AI zamienia bezpieczeństwo Web3 w kryzys kontroli dostępu

OneSafe trafił do Google News 30 sierpnia z mocnym ostrzeżeniem: sztuczna inteligencja sprawia, że ataki na Web3 są łatwiejsze, szybsze i trudniejsze do rozpoznania. Artykuł wskazuje na złośliwe oprogramowanie, phishing, przejęte klucze prywatne oraz ryzykowne procesy pracy deweloperów. Jego główna teza jest zasadna, jednak kilku twierdzeniom pomocniczym brakuje szczegółów umożliwiających niezależną weryfikację.

Ta luka ma znaczenie, ponieważ aktywa cyfrowe zamieniają zwykłe błędy bezpieczeństwa w nieodwracalne zdarzenia finansowe. Przekonująca wiadomość może skłonić kogoś do ujawnienia frazy seed lub zatwierdzenia złośliwej transakcji. Zainfekowana maszyna deweloperska może ujawnić dane uwierzytelniające do wdrożeń, klucze podpisujące lub uprzywilejowany dostęp. Często nie ma banku, który mógłby odwrócić skutki.

Rzeczywistym konfliktem nie jest więc AI kontra tradycyjne cyberbezpieczeństwo. To przyspieszająca automatyzacja kontra mechanizmy bezpieczeństwa zaprojektowane wokół wolniejszej, bardziej widocznej aktywności ludzi. Materiał OneSafe o bezpieczeństwie AI oddaje tę presję, podczas gdy dane federalne i niezależne badania pokazują, gdzie faktycznie znajdują się mierzalne zagrożenia.

Co faktycznie zmieniło ostrzeżenie OneSafe w Google News

OneSafe przekształcił szeroką obawę dotyczącą złośliwej AI w ostrzeżenie dotyczące procesów pracy w Web3, ale nie potwierdził nowego naruszenia ani nie ujawnił nowo odkrytej luki.

Ostrzeżenie dotyczące bezpieczeństwa argumentuje, że AI obniża próg umiejętności wymaganych od atakujących. Stwierdza, że deweloperzy muszą dokładnie sprawdzać pliki konfiguracyjne AI, utrzymywać czyste kopie zapasowe i poprawiać świadomość bezpieczeństwa. Wskazuje również na infostealery, czyli złośliwe programy zaprojektowane do zbierania danych uwierzytelniających, danych przeglądarki, informacji o portfelach i innych sekretów.

To interwencja redakcyjna, a nie ogłoszenie produktu, poradnik bezpieczeństwa ani raport o incydencie. OneSafe nie wskazał nowo skompromitowanego protokołu. Nie opublikował technicznych wskaźników, które obrońcy mogliby wykorzystać do wykrycia infekcji. Nie określił też, ile ataków na Web3 obejmowało AI.

Pojawienie się w Google News nadal nadaje temu argumentowi szersze znaczenie. Stawia przed założycielami i deweloperami konkretne pytanie operacyjne: czy wynik działania narzędzia do programowania AI powinien otrzymywać taki sam poziom zaufania jak kod napisany przez współpracownika?

Najbezpieczniejsza odpowiedź brzmi: nie. Wygenerowany kod, pobrane rozszerzenia, pliki konfiguracyjne, polecenia powłoki i instrukcje dla agentów wymagają przeglądu. Zasada ta obowiązuje nawet wtedy, gdy system AI nie jest złośliwy. Model może wygenerować niebezpieczny kod, nawet jeśli żaden atakujący nim nie steruje.

OneSafe opisuje również pozorny incydent z malware z udziałem osoby zidentyfikowanej jako Numa Lunah. Według artykułu interakcja z narzędziem AI doprowadziła do infekcji, która utrzymała się po ponownym uruchomieniu. Artykuł nie zawiera jednak linku do raportu kryminalistycznego, próbki malware, osi czasu incydentu ani pierwotnej relacji.

