Dlaczego spreparowane treści odczytywane przez mojego agenta mogą autoryzować mój portfel on-chain do transferu środków?

Agent AI z uprawnieniami do podpisywania transakcji portfela kryptowalutowego przetwarza dowolne treści zewnętrzne jako część kontekstu swojego zadania: strony internetowe, e-maile, dokumenty, odpowiedzi API. Żaden element dzisiejszej infrastruktury podpisywania nie oddziela od siebie źródeł instrukcji, więc strona, którą agent ma streścić, może zawierać ukryte instrukcje transferu, które agent interpretuje jako prawidłowe zadanie i wykonuje. Standardy portfeli, takie jak klucze sesji ERC-4337, ujmują problem jako pytanie o to, co może zrobić ten klucz, a nie skąd pochodzi ta instrukcja. Żadne obecne środowisko uruchomieniowe agenta nie filtruje decyzji o podpisaniu według proweniencji instrukcji, co oznacza, że portfel upoważniony do transferu środków jest dokładnie tak bezpieczny, jak najbardziej wrogie dokumenty, jakie agent kiedykolwiek odczyta.