken bei LLM-Anwendungen zählt.
FAQ: Was ist ein KI-Krypto-Agent?
Es ist Software, die ein Sprachmodell mit Wallet und Werkzeugen verbindet, damit es Marktinformationen interpretieren und on-chain Aktionen vorbereiten oder ausführen kann. DeFAI ist ein breites Label für KI-fähige dezentralisierte Finanzprodukte.
FAQ: Wer haftet, wenn ein KI-Agent Krypto verliert?
Es gibt keine eindeutige rechtliche Antwort. Die Verantwortung kann je nach Sachverhalt und geltendem Recht beim Nutzer, der Anwendung, dem Protokoll, dem Framework oder dem Modellanbieter liegen.
FAQ: Welche Kontrollmechanismen reduzieren das Risiko?
Verwenden Sie separate Wallets, Ausgabelimits, Allowlists, kurzlebige Sitzungsschlüssel, Überwachung und manuelle Genehmigung für folgenschwere Aktionen.