To pominięcie uniemożliwia czytelnikom ustalenie, co faktycznie się wydarzyło. Infekcja mogła pochodzić z podrobionej aplikacji, złośliwej zależności, skopiowanego polecenia lub skompromitowanej konfiguracji. Każda z tych dróg wymaga innej ochrony.

Artykuł podobnie przypisuje ostrzeżenie deweloperowi o imieniu Calle, nie podając linku do źródła ani wystarczających informacji identyfikujących. Leżące u podstaw stanowisko jest wiarygodne, ale to przypisanie nie powinno mieć wagi zweryfikowanego dowodu.

To rozróżnienie jest kluczowe w relacjonowaniu kwestii bezpieczeństwa. Wiarygodna obawa nie jest automatycznie udokumentowanym incydentem. Czytelnicy powinni oddzielać ogólne ostrzeżenie OneSafe od niezależnie potwierdzonych danych o atakach.

Najmocniejsza wersja tej historii jest zatem węższa, niż sugeruje nagłówek. AI zwiększa skalę i wiarygodność szkodliwych treści. Systemy Web3 narażają na ryzyko wyjątkowo wartościowe i nieodwracalne cele. To połączenie podnosi koszt słabych mechanizmów kontroli tożsamości, dostępu i transakcji.

Ten wniosek wytrzymuje analizę. Niektóre ilustracyjne szczegóły artykułu nie spełniają jeszcze tego samego standardu.

Dlaczego bezpieczeństwo AI w Web3 stało się problemem kontroli dostępu

Najpoważniejsze straty w Web3 coraz częściej zaczynają się od skradzionych uprawnień, a nie od modelu AI pokonującego kryptografię blockchaina.

Klucz prywatny pozwala jego posiadaczowi autoryzować działania dla adresu blockchain. Fraza seed może przywrócić kontrolę nad całym portfelem. Dane uwierzytelniające administratora mogą zapewniać dostęp do aktualizacji protokołu, systemów chmurowych, potoków wdrożeniowych lub kont firmowych.

AI nie musi łamać szyfrowania, jeśli może pomóc atakującemu podszyć się pod współpracownika, dostosować wiadomości phishingowe lub przeszukiwać skradzione dane. Model staje się wzmacniaczem wokół sprawdzonych technik przestępczych.

Dane FBI dotyczące zgłoszeń z 2025 roku ilustrują to szersze środowisko. Internet Crime Complaint Center otrzymało 1 008 597 zgłoszeń w 2025 roku. Zgłoszone straty wynikające z cyberprzestępczości zbliżyły się do 21 miliardów dolarów.

Zgłoszenia dotyczące kryptowalut przyniosły ponad 11 miliardów dolarów raportowanych strat w 181 565 przypadkach. Liczby te obejmują kilka rodzajów przestępstw, dlatego nie należy ich traktować jako miary włamań do Web3 wspieranych przez AI. Określają one finansową skalę celu.

Ten sam raport po raz pierwszy w historii centrum zawierał sekcję dotyczącą AI. Odnotowano w niej 22 364 zgłoszenia zawierające informacje związane z AI oraz około 893 miliony dolarów skorygowanych strat. Zgłoszenia inwestycyjne ze zgłoszonym związkiem z AI odpowiadały za ponad 632 miliony dolarów.

Kategorie te nakładają się pojęciowo, ale nie należy ich sumować. Dane FBI opisują zgłoszenia i raportowane straty, a nie pełny spis przestępstw. Nie dowodzą również, że AI spowodowała każdą stratę związaną ze zgłoszeniem dotyczącym AI.

Mimo to wzorce są pouczające. FBI wskazało generowane wiadomości od kadry kierowniczej, klonowanie głosu, sfałszowane profile, syntetyczne rekomendacje i spersonalizowane rozmowy. Techniki te celują w ludzki osąd i procedury instytucjonalne.

Dlatego obawy OneSafe dotyczące bezpieczeństwa AI należą do dyskusji o kontroli dostępu. Jeśli jedna przekonująca wiadomość może uruchomić transfer, system zależy od tego, czy człowiek prawidłowo wykryje każde oszustwo. AI daje atakującym więcej okazji do testowania tej kruchej zależności.

