Gli agenti AI possono rendere le criptovalute più facili da usare, ma collegare i modelli linguistici ai wallet introduce una nuova superficie di attacco: la prompt injection. Il modello di sicurezza deve tenere il passo con il potere di firma conferito a questi sistemi.
Perché gli agenti crypto AI stanno guadagnando attenzione
Binance Agent OS e Coinbase Base MCP illustrano come gli agenti basati su modelli linguistici possano leggere i dati di mercato, interagire con le applicazioni DeFi ed eseguire transazioni. Ciò crea una nuova superficie di firma: il software può interpretare istruzioni in linguaggio naturale e contenuti provenienti da Internet aperto prima di agire su un wallet.
Punti chiave
• Gli agenti AI possono movimentare asset reali tramite sottoconti di exchange, wallet e strumenti DeFi. • La prompt injection può inserire istruzioni dannose nei contenuti letti da un agente. • Le ricerche sulla sicurezza citate nella bozza originale riportano tassi di successo elevati sia per i tentativi di injection diretti che indiretti. • I controlli del privilegio minimo, i limiti di spesa, le allowlist, le chiavi di sessione a scadenza e l'approvazione umana sono importanti misure di salvaguardia. • La responsabilità per le azioni autonome on-chain rimane una questione irrisolta.
Le criptovalute hanno reintrodotto un decisore
Gli smart contract sono deterministici e verificabili. Gli agenti basati su modelli linguistici sono sistemi probabilistici che leggono il testo, vi ragionano sopra e selezionano le azioni. Quando un sistema di questo tipo è collegato a un wallet di firma, un attaccante potrebbe prendere di mira il processo decisionale anziché il codice del contratto.
Cosa distingue un agente crypto basato sull'IA
Un bot di trading tradizionale segue regole esplicite. Un agente AI può adattarsi, interpretare e improvvisare. Questa flessibilità può essere utile, ma rende anche l'agente vulnerabile a istruzioni nascoste in pagine web, descrizioni di token, feed dei prezzi, post nei forum o altre fonti di dati. La categoria più ampia è spesso definita DeFAI, che combina la finanza decentralizzata con interfacce e automazione basate sull'AI.
Il rischio è sia operativo che tecnico
Gli exchange e i fornitori di infrastrutture possono trarre vantaggio dalla comodità basata sugli agenti, mentre gli utenti affrontano il rischio di un'eccessiva concessione di permessi. Un utente che delega l'autorità di firma non prende più direttamente ogni decisione relativa alle transazioni. Se un agente instrada valore attraverso contratti legittimi e inseriti in whitelist, la transazione risultante può apparire normale on-chain anche quando la decisione è stata manipolata.
I surface di attacco sono spostati verso i titolari di chiave
I fallimenti della sicurezza crypto si sono spostati dai bug degli smart contract verso bridge, chiavi, accessi privilegiati e processi operativi. Gli agenti AI aggiungono un altro tipo di detentore di chiavi: un sistema che può essere influenzato tramite testo in linguaggio naturale anziché attraverso una chiave privata rubata. La finalità on-chain e l'assenza di chargeback rendono tutto ciò particolarmente difficile da annullare.
Perché l'iniezione di prompt è difficile da risolvere
L'iniezione di prompt tenta di sovrascrivere le istruzioni previste di un agente inserendo istruzioni concorrenti nel contenuto elaborato dall'agente. OWASP elenca l'iniezione di prompt come il rischio principale nel proprio framework dei rischi per le applicazioni LLM e sottolinea che non esiste una soluzione generica. L'implicazione pratica è che il solo filtraggio non è sufficiente; i permessi e i confini delle transazioni devono limitare i danni quando l'interpretazione fallisce.
L'iniezione di memoria aggiunge persistenza
Un'istruzione persistente scritta nella memoria di un agente può influenzare le sessioni successive e potrebbe essere più difficile da identificare come input non attendibile. I sistemi che mantengono la memoria necessitano pertanto di provenienza, isolamento, revisione e di un modo per rimuovere o invalidare il contesto compromesso.
Cosa potrebbero portare i prossimi anni
Un incidente grave che coinvolge un agente autonomo potrebbe accelerare il dibattito normativo e settoriale sulla responsabilità. La probabile risposta in termini di sicurezza è un passaggio verso wallet delimitati, limiti per transazione, chiavi di sessione a breve durata, allowlist di contratti, monitoraggio e controlli di emergenza visibili. Il modello di progettazione più duraturo è quello del co-pilota piuttosto che del pilota automatico: lasciare che il sistema prepari o spieghi un'azione, mentre una persona approva i trasferimenti significativi.
Lista di controllo dei rischi per gli utenti
Considera l'autorità di firma come una metrica di rischio primaria. Mantieni un agent in un wallet separato a basso valore. Utilizza limiti di spesa rigidi e autorizzazioni con scadenza. Non fornire mai le frasi seed. Separa l'accesso ai dati dall'accesso alla firma ogni volta che è possibile. Richiedi l'approvazione umana al di sopra di una soglia definita e mantieni un kill switch in grado di revocare rapidamente le autorizzazioni.
Prospettiva conclusiva
La questione centrale non è se l'IA supererà in astuzia gli utenti crypto. È se un sistema possa interpretare in modo sicuro testo non attendibile controllando al contempo azioni finanziarie irreversibili. La comodità è preziosa, ma il limite di sicurezza dovrebbe essere determinato dalla perdita massima che può verificarsi quando l'agente viene manipolato.
FAQ: Gli agenti crypto basati su IA possono essere attaccati tramite prompt injection?
Sì. Istruzioni dannose possono essere nascoste nei contenuti letti da un agente. Il rischio è sufficientemente consolidato tanto che la prompt injection è considerata una delle principali preoccupazioni di sicurezza per le applicazioni LLM.
FAQ: Cos'è un agente crypto AI?
È un software che collega un modello linguistico a wallet e strumenti in modo che possa interpretare le informazioni di mercato e preparare o eseguire azioni on-chain. DeFAI è un'etichetta ampia per i prodotti di finanza decentralizzata abilitati all'AI.
FAQ: Chi è responsabile se un agente AI perde criptovalute?
Non esiste una risposta giuridica definitiva. La responsabilità può ricadere sull'utente, sull'applicazione, sul protocollo, sul framework o sul fornitore del modello, a seconda dei fatti e della legge applicabile.
FAQ: Quali controlli riducono il rischio?
Utilizza wallet separati, limiti di spesa, allowlist, chiavi di sessione a breve durata, monitoraggio e approvazione umana per le azioni rilevanti.