Qui est responsable lorsqu’un agent d’IA perd votre argent ?
Le 4 mai, un message caché en code Morse a aidé à déclencher un transfert de crypto-monnaie à six chiffres. Il a traversé deux systèmes d'IA connectés. L'un était Grok d'Elon Musk, le chatbot construit par xAI d'Elon Musk. L'autre était Bankrbot, un agent crypto qui pouvait effectuer des paiements à partir d'un portefeuille lié.
L'attaquant a d'abord envoyé au portefeuille un jeton de membre numérique qui a débloqué les outils de paiement de Bankr. Grok a ensuite décodé le message, et Bankrbot a traité la réponse comme un ordre de paiement. Il a transféré entre 150 000 et 200 000 dollars.
Un message en code Morse est devenu un paiement à six chiffres
Alors, pourquoi cela est-il préoccupant ? Parce que cette affaire met en lumière une exploitation à six chiffres impliquant seulement deux agents d'IA. Une IA a produit du texte. Une autre l'a traité comme une autorisation de dépenser.
Si nous regardons l'échelle des paiements agentiques d'IA aujourd'hui, de tels scénarios pourraient être un cauchemar pour l'avenir des finances agentiques.
Keyrock a compté 176 millions de paiements d'agents sur la chaîne d'une valeur de 73 millions de dollars jusqu'en avril 2026. Le paiement médian se situait entre 0,01 et 0,10 dollar, tandis que 76 % étaient en dessous de 0,30 dollar. Les petits paiements deviennent un grand problème de contrôle lorsque le logiciel peut les effectuer en continu.
Le modèle se déplace vers l'infrastructure de paiement grand public. Mastercard a lancé Agent Pay for Machines en juin pour des paiements à haute fréquence et de faible valeur, tandis que Google et Visa développent des normes pour que les agents prouvent leur identité et leur autorité.
BeInCrypto a demandé à Rodrigo Coelho, PDG d'Edge & Node ; Nitin Gaur, Responsable des Institutions chez Nethermind ; et Francesco Andreoli, Directeur des Relations Développeurs chez MetaMask, qui porte le risque.
Coelho a été direct.
« La société qui l'a déployé. Il n'y a pas de version où la responsabilité incombe au modèle », a déclaré Rodrigo Coelho, le PDG du développeur d'infrastructure AI et Web3 Edge & Node.
La Californie a déjà inscrit ce principe dans la loi. La loi AB 316, en vigueur depuis janvier, empêche un défendeur qui a développé, modifié ou utilisé l'IA de soutenir que le système a causé de manière autonome le préjudice allégué. La causalité et la prévisibilité comptent toujours.
Le reçu n'est pas la permission
Une transaction on-chain prouve que de l'argent a été déplacé. Cela ne prouve pas que l'agent avait un mandat valide pour le déplacer.
« La plupart des entreprises déployant des agents aujourd'hui ne pouvaient en réalité pas prouver ce que leur agent était autorisé à faire. Elles peuvent vous montrer la transaction. Cela s'est produit sur une chaîne et l'enregistrement est public et permanent. Ce qu'elles ne peuvent pas vous montrer, c'est la permission qui se trouvait derrière », a déclaré Coelho.
Les lacunes peuvent inclure qui a délégué l'autorité, quelle politique s'appliquait, quelles informations l'agent a lues et si le paiement est resté dans ses limites. Une adresse de portefeuille ne répond à aucune de ces questions.
Nitin Gaur de Nethermind a déclaré que le différend repose sur le mandat.
« Ce qui décide d'un différend, c'est la preuve d'autorité. Montrez que l'agent a agi dans le cadre d'un mandat valide, signé et limité dans le temps, et cela se résout comme tout autre paiement autorisé. »
L'AP2 de Google utilise des mandats signés cryptographiquement pour enregistrer l'intention de l'utilisateur. Le Protocole d'Agent de Confiance de Visa permet aux agents approuvés de présenter des signatures numériques prouvant leur identité et l'autorisation associée.
Mastercard ajoute une vérification des identités et des limites appliquées par programme. Les rails diffèrent, mais l'objectif de conception est partagé : la permission doit voyager avec le paiement.
Mettez les limites là où l'agent ne peut pas atteindre
Un mandat échoue toujours si l'agent peut le réécrire, approuver sa propre demande ou détenir un pouvoir de signature illimité. Coelho trace la limite au niveau de la clé privée.
« L'agent ne devrait pas détenir les clés. Il devrait être capable de proposer un paiement, et un système séparé décide si ce paiement est autorisé, » a déclaré Coelho.
Francesco Andreoli de MetaMask fait le même constat concernant les invites :
« Les contrôles qui fonctionnent sont ceux que l'agent ne peut pas atteindre, si votre politique vit dans l'invite, ce n'est pas une politique, c'est une suggestion à un système que nous avons vu à plusieurs reprises se laisser convaincre. »
En pratique, cela signifie des fonds séparés, des limites de transaction strictes et quotidiennes, des contreparties approuvées, une révocation rapide et un interrupteur d'arrêt testé. Un système indépendant vérifie les règles avant de signer.
Les outils alimentant les agents créent un autre risque. Snyk a analysé 3 984 compétences d'agents publiques en février et a trouvé au moins un problème de sécurité dans 36,82 %. Il a confirmé 76 charges malveillantes impliquant le vol de données d'identification, des portes dérobées ou l'exfiltration de données.
Gaur considère l'injection de prompt comme le modèle dominant : « L'injection de prompt est le modèle dominant : un agent prend des instructions d'un contenu non fiable qu'on lui a demandé de lire et l'exécute comme si le principal l'avait demandé. »
Un audit défendable nécessite donc l'identité de l'agent, le mandat signé, la version de la politique, la transaction, les données sources et toute exception approuvée, rédigée lors du paiement. La chaîne fournit une partie.
La norme de Gaur est plus courte : « Prouvable, révocable et limitée. »
Sans ces propriétés, les entreprises se retrouvent avec un reçu immuable pour une décision qu'elles ne peuvent pas défendre.
Source : BeInCrypto