Web3 zaostrza problem, ponieważ autoryzacja często zapewnia natychmiastową władzę finansową. Przejęte firmowe konto e-mail może zainicjować fałszywe żądanie płatności. Przejęty portfel może wykonać płatność bezpośrednio.

Smart kontrakty dodają kolejną warstwę. Są to programy wdrożone na blockchainie, które mogą przechowywać aktywa lub egzekwować zasady finansowe. Niektóre kontrakty mogą być aktualizowane lub wstrzymywane przez uprzywilejowane konta. Jeśli atakujący przejmą te uprawnienia, audytowany kod kontraktu może zapewniać niewielką ochronę.

Odpowiedzią nie są po prostu kolejne szkolenia pracowników. Szkolenia mają znaczenie, ale ludzie nie są w stanie niezawodnie rozpoznać każdego syntetycznego głosu, realistycznej wiadomości czy sklonowanego interfejsu. Organizacje potrzebują mechanizmów zakładających, że pewne oszustwa zakończą się sukcesem.

Mechanizmy te obejmują podpisywanie wspierane sprzętowo, symulację transakcji, listy dozwolonych wypłat, oddzielne środowiska rozwoju i skarbca oraz wymagania zatwierdzania z udziałem więcej niż jednej osoby. Zespoły potrzebują również krótkotrwałych danych uwierzytelniających i scentralizowanych procedur ich unieważniania.

Przeszukiwalna baza wiedzy może wspierać przygotowanie na incydenty, utrzymując dostępność zweryfikowanych procedur. Nie zastąpi egzekwowania mechanizmów technicznych, ale może ograniczyć zamieszanie, gdy zespoły szybko potrzebują zaufanych instrukcji.

Bezpieczeństwo AI w Web3 polega więc mniej na rozpoznaniu każdego fałszerstwa. Chodzi o uniemożliwienie skutecznemu fałszerstwu uzyskania wystarczających uprawnień do opróżnienia portfela lub zmiany systemów produkcyjnych.

Automatyzacja pomaga atakującym, ale Web3 nadal zapewnia im przewagę

AI poprawia szybkość i formę ataków, podczas gdy skoncentrowane dane uwierzytelniające i nieodwracalne transakcje Web3 decydują o ich skutkach.

Określenie „atak wspierany przez AI” może ukrywać więcej, niż wyjaśnia. Może opisywać wygenerowany tekst phishingowy, syntetyczne wideo, automatyczne wykrywanie podatności, generowanie złośliwego kodu lub agenta zmanipulowanego przez wrogie dane wejściowe. Mechanizmy te nie są wymienne.

Phishing jest obecnie najczytelniejszym punktem styku. Model językowy może tworzyć poprawne gramatycznie wiadomości w wielu językach i dostosowywać je do roli odbiorcy. Atakujący mogą łączyć ten tekst z informacjami z publicznych profili, naruszonych baz danych lub skradzionej poczty e-mail.

Społeczności kryptowalutowe w dużym stopniu polegają też na Discord, Telegram, X i innych otwartych kanałach. Rozmowy dotyczące wsparcia, ogłoszenia tokenów, dyskusje o zarządzaniu i oferty pracy mogą trafiać przez te same interfejsy, z których korzystają osoby podszywające się pod innych.

Check Point udokumentował ten wzorzec w swoim badaniu Inferno Drainer. Badacze znaleźli kampanię, która przenosiła użytkowników z legalnej strony Web3 na Discord, a następnie prezentowała podrobionego bota Collab.Land i stronę phishingową.

Ofiary były nakłaniane do połączenia portfeli i podpisania złośliwych transakcji. Technika wykorzystywała znany proces weryfikacji, a nie egzotyczną zdolność AI. Check Point oszacował, że Inferno Drainer dotknął ponad 30 000 portfeli i spowodował co najmniej 9 milionów dolarów strat w ciągu sześciu miesięcy.

