In einem Forschungsbeitrag vom 13. November beschreibt Circle Anduin, ein experimentelles Ranking-System für Agent-Marketplaces, das Dienstanbieter danach bewertet, wer sie bereits bezahlt hat – und danach, ob diese Zahler mit der eigenen Zahlungshistorie eines Käufers überlappen. Das Designziel ist bewusst eng gefasst: Jeder, der die Popularität eines Anbieters fälschen will, soll gezwungen werden, Geld bei Unternehmen auszugeben, die ihm nicht gehören.

Fake-Kunden kosten fast nichts

Ein Sybil-Angriff besteht darin, dass ein einziger Betreiber viele unabhängige Teilnehmer simuliert. In einer Agent-Marketplace bedeutet das: Käufer-Wallets werden hochgezogen und mit jeder davon der eigene Dienst des Betreibers bezahlt, sodass ein Storefront, der nie einen echten Kunden bedient hat, rege beschäftigt wirkt. Die Transfers sind echte On-Chain-Transaktionen, doch das Geld verlässt nie die Hände des Betreibers; ausgegeben werden lediglich Netzwerkgebühren.

Die begleitende Forschungsarbeit beziffert, wie billig dieser Trick ist: Nach den nutzungsbasierten Metriken, auf die Marketplaces heute setzen, kostet die Anhebung des Rufs eines gefälschten Anbieters auf den Marketplace-Median etwa 0,0027 US-Dollar. Bewertungen sind kein Ausweg. Von den 66 Millionen Zahlungen, die die Forscher untersuchten, trugen weniger als 4.000 eine freiwillige On-Chain-Bewertung.

Diese Zahlungen laufen über den x402-Standard, der es einem Dienst ermöglicht, seinen Preis in einer HTTP-402-Antwort zurückzugeben und Software die Zahlung innerhalb des Requests abwickeln lässt – ohne Konto oder Checkout-Schritt. Das ist der Grund, warum Einkauf von Agent zu Dienst funktioniert – und auch der Grund, warum sich ein viel frequentierter Storefront so leicht fälschen lässt. Coindoo hat sich separat damit befasst, was eine x402-Zahlung darüber verrät – und was nicht –, wer dahintersteckt.

Wie Anduin Zahlungen in einen Preis übersetzt

Die Forscher modellieren jeden Käufer und Anbieter als Knoten in einem Graphen, wobei Zahlungen die Verbindungen zwischen ihnen bilden, gewichtet nach Zahlungshöhe, Häufigkeit und Aktualität. Ein Standard-Empfehlungssystem, Collaborative Filtering, arbeitet auf diesem Graphen, indem es Käufer findet, die einem Nutzer ähneln, und empfiehlt, was diese ähnlichen Käufer gekauft haben. Es kann einen Cluster echter Kunden nicht von einem Cluster vom Verkäufer finanzierter Wallets unterscheiden; beides sieht wie Nachfrage aus.

Anduin liest denselben Graphen anders. Es beginnt bei den Anbietern, die ein Käufer bereits bezahlt, und behandelt diese als vertrauenswürdige Anker des Käufers. Angenommen, ein Agent bezahlt regelmäßig einen Übersetzungsdienst. Andere Käufer bezahlen ebenfalls diesen Übersetzer, und einige von ihnen bezahlen einen Datenanbieter, den der Agent noch nie genutzt hat. Der Datenanbieter erhält über diesen Pfad eine Empfehlung, und die Stärke der Empfehlung ist durch das echte Geld begrenzt, das entlang dieses Pfades fließt.

Diese Grenze ist der Kern des Konzepts. Zahlungen zwischen Wallets, die der Angreifer kontrolliert, berühren nie einen der vertrauenswürdigen Anbieter des Käufers und tragen daher nichts zum Pfad bei. Um eine Verbindung zu erschaffen, muss der Angreifer den Übersetzer bezahlen – ein Unternehmen, das ihm nicht gehört – und kann das Geld nicht zurückholen. Die Studie formalisiert dies mit drei flowbasierten Scoring-Varianten und beweist für jede eine Untergrenze der Angreiferkosten; die Variante, die Circle hervorhebt, heißt Amplified Flow. Die anschließende Frage ist, wie groß diese Untergrenze bei echten Daten ausfällt.

8.259 US-Dollar, um alle Käufer zu täuschen, 291 US-Dollar, um den entscheidenden zu täuschen

Die Forscher untersuchten ein 90-Tage-Fenster von x402-Zahlungen bis zum 21. Juni und identifizierten 813 Käufer, die anschließend einen Anbieter bezahlten, den sie zuvor nie genutzt hatten. Jede Methode sollte im Vorfeld Anbieter für diese Käufer ranken; ein Treffer lag vor, wenn der Anbieter, den sie tatsächlich als Nächstes wählten, auf Platz eins stand. Der Angriffstest fragte dann, wie viel ein Außenstehender ausgeben müsste, um stattdessen einen neuen Anbieter auf den ersten Platz zu setzen.

Der vollständige Datensatz hinter der Studie umfasst 66,1 Millionen Zahlungen im Wert von etwa 6,1 Millionen US-Dollar über 16 Netzwerke, erhoben zwischen dem 23. März und dem 26. August. Die Kostenangaben stellen modellierte Angreiferausgaben inklusive Netzwerkgebühren dar – keine dokumentierten Verluste, wie aus der Anduin-Studie von Circle Research hervorgeht.

