4 मई को, मोर्स कोड में छिपा एक मैसेज ने छह-अंकों की क्रिप्टोकरेन्सी ट्रांसफर को ट्रिगर किया। यह मैसेज दो जुड़े हुए AI सिस्टम्स के जरिए गया। एक था Elon Musk का Grok, जो Elon Musk की कंपनी xAI का चैटबॉट है। दूसरा था Bankrbot, एक क्रिप्टो एजेंट जो लिंक्ड वॉलेट से पेमेंट कर सकता है।
हमलावर ने सबसे पहले वॉलेट को एक डिजिटल मेंबरशिप टोकन भेजा, जिससे Bankr की पेमेंट टूल्स अनलॉक हो गईं। इसके बाद, Grok ने मैसेज को डिकोड कर दिया और Bankrbot ने इस रिस्पॉन्स को पेमेंट ऑर्डर की तरह ट्रीट किया। इसके बाद लगभग $150,000 से $200,000 का ट्रांसफर हुआ।
कैसे मोर्स-कोड मैसेज से हुआ छह अंकों का पेमेंट
तो, यह चिंता का विषय क्यों है? क्योंकि यह मामला दो AI एजेंट्स के बीच छह-अंकों के एक्सप्लॉइट को हाईलाइट करता है। एक AI ने टेक्स्ट बनाया और दूसरे ने उसे पैसे खर्च करने की परमिशन मान लिया।
अगर आज के AI एजेंटिक पेमेंट्स के स्केल को देखें, तो ऐसे सीनारियोज़ भविष्य में एजन्टिक फाइनेंस के लिए खतरनाक साबित हो सकते हैं।
Keyrock के मुताबिक अप्रैल 2026 तक ऑन-चेन एजेंट पेमेंट्स की संख्या 176 मिलियन थी, जिनकी वैल्यू $73 मिलियन थी। मीडियन पेमेंट $0.01 से $0.10 के बीच थी, जबकि 76% पेमेंट्स $0.30 से कम थीं। छोटे पेमेंट्स सॉफ्टवेयर द्वारा लगातार किए जाएं, तो बड़ा कंट्रोल चैलेंज बन जाता है।
यह पैटर्न अब मेनस्ट्रीम पेमेंट इन्फ्रास्ट्रक्चर में भी आ रहा है। Mastercard ने जून में Agent Pay for Machines लॉन्च किया है ताकि हाई-फ्रीक्वेंसी, लो-वैल्यू पेमेंट्स किए जा सकें। वहीं Google और Visa इस पर काम कर रहे हैं कि एजेंट्स अपनी पहचान और अथॉरिटी कैसे प्रूव करें।
BeInCrypto ने Edge & Node के CEO Rodrigo Coelho, Nethermind के Head of Institutions Nitin Gaur, और MetaMask के Director of Developer Relations Francesco Andreoli से पूछा कि ऐसे मामलों में रिस्क कौन उठाता है।
Coelho ने सीधा जवाब दिया।
“वो कंपनी जिसने इसे डिप्लॉय किया है। इस केस में रिस्पॉन्सिबिलिटी मॉडल पर नहीं आएगी,” कहा Rodrigo Coelho, जो AI और Web3 इन्फ्रास्ट्रक्चर डिवेलपर Edge & Node के CEO हैं।
California पहले ही इस सिद्धांत को कानून में शामिल कर चुका है। AB 316, जो जनवरी से लागू है, यह रोक लगाता है कि कोई भी डिफेंडेंट जिसने AI को डेवलप, मॉडिफाई या यूज़ किया है, वो यह दावा नहीं कर सकता कि सिस्टम ने ऑटोनॉमस तरीके से कथित नुकसान किया। कारण और अनुमान अब भी मायने रखते हैं।
रीसीट परमिशन नहीं है
ऑन-चेन ट्रांजेक्शन दिखाता है कि पैसे का ट्रांसफर हुआ। लेकिन यह साबित नहीं करता कि एजेंट के पास पैसे ट्रांसफर करने की वैलिड परमिशन थी।
“आज ज्यादातर कंपनियां जो एजेंट का डिप्लॉयमेंट कर रही हैं, वो यह साबित नहीं कर सकतीं कि उनके एजेंट को आखिरकार करने के लिए परमिशन मिली थी। वे आपको ट्रांजेक्शन दिखा सकती हैं। यह चेन पर हुआ है और रिकॉर्ड पब्लिक और पर्मानेंट है। लेकिन वे ये नहीं दिखा सकतीं कि इसके पीछे जो परमिशन थी, वो क्या थी,” Coelho ने कहा।