Usługa wykorzystywała również krótkotrwałe kontrakty, zaszyfrowaną konfigurację on-chain, rotujące adresy i infrastrukturę proxy. Mechanizmy te utrudniały wykrywanie i blokowanie. Pokazują, jak automatyzacja i infrastruktura przestępcza wielokrotnego użytku mogą skalować atak bez konieczności użycia nowatorskiego modelu.

Infostealery tworzą inną drogę. Zbierają z zainfekowanej maszyny pliki cookie przeglądarki, zapisane hasła, tokeny, pliki i dane związane z portfelami. Atakujący mogą je rozpowszechniać za pośrednictwem podrobionych aplikacji, złośliwych reklam, cracków oprogramowania, zatrutych repozytoriów lub fałszywych rozmów rekrutacyjnych.

AI może uczynić te kampanie bardziej przekonującymi. Może pisać spersonalizowane wiadomości rekrutacyjne, generować realistyczne dokumenty lub pomagać tworzyć imitacje stron internetowych. Jednak złośliwy załącznik, pakiet lub polecenie pozostaje punktem, w którym perswazja staje się wykonaniem.

Ta granica ma znaczenie dla obrony. Klasyfikatory treści mogą wykrywać podejrzane sformułowania, ale nie mogą powstrzymać użytkownika przed uruchomieniem niepodpisanego pliku binarnego. Podobnie audyt smart kontraktu nie usunie malware z laptopa dewelopera.

Hacken opisał szerszą zmianę w swoim raporcie bezpieczeństwa H1. Firma naliczyła 3,1 miliarda dolarów strat w Web3 w pierwszej połowie 2025 roku. Przypisała 1,83 miliarda dolarów exploitom kontroli dostępu, 600 milionów dolarów phishingowi i socjotechnice oraz około 263 miliony dolarów błędom smart kontraktów.

Liczby te pochodzą z metodologii dostawcy usług bezpieczeństwa, a nie ze spisu rządowego. Mimo to wspierają kluczowe porównanie. Błędy dostępu i manipulacja ludźmi przyniosły w tym okresie znacznie większe raportowane straty niż błędy kontraktów.

Hacken zgłosił również wzrost exploitów związanych z AI o 1 025 procent, głównie z udziałem niezabezpieczonych interfejsów programowania aplikacji i podatnych konfiguracji inferencji. Twierdzenie to wymaga ostrożnej interpretacji, ponieważ publiczne podsumowanie nie zawiera pełnej listy zdarzeń ani mianownika.

Wysokie tempo wzrostu może wynikać z niskiej bazy. Standardy klasyfikacji mogą się również zmieniać, gdy badacze oznaczają więcej incydentów jako związane z AI. Ta liczba wskazuje na kategorię wartą obserwowania, ale nie dowodzi, że AI stała się główną przyczyną strat w Web3.

Bardziej uzasadniony wniosek jest taki, że AI rozszerza istniejące powierzchnie ataku. Web3 zapewnia natomiast atakującym wyjątkowo cenne uprawnienia, które mogą ukraść.

Agenci AI tworzą bardziej bezpośrednią drogę do aktywów cyfrowych

Ryzyko zmienia się strukturalnie, gdy system AI może odczytywać zewnętrzne treści i autoryzować transakcje bez kontroli człowieka nad każdym działaniem.

Agent AI to oprogramowanie wykorzystujące model do wybierania i wykonywania działań za pomocą różnych narzędzi. W środowisku Web3 działania te mogą obejmować odczytywanie danych rynkowych, wymianę aktywów, głosowanie w zarządzaniu, interakcje z kontraktami lub transfer środków.

Taki układ zmienia model zagrożeń. Tradycyjny chatbot może udzielić błędnej porady. Agent z dostępem do portfela może przekształcić błędną instrukcję w nieodwracalną transakcję.

Badacze z Princeton University i University of Illinois przeanalizowali ten problem w badaniu ataków na agentów. Ich praca koncentrowała się na manipulacji kontekstem — ataku polegającym na umieszczaniu złośliwych instrukcji w informacjach odczytywanych przez agenta.

