ИИ-агенты могут сделать криптовалюты проще в использовании, но подключение языковых моделей к кошелькам создаёт новую поверхность атаки: инъекцию промптов. Модель безопасности должна поспевать за полномочиями на подпись, которые получают эти системы.
Почему ИИ-агенты в криптовалюте привлекают внимание
Binance Agent OS и Coinbase Base MCP демонстрируют, как агенты на основе языковых моделей могут читать рыночные данные, взаимодействовать с DeFi-приложениями и выполнять транзакции. Это создаёт новую поверхность подписи: программное обеспечение может интерпретировать инструкции на естественном языке и контент из открытого интернета перед действиями с кошельком.
Ключевые выводы
• ИИ-агенты могут перемещать реальные активы через суб-аккаунты бирж, кошельки и инструменты DeFi. • Внедрение промптов может разместить вредоносные инструкции в контенте, который читает агент. • Исследования по безопасности, цитируемые в исходном черновике, сообщают о высоких процентах успеха как для прямых, так и для косвенных попыток внедрения. • Контроли наименьших привилегий, лимиты расходов, списки разрешенных адресов, истекающие сессионные ключи и человеческое одобрение являются важными средствами защиты. • Ответственность за автономные ончейн-действия остается нерешенной проблемой.
Крипто снова ввела принимающего решения
Смарт-контракты детерминированы и поддаются аудиту. Агенты языковых моделей — это вероятностные системы, которые читают текст, рассуждают над ним и выбирают действия. Когда такая система подключена к подписывающему кошельку, злоумышленник может атаковать процесс принятия решений, а не код контракта.
В чем отличие ИИ-крипто-агента
Традиционный торговый бот следует явным правилам. ИИ-агент может адаптироваться, интерпретировать и импровизировать. Такая гибкость может быть полезна, но она также делает агента уязвимым для инструкций, скрытых на веб-страницах, в описаниях токенов, ценовых фидах, форумных постах или других источниках данных. Более широкая категория часто называется DeFAI, объединяющей децентрализованные финансы с интерфейсами и автоматизацией на базе ИИ.
Риск является как операционным, так и техническим
Биржи и поставщики инфраструктуры могут выиграть от удобства, обеспечиваемого агентами, в то время как пользователи сталкиваются с риском избыточного предоставления разрешений. Пользователь, делегирующий полномочия на подписание, больше не принимает каждое решение о транзакции напрямую. Если агент направляет ценность через легитимные, разрешённые контракты, результирующая транзакция может выглядеть нормально в блокчейне, даже если решение было скомпрометировано.
Поверхности атак сместились в сторону держателей ключей
Сбои в безопасности криптовалют сместились от ошибок смарт-контрактов к мостам, ключам, привилегированному доступу и операционным процессам. ИИ-агенты добавляют новый тип держателя ключей: систему, на которую можно повлиять через текст, а не через украденный приватный ключ. Финальность в блокчейне и отсутствие возможности оспаривания платежей делают это особенно сложным для отмены.
Почему инъекция промптов трудно решается
Инъекция промптов пытается переопределить задуманные инструкции агента, помещая конкурирующие инструкции в контент, который агент обрабатывает. OWASP включает инъекцию промптов в качестве ведущего риска в своей рамке рисков для LLM-приложений и отмечает, что универсального решения не существует. Практическое следствие состоит в том, что одной фильтрации недостаточно; разрешения и границы транзакций должны ограничивать ущерб, когда интерпретация даёт сбой.
Инъекция памяти добавляет персистентность
Постоянная инструкция, записанная в память агента, может влиять на последующие сессии и может быть труднее идентифицирована как недоверенный ввод. Системы, сохраняющие память, поэтому нуждаются в происхождении, изоляции, проверке и способе удаления или инвалидации отравленного контекста.
Что может принести ближайшие несколько лет
Крупный инцидент с участием автономного агента может ускорить регуляторные и отраслевые дебаты об ответственности. Вероятный ответ в области безопасности — переход к ограниченным кошелькам, лимитам на транзакцию, кратковременным сессионным ключам, спискам разрешенных контрактов, мониторингу и видимым экстренным элементам управления. Более устойчивый паттерн проектирования — это второй пилот, а не автопилот: пусть система готовит или объясняет действие, пока человек одобряет значимые переводы.
Чек-лиск рисков для пользователей
Относитесь к полномочиям подписи как к основной метрике риска. Держите агента в отдельном кошельке с низкой стоимостью. Используйте жесткие потолки расходов и истекающие разрешения. Не предоставляйте сид-фразы. Разделяйте доступ к данным от доступа к подписи всякий раз, когда это возможно. Требовать человеческое одобрение выше определенного порога и поддерживать аварийный выключатель, который может быстро отозвать разрешения.
Заключительная перспектива
Центральная проблема не в том, переумнит ли ИИ пользователей криптовалют. А в том, может ли система безопасно интерпретировать недоверенный текст, контролируя необратимые финансовые действия. Удобство ценно, но граница безопасности должна определяться максимальными потерями, которые могут произойти, когда агент манипулируют.
FAQ: Могут ли ИИ-криптоагенты быть атакованы через инъекцию промптов?
Да. Злонамеренные инструкции могут быть скрыты в контенте, который читает агент. Риск достаточно установлен, чтобы инъекция промптов стала проблемой безопасности приложений LLM с высшим рейтингом.
FAQ: Что такое ИИ-криптоагент?
Это программное обеспечение, которое связывает языковую модель с кошельками и инструментами, чтобы она могла интерпретировать рыночную информацию и готовить или выполнять ончейн-действия. DeFAI — это широкий ярлык для продуктов децентрализованных финансов с поддержкой ИИ.
FAQ: Кто несет ответственность, если ИИ-агент теряет криптовалюту?
Единого правового ответа не существует. Ответственность может лежать на пользователе, приложении, протоколе, фреймворке или провайдере модели в зависимости от обстоятельств и применимого права.
FAQ: Какие меры контроля снижают риск?
Используйте отдельные кошельки, лимиты расходов, списки разрешений, кратковременные сессионные ключи, мониторинг и человеческое одобрение для значимых действий.