เมื่อวันที่ 4 พฤษภาคม ข้อความที่ซ่อนอยู่ในรหัสมอร์สจุดชนวนให้เกิดการโอนคริปโตเป็นจำนวนหลักแสนผ่านสองระบบ AI ที่เชื่อมถึงกัน ระบบแรกคือ Grok ซึ่งเป็นแชทบอทของบริษัท xAI ที่ Elon Musk สร้างขึ้น อีกระบบคือ Bankrbot ซึ่งเป็นเอเจนต์คริปโตที่สามารถชำระเงินจากวอลเล็ตที่เชื่อมโยงไว้
ผู้โจมตีเริ่มต้นด้วยการส่งโทเคนสมาชิกดิจิทัลไปยังวอลเล็ตเพื่อปลดล็อกเครื่องมือชำระเงินของ Bankrbot จากนั้น Grok ถอดรหัสข้อความ และ Bankrbot ก็ถือว่าคำตอบนั้นเป็นคำสั่งชำระเงิน แล้วจึงโอนเงินไปประมาณ 150,000 ถึง 200,000 USD
ข้อความรหัสมอร์สนำไปสู่การชำระเงินหลักแสน
ทำไมเรื่องนี้ถึงน่าวิตก? เพราะกรณีนี้เน้นให้เห็นถึงการแฮกเงินหลักแสนที่มีเพียงเอเจนต์ AI สองตัวเท่านั้นที่เกี่ยวข้อง โดยระบบ AI หนึ่งสร้างข้อความ อีกระบบก็ถือว่าเป็นการอนุญาตให้ใช้จ่าย
เมื่อพิจารณาขนาดของการชำระเงินแบบอัตโนมัติด้วย AI ในปัจจุบัน จะเห็นว่ากรณีแบบนี้อาจกลายเป็นฝันร้ายของวงการ Agentic Finance ในอนาคตได้
Keyrock ระบุว่ามีเอเจนต์จ่ายเงินบนเชนจำนวน 176 ล้านรายการล้านรายการ มูลค่ารวม 73 ล้าน USD จนถึงเดือนเมษายน 2026 โดยจ่ายแต่ละครั้งเฉลี่ยอยู่ที่ 0.01 ถึง 0.10 USD อีกทั้ง 76% ของธุรกรรมทั้งหมดมีมูลค่าต่ำกว่า 0.30 USD และเมื่อซอฟต์แวร์สามารถทำการชำระเงินเล็กๆ เหล่านี้ต่อเนื่องได้ ก็อาจเป็นปัญหาด้านการควบคุมมหาศาล
นอกจากนี้ แนวโน้มนี้กำลังเคลื่อนเข้าสู่โครงสร้างพื้นฐานของการชำระเงินกระแสหลัก เช่น Mastercard ได้เปิดตัว Agent Pay for Machines ในเดือนมิถุนายนสำหรับการชำระเงินที่มีความถี่สูงแต่มีมูลค่าต่ำ ขณะที่ Google และ Visa กำลังพัฒนามาตรฐานสำหรับเอเจนต์ในการพิสูจน์ตัวตนและสิทธิ์ในการดำเนินการ
BeInCrypto ได้สอบถาม Rodrigo Coelho ซีอีโอของ Edge & Node, Nitin Gaur หัวหน้าฝ่ายสถาบันที่ Nethermind และ Francesco Andreoli ผู้อำนวยการฝ่าย Developer Relations จาก MetaMask ว่าใครคือผู้รับความเสี่ยงเหล่านี้
Coelho ตอบอย่างชัดเจน
บริษัทที่เป็นผู้ให้บริการคือผู้รับผิดชอบ ไม่มีเวอร์ชันใดที่ความรับผิดชอบจะตกไปอยู่กับโมเดล AI กล่าวโดย Rodrigo Coelho ซีอีโอบริษัท Edge & Node ผู้พัฒนาโครงสร้างพื้นฐานด้าน AI และ Web3
รัฐแคลิฟอร์เนียได้ออกกฎหมายตามหลักการนี้แล้ว AB 316 ที่มีผลบังคับใช้ตั้งแต่เดือนมกราคมที่ผ่านมา กำหนดให้จำเลยที่พัฒนา แก้ไข หรือใช้ AI ไม่สามารถอ้างได้ว่าระบบเป็นผู้ก่อให้เกิดความเสียหายดังกล่าวโดยอัตโนมัติ เรื่องของเหตุและผลและความคาดหมายยังคงเป็นประเด็นสำคัญ
ใบเสร็จไม่ใช่ใบอนุญาต
ธุรกรรมบนบล็อกเชนพิสูจน์ได้ว่าเงินมีการเคลื่อนไหว แต่ไม่ได้พิสูจน์ว่าตัวแทนมีอำนาจที่ถูกต้องในการดำเนินการนั้น
ปัจจุบันบริษัทส่วนใหญ่ที่ใช้ตัวแทนยังไม่สามารถพิสูจน์สิ่งที่ตัวแทนได้รับอนุญาตให้ทำได้จริง พวกเขาโชว์ธุรกรรมให้คุณดูได้ มีการบันทึกบนบล็อกเชนอย่างเปิดเผยและถาวร แต่ไม่สามารถยืนยันใบอนุญาตที่อยู่เบื้องหลังได้เลย กล่าวโดย Coelho