Badacze testowali ataki przeciwko ElizaOS, frameworkowi używanemu do autonomicznych aplikacji Web3. Zgłosili, że zmanipulowane prompty i historyczne rejestry interakcji mogły prowadzić do niezamierzonych transferów oraz naruszeń zasad protokołu.

Przypomina to prompt injection, w którym niezaufana treść nakazuje modelowi zignorować jego właściwe zadanie. Różnica dotyczy konsekwencji operacyjnych. Zmanipulowany agent może nie tylko wygenerować złą odpowiedź. Może użyć podłączonego narzędzia lub portfela.

Badanie wykazało również, że oparte na promptach zabezpieczenia były niewystarczające w testowanym środowisku. Złośliwe informacje mogły utrzymywać się w zapisanym kontekście, wpływając na późniejsze interakcje. Taka trwałość stwarza możliwość kaskadowych awarii między sesjami.

Tych ustaleń nie należy uogólniać na każdego agenta ani każdą konfigurację portfela. Artykuł testował konkretne systemy i projekty ataków. Wdrożenia produkcyjne mogą narzucać uprawnienia i zewnętrzną weryfikację, które ograniczają ekspozycję.

Mechanizm jest jednak wiarygodny i istotny. Agent często potrzebuje zewnętrznych danych, by działać. Mogą one obejmować posty społecznościowe, propozycje dotyczące zarządzania, opisy tokenów, wiadomości wsparcia oraz interfejsy zdecentralizowanych aplikacji. Każda z tych powierzchni może przenosić wrogie instrukcje.

Twórcy powinni traktować kontekst modelu jako niezaufane dane wejściowe. Powinni również zakładać, że agent w końcu błędnie zinterpretuje żądanie albo napotka zmanipulowane informacje. Bezpieczeństwo musi znajdować się poza procesem rozumowania modelu.

Jednym z podejść jest rozdzielenie uprawnień. Agent monitorujący rynki nie potrzebuje automatycznie uprawnień do podpisywania transakcji. System przygotowujący transakcje może tworzyć niepodpisaną propozycję do weryfikacji przez inną usługę lub osobę.

Limity transakcji oferują kolejną granicę. Zespoły mogą ograniczać kwotę transferowaną w określonym okresie, zawężać listę zatwierdzonych kontraktów oraz zakazywać dowolnych adresów docelowych. Dedykowany silnik polityk może oceniać te reguły bez polegania na modelu.

Symulacja dodaje kontekst przed wykonaniem. Szacuje, jak transakcja zmienia salda, zatwierdzenia i stan kontraktu. Symulacja nie wykryje każdego złośliwego skutku, ale może ujawnić nieoczekiwane transfery lub nieograniczone uprawnienia do tokenów.

Na uwagę zasługuje również unieważnianie uprawnień. Zespoły potrzebują szybkiej metody wyłączania poświadczeń, rotacji kluczy, wstrzymywania automatyzacji i izolowania naruszonych komponentów. Skomplikowana procedura wyłączenia jest luką bezpieczeństwa, gdy agent działa nieprzerwanie.

To najbardziej konkretny wpływ AI na Web3. Modele przechodzą od generowania treści do systemów posiadających uprawnienia operacyjne. Wynikające z tego ryzyko bierze się z połączenia probabilistycznych decyzji z deterministycznym wykonywaniem operacji finansowych.

Narracja Google News nadal ma lukę dowodową

OneSafe wskazuje na realne zagrożenie, ale czytelnicy powinni unikać wrzucania każdej straty kryptowalutowej, kampanii phishingowej i infekcji malware do jednej statystyki AI.

Google News może wyświetlić artykuł, ale agregacja nie potwierdza każdego zawartego w nim twierdzenia. Widoczność w wyszukiwarce mierzy wykrywalność. Nie zastępuje dokumentacji reagowania na incydenty, analizy technicznej ani przejrzystego gromadzenia danych.

