En una publicación de investigación publicada el 13 de noviembre, Circle describe Anduin, un sistema de clasificación experimental para marketplaces de agentes que califica a los proveedores de servicios según quién ya les ha pagado, y según si esos pagadores se solapan con el historial de pagos de un comprador determinado. Su objetivo de diseño es deliberadamente limitado: obligar a quien intente falsificar la popularidad de un proveedor a gastar dinero en negocios que no le pertenecen.

Los clientes falsos cuestan casi nada de crear

Un ataque Sybil consiste en un solo operador que se hace pasar por muchos participantes independientes. En un marketplace de agentes, eso significa crear carteras de comprador y usar cada una para pagar el servicio del propio operador, de modo que una tienda que nunca ha atendido a un cliente real parece concurrida. Las transferencias son transacciones reales en la cadena, pero el dinero nunca sale de las manos del operador; las comisiones de red son lo único que se gasta de verdad.

El artículo de investigación acompañante pone cifra a lo barato que resulta el truco: bajo las métricas basadas en uso en las que se apoyan los marketplaces actuales, elevar la reputación de un proveedor falso hasta la mediana del marketplace cuesta unos 0,0027 dólares. Las reseñas no son una alternativa. De los 66 millones de pagos que examinaron los investigadores, menos de 4.000 incluían una calificación voluntaria en la cadena.

Esos pagos circulan sobre el estándar x402, que permite a un servicio devolver su precio en una respuesta HTTP 402 y permite al software liquidar el pago dentro de la propia solicitud, sin cuenta ni proceso de pago. Eso es lo que hace funcionar la compra de agente a servicio, y también lo que hace tan fácil fabricar una tienda concurrida. Coindoo ha examinado por separado lo que un pago x402 revela y no revela sobre quién está detrás.

Cómo Anduin convierte los pagos en un precio

Los investigadores modelan a cada comprador y proveedor como un nodo en un grafo, con los pagos como enlaces entre ellos, ponderados por cuánto se pagó, con qué frecuencia y con qué recencia. Un recomendador estándar, el filtrado colaborativo, opera sobre ese grafo encontrando compradores que se parecen a un usuario dado y recomendando lo que esos compradores similares adquirieron. No tiene forma de distinguir un grupo de clientes reales de un grupo de carteras financiadas por el vendedor; ambos parecen demanda.

Anduin lee el mismo grafo de otra manera. Parte de los proveedores que un comprador ya paga y los trata como anclas de confianza del comprador. Supongamos que un agente paga regularmente un servicio de traducción. Otros compradores también pagan a ese traductor, y algunos de ellos pagan a un proveedor de datos que el agente nunca ha usado. El proveedor de datos obtiene una recomendación a través de esa ruta, y la fuerza de la recomendación está limitada por el dinero real que fluye por ella.

Ese límite es el punto central. Los pagos entre carteras que controla el atacante nunca tocan uno de los proveedores de confianza del comprador, así que no aportan nada a la ruta. Para fabricar una conexión, el atacante tiene que pagar al traductor, un negocio que no posee, y no puede recuperar ese dinero. El artículo formaliza esto con tres variantes de puntuación basadas en flujo y demuestra un límite inferior del gasto del atacante para cada una; la variante que Circle destaca se llama Amplified Flow. La pregunta que sigue es cuán grande resulta ese límite inferior con datos reales.

8.259 dólares para engañar a todos los compradores, 291 dólares para engañar al que importa

Los investigadores examinaron una ventana de 90 días de pagos x402 que terminó el 21 de junio e identificaron a 813 compradores que luego pagaron a un proveedor que nunca habían usado antes. Se pidió a cada método que clasificara proveedores para esos compradores por adelantado; un acierto significaba que el proveedor que realmente eligieron después quedó en primer lugar. La prueba de ataque preguntó entonces cuánto tendría que gastar un externo para colocar a un nuevo proveedor en la primera posición en su lugar.

El conjunto de datos completo detrás del estudio suma 66,1 millones de pagos por un valor de unos 6,1 millones de dólares en 16 redes, recopilados entre el 23 de marzo y el 26 de agosto. Las cifras de costos representan el gasto modelado del atacante, comisiones de red incluidas, no pérdidas registradas, según el artículo de Anduin de Circle Research.