ช่องว่างที่พบอาจเป็นเรื่องของใครเป็นผู้มอบอำนาจ นโยบายใดถูกนำมาใช้ ข้อมูลที่ตัวแทนอ่าน และการชำระเงินนั้นเกินขีดจำกัดหรือไม่ ซึ่งหมายเลขกระเป๋าสตางค์ก็ยังไม่ตอบคำถามเหล่านี้
Nitin Gaur จาก Nethermind กล่าวว่า ข้อขัดแย้งตัดสินกันที่เรื่องของใบอนุญาต
สิ่งที่ตัดสินข้อพิพาทคือหลักฐานของอำนาจ ถ้าแสดงได้ว่าตัวแทนปฏิบัติงานในขอบเขตของใบมอบอำนาจที่ถูกลงนามและมีระยะเวลากำหนด เรื่องนี้ก็จะได้รับการแก้ไขเหมือนกับการชำระเงินที่ได้รับอนุญาตทั่วไป
AP2 ของ Google ใช้ใบมอบอำนาจที่ลงนามด้วยระบบเข้ารหัสเพื่อบันทึกความตั้งใจของผู้ใช้ และ Trusted Agent Protocol ของ Visa ก็ให้ตัวแทนที่ผ่านการอนุมัติแสดงดิจิทัลลายเซ็นที่ยืนยันตัวตนและใบอนุญาตที่เกี่ยวข้องได้
ด้าน Mastercard เพิ่มขั้นตอนให้มีการตรวจสอบข้อมูลประจำตัวและจำกัดวงเงินโดยอัตโนมัติ ระบบเบื้องหลังจะแตกต่างกัน แต่เป้าหมายในการออกแบบเหมือนกัน คือ ใบอนุญาตต้องมากับการชำระเงินเสมอ
กำหนดขอบเขตในที่ที่ตัวแทนเข้าถึงไม่ได้
ใบมอบอำนาจก็ยังล้มเหลวได้ ถ้าตัวแทนสามารถแก้ไขเอง อนุมัติธุรกรรมของตัวเอง หรือมีสิทธิ์ลงนามได้อย่างไม่จำกัด โดย Coelho กำหนดขอบเขตไว้ที่ private key
ตัวแทนไม่ควรถือกุญแจส่วนตัว ควรแค่เสนอการชำระเงิน แล้วระบบแยกต่างหากจะเป็นผู้ตัดสินว่าธุรกรรมนั้นได้รับอนุญาตหรือไม่ กล่าวโดย Coelho
Francesco Andreoli จาก MetaMask ก็ชี้ไปที่ประเด็นเดียวกันเกี่ยวกับ prompt
ระบบควบคุมที่ได้ผลคือสิ่งที่ตัวแทนเข้าถึงไม่ได้ ถ้านโยบายของคุณอยู่ใน prompt มันก็ไม่ใช่นโยบาย แต่มันเป็นแค่ข้อเสนอแนะต่อระบบที่เราต่างเห็นบ่อยครั้งว่าถูกโน้มน้าวใจได้อยู่เสมอ
ในทางปฏิบัติ สิ่งนี้หมายถึงเงินทุนที่แยกต่างหาก ขีดจำกัดของธุรกรรมและวงเงินต่อวันที่แน่นอน คู่สัญญาที่ได้รับอนุมัติ ความสามารถในการเพิกถอนอย่างรวดเร็ว และต้องทดสอบ kill switch โดยระบบอิสระจะเป็นผู้ตรวจสอบกฎก่อนจะลงนาม
เครื่องมือที่ใช้สร้าง agents ยังสร้างความเสี่ยงเพิ่มเติมอีกด้วย Snyk ได้สแกน agent skills สาธารณะจำนวน 3,984 รายการ ในเดือนกุมภาพันธ์ และพบว่ามีอย่างน้อยหนึ่งปัญหาด้านความปลอดภัยใน 36.82% โดยได้ยืนยันว่า มี payloads ที่เป็นอันตราย 76 รายการ ที่เกี่ยวข้องกับการขโมยข้อมูลรับรอง, ช่องทางลับ หรือการขโมยข้อมูลออกนอกระบบ
Gaur มองว่าการโจมตีด้วย prompt injection เป็นรูปแบบที่เกิดขึ้นมากที่สุด เพราะว่า agent นำคำสั่งจากแหล่งข้อมูลที่ไม่น่าเชื่อถือที่ถูกขอให้อ่าน และปฏิบัติตามราวกับว่าเป็นคำขอจากเจ้าของระบบ
ด้วยเหตุนี้ การตรวจสอบที่สามารถยืนยันได้จึงจำเป็นต้องมีข้อมูลตัวตน agent, หนังสือมอบอำนาจที่ลงนาม, เวอร์ชันนโยบาย, ข้อมูลธุรกรรม, ข้อมูลต้นทาง และข้อยกเว้นใดๆ ที่ได้รับการอนุมัติ โดยต้องเขียนคำอธิบายไว้เมื่อมีการชำระเงิน และเครือข่ายบล็อกเชนช่วยสนับสนุนบางส่วน
มาตรฐานของ Gaur สั้นกว่านั้น โดยระบุว่า “ต้องพิสูจน์ได้ ยกเลิกได้ และมีขอบเขตจำกัด”
หากขาดคุณสมบัติเหล่านี้ บริษัทจะเหลือเพียงใบเสร็จที่แก้ไขไม่ได้สำหรับการตัดสินใจที่ตนไม่สามารถปกป้องได้