Artykuł OneSafe zawiera rozsądne rekomendacje, zwłaszcza poradę dotyczącą dokładnego sprawdzania plików związanych z AI i czyszczenia kopii zapasowych. Jednak jego najbardziej sugestywny przykład malware nie zawiera odnośnika do analizy kryminalistycznej. Czytelnicy nie mogą zbadać użytego oprogramowania, wektora infekcji, dotkniętego systemu ani procesu odzyskiwania.

Brak tych informacji ogranicza wartość wniosków. Jeśli atakujący rozpowszechniał fałszywą aplikację AI, kluczowe stają się podpisywanie aplikacji i weryfikacja pobierania. Jeśli wygenerowany kod wprowadził lukę, większe znaczenie ma przegląd kodu i testowanie. Jeśli złośliwa instrukcja uruchomiła polecenie, priorytetem stają się sandboxing i mechanizmy zatwierdzania.

Terminologia tworzy kolejny problem. „Malware nasycone AI” może sugerować, że model działał wewnątrz złośliwego programu. W wielu incydentach AI pomaga atakującemu wcześniej, pisząc wiadomości lub dostosowując kod. Malware, które trafia do ofiary, może zachowywać się jak znany infostealer.

Ta różnica wpływa na zakupy i politykę. Firma może kupić detektor treści AI, pozostawiając jednocześnie ujawnione poświadczenia deweloperów. Może zakazać zatwierdzonych asystentów, podczas gdy pracownicy nadal pobierają niezweryfikowane narzędzia. Może też rozszerzyć monitoring bez ograniczania uprawnień do transakcji.

Dane FBI wymagają podobnej dyscypliny. Kategoria AI opiera się na informacjach zgłoszonych w skargach. Agencja twierdzi, że AI umożliwia tworzenie przekonujących syntetycznych profili i rozmów, ale jej łączna wartość strat nie wyodrębnia technicznego wykorzystania protokołów Web3.

Kategoria kryptowalut jest również szersza niż włamania do blockchaina. Obejmuje oszustwa inwestycyjne i inne schematy, w których przestępcy żądają płatności lub przenoszą je za pośrednictwem aktywów cyfrowych. Kryptowaluta może być kanałem płatności, a nie podatnością.

Raporty dostawców odpowiadają na inne pytania. Firma zajmująca się bezpieczeństwem blockchaina może analizować straty on-chain i klasyfikować incydenty według własnej taksonomii. Jej zbiór danych może obejmować ataki na protokoły, których ofiary nigdy nie zgłaszają władzom federalnym.

Źródła te mogą wzajemnie się uzupełniać, nie będąc bezpośrednio porównywalne. FBI pokazuje skalę zgłoszonych oszustw. Check Point dokumentuje konkretną operację opróżniania portfeli. Hacken klasyfikuje straty w sektorze Web3. Badacze akademiccy testują, jak agenci reagują na wrogi kontekst.

Łącznie wspierają wyważony wniosek. AI sprawia, że oszustwa są tańsze w tworzeniu i łatwiejsze w personalizacji. Autonomiczni agenci mogą także generować nowe ryzyka wykonawcze. Żaden z tych punktów nie dowodzi, że AI odpowiada za większość strat w Web3.

Konkurencja ma również wymiar obronny. Zespoły bezpieczeństwa wykorzystują uczenie maszynowe do priorytetyzacji alertów, klasyfikacji kontraktów, identyfikowania podejrzanych transakcji i wykrywania anomalii behawioralnych. Deweloperzy używają modeli do przeglądu kodu i generowania testów.

Zastosowania te mogą ograniczać ryzyko, gdy ludzie weryfikują ich wyniki. Mogą tworzyć fałszywe poczucie bezpieczeństwa, gdy zespoły traktują ocenę modelu jako dowód bezpieczeństwa.

Główna rywalizacja to automatyzacja kontra egzekwowalne mechanizmy kontroli. Atakujący automatyzują rozpoznanie i perswazję. Obrońcy muszą automatyzować ograniczanie skutków, zasadę najmniejszych uprawnień, symulację, monitoring i unieważnianie uprawnień.

