Noong May 4, ginamit ang isang mensahe na nakatago sa Morse code para simulan ang malakihang crypto transfer na umabot ng six figures. Dumaan ito sa dalawang magka-connect na AI system—yung isa ay Grok, yung chatbot mula sa xAI ni Elon Musk, at yung pangalawa ay Bankrbot, isang crypto agent na pwedeng magpadala ng payments gamit ang naka-link na wallet.
Ang nangyari, ang attacker nag-send muna ng digital membership token sa wallet — ito ang nag-unlock sa payment tools ng Bankr. Pagkatapos nito, dinecode ni Grok yung Morse code message, at na-treat ni Bankrbot ang sagot bilang payment order. Kaya, nag-transfer ito ng crypto na nasa $150,000 hanggang $200,000.
Paano Naging Six-Figure Payment ang Morse Code Message?
Bakit nakakabahala to? Dahil pinakita ng nangyari ang isang six-figure exploit na dahil lang sa dalawang AI agents. Isang AI lang ang nag-produce ng text, tapos yung isa naman, automatic na inisip na may permisong gumastos nito.
Kapag tiningnan mo ang laki ng AI agentic payments ngayon, ganitong sitwasyon ang pwedeng mag-cause ng malaking problema sa kinabukasan ng Agentic Finance.
Nabilang ng Keyrock na may 176 million na on-chain agent payments na umabot ng $73 million hanggang April 2026. Pero, ang median payment ay nasa pagitan lang ng $0.01 at $0.10, at halos 76% ng mga transaction ay mas mababa pa sa $0.30. Mukha mang maliit, pero kapag tuloy-tuloy at automatic ang mga bayad na ganito dahil sa software, nagiging malaking control problem din ito.
Pumapasok na rin ang ganitong pattern sa mga mainstream payment system. Nag-launch na rin ang Mastercard ng Agent Pay for Machines nitong June, para sa mga madalas pero maliit na halaga ng payments. Pinag-aaralan din ng Google at Visa ang paggawa ng standards para mapatunayan ng agents ang identity at authority nila.
Nagtanong ang BeInCrypto kina Rodrigo Coelho, CEO ng Edge & Node; Nitin Gaur, Head of Institutions ng Nethermind; at Francesco Andreoli, Director of Developer Relations sa MetaMask, kung sino ba ang may risk dito.
Diretso ang sagot ni Coelho.
“Yung company na nag-deploy nito. Wala talagang scenario na ang model ang mananagot,” sabi ni Rodrigo Coelho, CEO ng AI at Web3 infra developer na Edge & Node.
Inimplement na actually ng California ang gantong prinsipyo. AB 316, na epektibo mula January, hindi pinapayagan na gamitin ng developer, modifier, o user ng AI bilang excuse na ang system mismo ang kusang nag-cause ng damage. Mahalaga pa rin kung na-foresee at may proof ng causation.
Ang Receipt Hindi Automatic Na May Pahintulot Ka
Pwedeng patunayan ng on-chain transaction na gumalaw ang pera, pero hindi nito pinapakita kung may valid na pahintulot yung agent na magpadala ng payment.
“Karamihan sa mga company na nagde-deploy ng agents ngayon, hindi actually kayang patunayan kung ano talaga ang authorized gawin ng agent nila. Oo, mapapakita nila ang transaction sa chain—public at permanent ito. Pero, hindi nila mapapakita ang pahintulot na nagpapatunay nito,” ayon kay Coelho.
Maraming tanong na hindi masagot: Sino nagbigay ng authority? Anong policy ang ginamit? Anong info ang binasa ng agent? Pumasa ba sa limit yung payment? Hindi kayang sagutin ‘yan ng wallet address lang.
Ayon kay Nitin Gaur ng Nethermind, nakasalalay ang dispute dito sa mandate.
“Ang basehan ng resolution ng dispute ay ang authority evidence. Kailangan mapakita na yung agent ay kumilos batay sa valid, signed, at may takdang oras na mandate — doon ito nakaklaro, parang ibang authorized na payment din.”
Gumagamit ang Google AP2 ng cryptographically signed mandates para i-record ang gusto talaga ng user. Ang Visa naman, merong Trusted Agent Protocol para patunayan through digital signature, identity at authority ng agent.
Pati si Mastercard, nagdadagdag ng credentialing at automatic na limit. Iba-iba man ang sistema, pero pareho ang target: siguraduhin na kasama ng payment ang valid na pahintulot.
Ilagay Ang Limit Kung Saan Hindi Maaabot ng Agent
Hindi pa rin sapat kung pwedeng palitan ng agent yung mandate, i-approve yung sarili niyang request, o hawak niya lahat ng signing power. Ayon kay Coelho, dapat hanggang private key lang ang boundary ni agent.
“Hindi dapat hawak ng agent ang keys. Dapat pwede lang siyang magsuggest ng payment, tapos ibang system ang magde-decide kung allowed ba talaga yung payment,” sabi ni Coelho.
Pareho rin ng punto ni Francesco Andreoli ng MetaMask tungkol sa prompts:
“Yung mga controls na gumagana talaga — yun yung hindi kayang abutin ng agent. Kung nasa prompt lang ang policy mo, suggestion lang yun, hindi policy. Ilang beses nang napasunod ang ganitong system sa ayaw nitong gawin.”
Ibig sabihin sa totoong setup, kailangan hiwalay ang funds, may hard transaction at daily limits, only allowed counterparties, mabilis ang revocation, at merong kill switch na tested na talaga. Dapat may independent system na nagche-check ng rules bago pirmahan ang transaction.
May dadagdag na risk yung mga tools na ginagamit para mag-feed ng agents. Nag-scan ang Snyk ng 3,984 public agent skills noong February at nakita nila na nasa 36.82% nito may security issue. Nakumpirma rin nila na may 76 na malicious payload, kadalasan nauuwi sa credential theft, backdoor, o data exfiltration.
Nakikita ni Gaur na pinaka-dominante ngayon yung prompt injection: “Prompt injection talaga yung madalas: may instruction na nanggaling sa hindi trusted na content, tapos susundin ng agent na parang legit yung utos.”
Para may matibay kang audit trail, kailangan kumpleto yung info tulad ng agent identity, signed na mandate, policy version, transaction, source data, at kahit anong na-approve na exception, lahat ‘yan kailangan ma-record kapag may payment. Isang parte lang ng proseso yung chain.
Mas simple yung standard ni Gaur: “Provable, revocable, at bounded.”
Kapag wala yang mga qualities na ‘yan, ang mangyayari lang, may resibo ka na hindi mo kayang depensahan.