Liest man die Ergebnisse quer, ist der Kompromiss klar: Anduin gab 0,4 Prozentpunkte an Vorhersagegenauigkeit auf und machte den Angriff rund 23-mal teurer. In die andere Richtung gelesen, sieht das Bild weniger angenehm aus. Platz eins des Rankings für alle Käufer gleichzeitig zu erringen kostet Tausende – im Test 8.259 US-Dollar –, während Platz eins für einen einzelnen hochwertigen Käufer nur wenige Hundert Dollar kostet: 291 US-Dollar. Für einen unehrlichen Verkäufer ist die zweite Zahl die entscheidende, denn ein sorgfältig ausgewählter Käufer ist das realistische Ziel.

Ob 291 US-Dollar jemanden abschrecken, hängt davon ab, was dieser Käufer für den Angreifer wert ist, und die Studie beziffert diese Seite der Bilanz nicht. Ihre Zahlen erfassen die Kosten einer Ranking-Verschiebung, nicht den Umsatz, den ein gefälschter Anbieter dort erzielen könnte. Die Abschreckung ist daher eine Bedingung, kein Ergebnis: Das Verfahren funktioniert dort, wo der Gewinn unterhalb des Preises bleibt, und Circles Daten können noch nicht zeigen, wo diese Linie verläuft.

Wo der Preis nicht mehr trägt

Die Untergrenze ruht auf einer Annahme: Geld, das an die bestehenden Anbieter eines Käufers gezahlt wird, ist endgültig verloren. Circle stellt klar, dass kolludierende Anbieter und Anbieter, die den Angreifer still zurückzahlen, außerhalb von Anduins Garantie liegen. Ist der Übersetzer im obigen Beispiel bereit, einen Anteil zu behalten und den Rest zurückzusenden, sinken die echten Kosten des Angreifers auf die Gebühr, und das Ranking ist wieder genauso käuflich wie zuvor. Anduin nimmt außerdem an, dass der Angreifer keinen der Anbieter kontrolliert, die der Käufer bereits nutzt; in einem offenen Markt ist das eine zu überprüfende Bedingung, keine Selbstverständlichkeit.

Die zweite Lücke ist der leere Graph. Ein Käufer ohne Zahlungshistorie hat keine vertrauenswürdigen Anker, also gibt es keine Pfade und nichts zu ranken. Circle verweist auf kuratierte Allow-Lists als Ausgangspunkt, während die Studie selbst anmerkt, dass Verzeichnisse geprüfter Anbieter schlecht skalieren, sobald die Zahl der Dienste übersteigt, was menschliche Prüfer auditieren können. Neue Anbieter stehen vor dem Spiegelproblem: Bis ein Käufer im Netzwerk sie bezahlt hat, gibt es keinen Pfad, über den sie in einem personalisierten Ranking erscheinen könnten.

Ein Ranking ist keine Rezension

Selbst innerhalb ihrer Annahmen misst das Experiment etwas Engeres als Vertrauenswürdigkeit. Als korrekt gewertet wird eine Methode, wenn der Anbieter, den sie auf Platz eins setzte, derjenige ist, den der Käufer als Nächstes bezahlte. Das ist ein Test dafür, ob das Ranking Kaufverhalten widerspiegelt – nicht Dienstqualität. Käufer bezahlen regelmäßig Daten, die sich als falsch erweisen, Übersetzungen, die unbrauchbar sind, und Berichte, die nie ankommen; jede dieser Zahlungen würde weiterhin als Treffer zählen.

„Bereits bezahlt“ ist nicht „unabhängig geprüft“, und ein hoher Anduin-Score verifiziert weder die Identität hinter einem Anbieter noch dessen Ergebnis. Die Lücke, die Coindoo zwischen Wallet-Eingängen und Kundeneinnahmen beschrieb, gilt auch hier: Die Chain dokumentiert die Übertragung präzise und lässt ihre kommerzielle Bedeutung offen.

In der Praxis stellt das zahlungsbasiertes Reputation neben zwei andere Kontrollen, nicht über sie. Ausgabeberechtigungen begrenzen, wie viel ein Agent zahlen darf. Rankings wie Anduin grenzen ein, wohin er blicken sollte. Die Prüfung des gelieferten Ergebnisses ist der einzige Schritt, der beantwortet, ob der Kauf seinen Zweck erfüllt hat – und ein Graph, der schwerer zu manipulieren ist, hebt diesen Schritt nicht auf.

Was das Experiment zu einem Schutz machen würde

Circle stuft Anduin als Forschung ein, nicht als veröffentlichten Dienst, und der Nachweis, der das ändern würde, ist konkret. Ein Deployment müsste zeigen, wie das Ranking hält, wenn die Empfehlungen eines Anbieters manipuliert wurden, wie neue Käufer die Allow-List-Stufe überwinden, was passiert, wenn sich ein vertrauenswürdiger Anbieter als kolludierend erweist, und ob die hoch gerankten Anbieter Arbeiten liefern, die Agenten tatsächlich akzeptieren.

Die Zahl von 8.259 US-Dollar beantwortet eine Frage gut: wie viel es kostet, eine Menge zu fälschen. Die schwierigeren Fragen beginnen, sobald die Menge echt ist.