Takie ujęcie jest mniej dramatyczne niż uogólnione zagrożenie ze strony AI. Jest też bardziej użyteczne w działaniu.

Trzy sygnały pokażą, czy zagrożenie narasta

Kolejny etap będzie mierzony potwierdzonymi incydentami z udziałem agentów, stratami wynikającymi z kontroli dostępu i silniejszymi zabezpieczeniami transakcji, a nie liczbą alarmujących nagłówków.

Pierwszym sygnałem jest udokumentowana strata spowodowana bezpośrednio przez zmanipulowanego agenta AI. Przydatne ujawnienie wskazywałoby uprawnienia modelu, wrogie dane wejściowe, wykonane działania oraz mechanizmy kontroli, które zawiodły.

Taki incydent wzmocniłby argument, że AI tworzy odrębną klasę podatności Web3. Bez tych dowodów wiele zgłoszonych ataków pozostanie konwencjonalną kradzieżą poświadczeń lub phishingiem przygotowanym z pomocą AI.

Drugim sygnałem jest udział strat Web3 przypisywanych przejętym kluczom, uprawnieniom i inżynierii społecznej. Raporty bezpieczeństwa powinny publikować jasne definicje oraz, tam gdzie to możliwe, dane na poziomie pojedynczych zdarzeń.

Jeśli straty związane z kontrolą dostępu pozostaną dominujące, zespoły powinny priorytetowo traktować granice tożsamości i architekturę podpisywania. Utrzymujący się wzrost kompromitacji specyficznych dla modeli uzasadniałby większe inwestycje w izolację agentów i filtrowanie kontekstu.

Trzecim sygnałem jest wdrażanie niezależnych systemów polityk transakcyjnych. Dostawcy portfeli, giełdy i zespoły protokołów mogą wymagać symulacji, ograniczeń adresatów, limitów wydatków lub wielu zatwierdzeń przed przeniesieniem aktywów.

Powszechne wdrożenie osłabiłoby przewagę atakującego. Przekonująca syntetyczna wiadomość staje się mniej wartościowa, gdy jeden pracownik nie może autoryzować żądanego działania. Przejęty agent staje się mniej groźny, gdy jego poświadczenia pozwalają wyłącznie na wąsko określone operacje.

Ostrzeżenie OneSafe w Google News jest użyteczne, ponieważ kieruje uwagę na zachowania deweloperów przed wystąpieniem kryzysu. Jego luka dowodowa pokazuje również, dlaczego twierdzenia dotyczące bezpieczeństwa wymagają źródeł, odtwarzalnych szczegółów i ostrożnych kategorii.

Deweloperzy powinni przeanalizować każdą usługę, która może uzyskać dostęp do kodu, sesji przeglądarki, sekretów wdrożeniowych lub portfeli. Powinni określić, które systemy mogą jedynie rekomendować działanie, a które mogą je wykonać. Taka mapa często ujawnia więcej ryzyka niż lista zatwierdzonych produktów AI.

Nabywcy korporacyjni powinni pytać dostawców, w jaki sposób agenci przechowują kontekst, izolują narzędzia i unieważniają uprawnienia. Powinni również pytać, czy polityki transakcyjne działają poza modelem. Prompt bezpieczeństwa nie jest systemem kontroli dostępu.

Pracownicy umysłowi powinni weryfikować pilne prośby finansowe przez oddzielny kanał. Głos, wideo i znajomy styl pisania nie stanowią już wiarygodnego dowodu tożsamości. Znana metoda kontaktu i ustalony proces zatwierdzania mają większą wartość.

Ważnym pytaniem po tej historii Google News nie jest to, czy AI ma miejsce w Web3. Chodzi o to, czy każdy zautomatyzowany system ma wystarczające uprawnienia, by przekształcić jedno zwodnicze dane wejściowe w trwałą stratę. Skontroluj tę granicę już teraz, udokumentuj, kto może zatrzymać działanie, i przetestuj ścieżkę wyłączenia, zanim atakujący przetestują ją za Ciebie.