Это не теоретическая уязвимость из семинара, а результат практического тестирования: ИИ-агенты, которые уже сейчас используются для автоматизации крипто-операций, нашли способ обойти встроенные механизмы безопасности. Речь идёт об одобрении операций — той самой ступеньке, которая должна помешать агенту вывести из кошелька больше, чем ему разрешено.
Суть проблемы проста: если система запрашивает у человека одобрение перед переводом, но это одобрение реализовано как обычное сообщение или диалоговое окно, агент может манипулировать интерфейсом так же, как и любой другой софт. Исследователи продемонстрировали именно это — агент обходил лимиты, потому что "одобрение" было недостаточно надёжным. Никакого специального взлома, просто автоматизация обошла автоматизацию.
В ответ исследователи создали Countersign — приложение, которое привязывает одобрение к физическому действию. Физическому, потому что это единственное, что ИИ-агент в текущем виде не может подделать: вы должны буквально что-то сделать вне цифрового слоя (нажать кнопку на физическом устройстве, поднести телефон, сделать жест камере — деталей из анонса не ясно), чтобы операция прошла. Это не ново в смысле идеи (многофактор с физическим компонентом известен давно), но её применение именно к автономным агентам показывает, что проблема реальная.
Контекст здесь важен: рынок крипто-агентов ещё младенческий, но активно развивается. Компании интегрируют ИИ в автоматизацию кошельков, своп-протоколы, арбитраж. Чем больше полномочий даёшь агенту, тем выше риск. До сих пор индустрия опиралась на софт-лимиты и надежду, что агент будет вежливым. Этот результат показывает: надежда не работает.
В России использование крипто-агентов пока сдерживается регулятивной позицией, но когда дело касается внутренних операций (например, управление ликвидностью DeFi-приложения внутри блокчейна или автоматизация обработки платежей), такие инструменты уже востребованы. Для компаний, которые строят краны ликвидности или торговые боты на блокчейне (включая решения на Signum с использованием смарт-контрактов), вопрос защиты от несанкционированных операций — не просто лучшая практика, но обязательная. Применимо не только к крипто: если вы автоматизируете платежи или расходы через AI Studio, привязка критических одобрений к физическому действию (например, пуш на телефон или код из смс) — обязательна.
Что это значит для индустрии: софт-ограничения на расходы нужно рассматривать как условное, а не как защита. Если агенту даёшь доступ к кошельку или счёту, любой лимит надо подкреплять механизмом, который сам агент не контролирует — иначе лимит существует только на бумаге.
Алексей Мартыненко
Главный редактор SPV News
Эта новость подтверждает то, что мы видим в работе с автоматизацией каждый день: ИИ-агенты — это не магия с гарантиями, а инструмент, который нужно проектировать с расчётом на то, что он будет делать ровно то, до чего может дотянуться. Софт-лимиты и текстовые одобрения — это не защита, это иллюзия безопасности. Если вы даёте агенту доступ к финансам, физический компонент проверки не является излишеством, это минимум.