Al leer los resultados en horizontal, el equilibrio es claro: Anduin cedió 0,4 puntos porcentuales de precisión predictiva y encareció el ataque unas 23 veces. Al leer en vertical, el panorama es menos confortable. Encabezar el ranking para todos los compradores a la vez cuesta miles, 8.259 dólares en la prueba, mientras que encabezarlo para un solo comprador de alto valor cuesta unos cuantos cientos de dólares: 291. Para un vendedor deshonesto, la segunda cifra es la que importa, porque un comprador bien elegido es el objetivo realista.

Si 291 dólares disuaden a alguien depende de cuánto vale ese comprador para el atacante, y el artículo no estima ese lado del balance. Sus cifras capturan el costo de mover un ranking, no los ingresos que un proveedor falso podría extraer una vez que llega ahí. La disuasión es por tanto una condición y no un resultado: el esquema funciona donde la recompensa se mantiene por debajo del precio, y los datos de Circle aún no pueden mostrar dónde cae esa línea.

Donde el precio deja de sostenerse

El límite inferior descansa sobre una suposición: el dinero pagado a los proveedores existentes de un comprador se pierde para siempre. Circle señala que los proveedores que coluden, y los que reembolsan discretamente al atacante, quedan fuera de la garantía de Anduin. Si el traductor del ejemplo anterior está dispuesto a quedarse una parte y devolver el resto, el costo real del atacante se reduce a la comisión, y el ranking no es más difícil de comprar que antes. Anduin también supone que el atacante no controla ninguno de los proveedores que el comprador ya usa; en un mercado abierto, esa es una condición por verificar, no un dato.

La segunda brecha es el grafo vacío. Un comprador sin historial de pagos no tiene anclas de confianza, así que no hay rutas que seguir ni nada que clasificar. Circle apunta a listas permitidas curadas como punto de partida, mientras que el propio artículo señala que los registros de proveedores verificados escalan mal una vez que el volumen de servicios supera lo que los revisores humanos pueden auditar. Los nuevos proveedores enfrentan el problema espejo: hasta que algún comprador de la red les haya pagado, no hay ruta por la que puedan aparecer en el ranking personalizado de nadie.

Un ranking no es una reseña

Incluso dentro de sus suposiciones, el experimento mide algo más estrecho que la confiabilidad. Califica a un método como correcto cuando el proveedor que ubicó primero es el que el comprador pagó después: una prueba de si el ranking coincide con el comportamiento de compra, no con la calidad del servicio. Los compradores pagan habitualmente por datos que resultan erróneos, traducciones inutilizables e informes que nunca llegan; cada uno de esos pagos seguiría contando como acierto.

"Pagado previamente" no es "revisado de forma independiente", y una puntuación alta de Anduin no verifica ni la identidad detrás de un proveedor ni el resultado que devuelve. La brecha que Coindoo describió entre los ingresos a las carteras y los ingresos de clientes también aplica aquí: la cadena registra la transferencia con precisión y deja abierto su significado comercial.

En la práctica, eso coloca la reputación basada en pagos junto a otros dos controles, no por encima de ellos. Los permisos de gasto limitan cuánto puede pagar un agente. Rankings como Anduin acotan dónde debería mirar. Verificar el resultado entregado es el único paso que responde si la compra cumplió su función, y un grafo más difícil de manipular no elimina ese paso.

Qué convertiría el experimento en protección

Circle etiqueta a Anduin como investigación, no como un servicio lanzado, y la evidencia que cambiaría eso es específica. Un despliegue tendría que demostrar cómo se sostiene el ranking cuando las recomendaciones de un proveedor han sido manipuladas, cómo los nuevos compradores superan la etapa de listas permitidas, qué sucede cuando un proveedor de confianza resulta estar coludindo, y si los proveedores que clasifica en posiciones altas entregan trabajo que los agentes realmente aceptan.

La cifra de 8.259 dólares responde bien una pregunta: cuánto cuesta falsificar una multitud. Las preguntas más difíciles empiezan cuando la multitud es real.