Den 4 maj hjälpte ett meddelande gömt i morsekod att starta en stor kryptotransaktion. Meddelandet gick igenom två ihopkopplade AI-system. Ett var Elon Musks Grok, chatboten från Elon Musks xAI. Det andra var Bankrbot, en kryptoagent som kan göra betalningar från en kopplad plånbok.
Angriparen skickade först en digital medlemstoken till plånboken. Den låste upp Bankrbots betaltjänster. Grok tolkade sedan meddelandet, och Bankrbot såg svaret som en betalningsorder. Den skickade mellan 150 000 USD och 200 000 USD.
Ett morsekodsmeddelande blev en stor betalning
Varför är detta oroande? Fallet visar på ett stort angrepp med bara två AI-agenter. Ena AI skrev texten. Den andra såg texten som tillåtelse att betala.
Om vi tittar på hur AI hanterar betalningar idag, kan sådana situationer bli problem för framtidens Agentic Finance.
Keyrock räknade 176 miljoner agentbetalningar på kedjan värda 73 miljoner USD fram till april 2026. Medianbetalningen låg mellan 0,01 USD och 0,10 USD, och 76 % var under 0,30 USD. Små betalningar blir svårt att kontrollera när programvara gör dem hela tiden.
Mönstret går nu in i vanlig betalningsinfrastruktur. Mastercard lanserade Agent Pay for Machines i juni för snabba men låga betalningar, medan Google och Visa utvecklar sätt för agenter att bevisa identitet och rättighet.
BeInCrypto frågade Rodrigo Coelho, vd för Edge & Node, Nitin Gaur, chef på Nethermind, samt Francesco Andreoli, chef för utvecklarrelationer på MetaMask, vem som bär risken.
Coelho svarade direkt.
“Företaget som har satt upp systemet. Det finns ingen version där modellen får ansvaret,” sa Rodrigo Coelho, vd för AI- och Web3-utvecklaren Edge & Node.
Kalifornien har redan gjort detta till lag. AB 316, som gäller sedan januari, hindrar någon som utvecklat, ändrat eller använt AI från att skylla på systemet ifall något händer. Orsak och förutsägbarhet spelar ändå roll.
Kvittot är inte tillståndet
En transaktion på kedjan visar att pengar har flyttats. Den visar inte om agenten hade rätt att göra det.
“De flesta företag som använder agenter idag kan inte bevisa vad agenten fick göra. De kan visa transaktionen. Den finns på kedjan, och alla kan se den. Men de kan inte visa bevis på tillståndet bakom,” sa Coelho.
Det kan saknas bevis på vem som gav rätten, vilken policy som gällde, vilken information agenten läste och om betalningen höll sig inom gränser. Plånboksadress ger inga svar.
Nitin Gaur från Nethermind säger att tvisten avgörs av mandatet.
“Det som avgör en tvist är bevis på rättighet. Visa att agenten hade ett giltigt, signerat och tidsbundet mandat så löses det som andra auktoriserade betalningar.”
Googles AP2 använder kryptografiskt signerade mandat för att visa användarens vilja. Visas Trusted Agent Protocol låter godkända agenter visa digitala signaturer för både identitet och rättighet.
Mastercard lägger till behörighet och automatiska gränser. Tekniska lösningen skiljer sig, men målet är samma: tillståndet måste följa med betalningen.
Lägg gränser där agenten inte kommer åt
Ett mandat hjälper inte om agenten kan ändra det, godkänna sina egna förfrågningar eller har fri signeringsrätt. Coelho säger att gränsen går vid privata nyckeln.
“Agenten ska inte få äga nycklarna. Den ska kunna föreslå en betalning, och ett separat system ska avgöra om betalning får göras,” sa Coelho.
Francesco Andreoli från MetaMask håller med gällande instruktioner:
“De kontroller som fungerar är de som agenten inte kan nå. Om policyn bara finns i instruktionen är det ingen policy, bara ett förslag till ett system som vi sett göra misstag.”
I praktiken betyder det separerade pengar, hårda gränser per transaktion och dag, godkända motparter, snabba återkallanden och en fungerande nödbrytare. Ett oberoende system kontrollerar reglerna innan någon signerar.
De verktyg som matar agenter skapar en annan risk. Snyk granskade 3 984 offentliga agentfärdigheter i februari och hittade minst ett säkerhetsproblem i 36,82 %. De bekräftade 76 skadliga attacker som rörde stöld av inloggningsuppgifter, bakdörrar eller datastöld.
Gaur säger att prompt injection är det vanligaste problemet: “Prompt injection är det mönster som dominerar. En agent tar instruktion från innehåll den inte kan lita på och utför det som om huvudpersonen hade bett om det.”
För att skapa ett säkert granskningsspår måste man ha agentens identitet, underskriven fullmakt, policyns version, transaktion, källdata och godkänd avvikelse, dokumenterat när en betalning sker. Blockkedjan löser bara en del av detta.
Gaur uttrycker standarden enklare: “Bevisbar, återkallningsbar och begränsad.”
Om man saknar dessa egenskaper, står företag bara med ett oföränderligt kvitto på ett beslut de inte kan försvara.
