Em 4 de maio, uma mensagem oculta em código Morse ajudou a desencadear uma transferência de criptomoeda de seis dígitos. Ela passou por dois sistemas de IA conectados. Um era o Grok de Elon Musk, o chatbot criado pela xAI de Elon Musk. O outro era o Bankrbot, um agente de criptomoeda que podia fazer pagamentos de uma carteira vinculada.
O atacante primeiro enviou ao wallet um token de membro digital que desbloqueou as ferramentas de pagamento do Bankr. O Grok então decifrou a mensagem, e o Bankrbot tratou a resposta como uma ordem de pagamento. Ele transferiu uma quantia estimada entre $150.000 e $200.000.
Uma Mensagem em Código Morse Tornou-se um Pagamento de Seis Dígitos
Agora, por que isso é preocupante? Porque o caso destaca uma exploração de seis dígitos envolvendo apenas dois agentes de IA. Uma IA produziu texto. Outra tratou isso como permissão para gastar.
Se olharmos para a escala dos pagamentos de agentes de IA hoje, tais cenários poderiam ser um pesadelo para o futuro das Finanças Agentes.
A Keyrock contabilizou 176 milhões de pagamentos de agentes on-chain no valor de $73 milhões até abril de 2026. O pagamento mediano ficou entre $0,01 e $0,10, enquanto 76% ficaram abaixo de $0,30. Pequenos pagamentos se tornam um grande problema de controle quando o software pode realizá-los continuamente.
O padrão está se movendo para a infraestrutura de pagamento mainstream. A Mastercard lançou o Agent Pay for Machines em junho para pagamentos de alta frequência e baixo valor, enquanto o Google e a Visa estão desenvolvendo padrões para que os agentes provem identidade e autoridade.
BeInCrypto perguntou a Rodrigo Coelho, CEO da Edge & Node; Nitin Gaur, Chefe de Instituições da Nethermind; e Francesco Andreoli, Diretor de Relações com Desenvolvedores da MetaMask, quem assume o risco.
Coelho foi direto.
“A empresa que o implantou. Não há versão disso onde a responsabilidade recai sobre o modelo,” disse Rodrigo Coelho, o CEO da desenvolvedora de infraestrutura de IA e Web3 Edge & Node.
A Califórnia já colocou esse princípio em lei. A AB 316, em vigor desde janeiro, impede que um réu que desenvolveu, modificou ou usou IA argumente que o sistema causou autonomamente o dano alegado. Causalidade e previsibilidade ainda importam.
O Recibo Não É a Permissão
Uma transação on-chain prova que o dinheiro se moveu. Não prova que o agente tinha um mandato válido para movê-lo.
“A maioria das empresas que implantam agentes hoje não poderia realmente provar o que seu agente estava autorizado a fazer. Elas podem mostrar a transação. Aconteceu em uma cadeia e o registro é público e permanente. O que elas não podem mostrar é a permissão que estava por trás disso,” disse Coelho.
As lacunas podem incluir quem delegou autoridade, qual política se aplicou, que informações o agente leu e se o pagamento permaneceu dentro de seus limites. Um endereço de carteira não responde a nenhuma dessas perguntas.
Nitin Gaur da Nethermind disse que a disputa gira em torno do mandato.
“O que decide uma disputa é a evidência de autoridade. Mostre que o agente atuou dentro de um mandato válido, assinado e com prazo definido e isso se resolve como qualquer outro pagamento autorizado.”
O AP2 do Google usa mandatos assinados criptograficamente para registrar a intenção do usuário. O Protocolo de Agente Confiável da Visa permite que agentes aprovados apresentem assinaturas digitais provando identidade e autorização associada.
A Mastercard adiciona credenciais e limites aplicados programaticamente. Os trilhos diferem, mas o objetivo de design é compartilhado: a permissão deve viajar com o pagamento.
Coloque os Limites Onde o Agente Não Pode Atingir
Um mandato ainda falha se o agente puder reescrevê-lo, aprovar seu próprio pedido ou ter poder de assinatura irrestrito. Coelho traça o limite na chave privada.
“O agente não deve segurar as chaves. Ele deve ser capaz de propor um pagamento, e um sistema separado decide se esse pagamento é permitido,” disse Coelho.
Francesco Andreoli da MetaMask faz o mesmo ponto sobre os prompts:
“Os controles que funcionam são aqueles que o agente não pode alcançar, se sua política vive no prompt, não é uma política, é uma sugestão para um sistema que vimos repetidamente ser convencido a fazer coisas.”
Na prática, isso significa fundos segregados, limites de transação rígidos e diários, contrapartes aprovadas, revogação rápida e um botão de desligar testado. Um sistema independente verifica as regras antes de assinar.
As ferramentas que alimentam os agentes criam outro risco. A Snyk escaneou 3.984 habilidades públicas de agentes em fevereiro e encontrou pelo menos um problema de segurança em 36,82%. Confirmou 76 cargas maliciosas envolvendo roubo de credenciais, backdoors ou exfiltração de dados.
Gaur vê a injeção de prompt como o padrão dominante: “A injeção de prompt é o padrão dominante: um agente recebe instruções de conteúdo não confiável que foi solicitado a ler e o executa como se o principal tivesse pedido.”
Portanto, uma trilha de auditoria defensável precisa da identidade do agente, mandato assinado, versão da política, transação, dados de origem e qualquer exceção aprovada, escrita quando o pagamento ocorre. A cadeia fornece uma parte.
O padrão de Gaur é mais curto: “Provável, revogável e limitado.”
Sem essas propriedades, as empresas ficam com um recibo imutável para uma decisão que não podem defender.
Fonte: BeInCrypto