गैप्स में ये बातें शामिल हो सकती हैं – किसने अथॉरिटी डेलीगेट की, कौन सी पॉलिसी लागू हुई, एजेंट ने कौन सी जानकारी पढ़ी और पेमेंट लिमिट के अंदर रहा या नहीं। एक वॉलेट एड्रेस इनमें से किसी सवाल का जवाब नहीं देता।
Nethermind के Nitin Gaur कहते हैं कि विवाद अंततः मैनडेट पर निर्भर करता है।
“किसी भी विवाद का फैसला अथॉरिटी के प्रूफ से होता है। दिखाइए कि एजेंट ने वैलिड, साइन किए हुए, टाइम-सीमित मैनडेट के अंदर काम किया है, तो मामला वैसे ही सुलझ जाएगा जैसे कोई और ऑथोराइज़्ड पेमेंट।”
Google का AP2 यूज़र की मंशा रिकॉर्ड करने के लिए क्रिप्टोग्राफिकली साइन किए हुए मैनडेट्स का इस्तेमाल करता है। Visa के Trusted Agent Protocol के ज़रिए अप्रूव एजेंट्स डिजिटल सिग्नेचर दिखा सकते हैं जो आइडेंटिटी और संबंधित परमिशन को प्रूव करता है।
Mastercard इसमें क्रेडेंशियलिंग और प्रोग्रामेटिक लिमिट्स जोड़ता है। भले ही rails अलग हैं, डिज़ाइन का मकसद एक ही है — परमिशन हमेशा पेमेंट के साथ रहनी चाहिए।
लिमिट्स वहीं लगाएं जहां एजेंट पहुंच नहीं सकता
मैनडेट तब भी फेल हो जाता है अगर एजेंट उसे खुद ही बदल सकता है, खुद ही अपनी रिक्वेस्ट अप्रूव कर सकता है या उसके पास अनलिमिटेड साइनिंग पावर हो। Coelho प्राइवेट की पर ये बाउंड्री ड्रॉ करते हैं।
“एजेंट के पास की नहीं होना चाहिए। उसे सिर्फ पेमेंट का प्रपोज़ल देना चाहिए और अलग सिस्टम यह फैसला करे कि पेमेंट की परमिशन दी जाए या नहीं,” Coelho ने कहा।
MetaMask के Francesco Andreoli भी प्रॉम्प्ट्स को लेकर यही बात कहते हैं:
“जो कंट्रोल्स एजेंट की पहुंच से बाहर होते हैं, वही काम करते हैं। अगर आपकी पॉलिसी सिर्फ प्रॉम्प्ट में है, तो वो पॉलिसी नहीं बल्कि सिर्फ एक सुझाव है — हम ऐसे सिस्टम को कई बार अपनी मर्ज़ी से फैसले करवाते देख चुके हैं।”
असल में इसका मतलब है – अलग-अलग फंड्स, हार्ड ट्रांजेक्शन और दैनिक लिमिट्स, अप्रूव पार्टनर, फास्ट रिवोकेशन और टेस्टेड किल स्विच। एक इंडिपेंडेंट सिस्टम साइनिंग से पहले रूल्स चेक करता है।
टूल्स जो एजेंट्स को फीड करते हैं, वे एक और रिस्क पैदा करते हैं। Snyk ने फरवरी में 3,984 पब्लिक एजेंट स्किल्स स्कैन कीं और पाया कि 36.82% में कम से कम एक सिक्योरिटी इश्यू था। इसमें क्रेडेंशियल चोरी, बैकडोर्स या डाटा एक्सफिल्टरेशन वाले 76 मैलिशियस पेलोड्स की पुष्टि हुई है।
Gaur के अनुसार, प्रॉम्प्ट इंजेक्शन डॉमिनेंट पैटर्न है: “प्रॉम्प्ट इंजेक्शन डॉमिनेंट पैटर्न है: एक एजेंट अनट्रस्टेड कंटेंट से इंस्ट्रक्शन लेता है जिसे वो पढ़ने के लिए कहा गया था और उसे ऐसे एक्जीक्यूट करता है जैसे प्रिंसिपल ने वही कहा हो।”
एक डिफेंसबल ऑडिट ट्रेल के लिए जरूरी है कि उसमें एजेंट आइडेंटिटी, साइन किया हुआ मैंडेट, पॉलिसी वर्जन, ट्रांजेक्शन, सोर्स डाटा और कोई भी अप्रूव्ड एक्सेप्शन (पेमेण्ट के समय लिखा गया) हो। चेन इसका एक पार्ट देती है।
Gaur का स्टैंडर्ड छोटा है: “प्रूवेबल, रिवोकबल और बॉन्डेड।”
इन प्रॉपर्टीज के बिना, कंपनियों के पास ऐसे फैसले की इम्युटेबल रिसीट रह जाती है जिसे वे डिफेंड नहीं कर सकते हैं।
