Dans un post de recherche publié le 13 novembre, Circle décrit Anduin, un système expérimental de classement pour les marketplaces d'agents qui note les prestataires de services selon qui les a déjà payés — et selon la mesure où ces payeurs recoupent l'historique de paiement d'un acheteur donné. Son objectif de conception est délibérément étroit : obliger quiconque tente de fabriquer artificiellement la popularité d'un prestataire à dépenser de l'argent auprès d'entreprises qu'il ne possède pas.

Les faux clients ne coûtent presque rien à créer

Une attaque Sybil consiste pour un unique opérateur à se faire passer pour de nombreux participants indépendants. Sur une marketplace d'agents, cela signifie créer des portefeuilles d'acheteurs et s'en servir chacun pour payer le service de l'opérateur lui-même, de sorte qu'une boutique qui n'a jamais servi un vrai client paraît active. Les transferts sont de véritables transactions on-chain, mais l'argent ne quitte jamais les mains de l'opérateur ; les frais de réseau sont la seule dépense réelle.

L'article de recherche qui accompagne le projet chiffre la modestie du coût : selon les métriques d'usage sur lesquelles s'appuient aujourd'hui les marketplaces, élever la réputation d'un faux prestataire jusqu'à la médiane du marché coûte environ 0,0027 $. Les avis ne constituent pas une solution de repli. Sur les 66 millions de paiements examinés par les chercheurs, moins de 4 000 comportaient une note on-chain volontaire.

Ces paiements transitent par la norme x402, qui permet à un service de renvoyer son prix dans une réponse HTTP 402 et à un logiciel de régler le paiement au sein même de la requête, sans compte ni étape de paiement. C'est ce qui rend possible l'achat d'agent à service — et c'est aussi ce qui rend si facile la fabrication d'une boutique apparentée à un commerce animé. Coindoo a examiné séparément ce qu'un paiement x402 révèle — ou ne révèle pas — de la personne qui se cache derrière.

Comment Anduin transforme les paiements en un prix

Les chercheurs modélisent chaque acheteur et chaque prestataire comme un nœud d'un graphe, les paiements constituant les liens entre eux, pondérés par le montant payé, la fréquence et la récence. Un recommandeur standard, le filtrage collaboratif, exploite ce graphe en trouvant des acheteurs ressemblant à un utilisateur donné et en recommandant ce que ces acheteurs similaires ont acheté. Il ne peut distinguer un groupe de vrais clients d'un groupe de portefeuilles financés par le vendeur ; les deux ressemblent à de la demande.

Anduin lit le même graphe autrement. Il part des prestataires qu'un acheteur paie déjà et les traite comme les ancres de confiance de cet acheteur. Supposons qu'un agent paie régulièrement un service de traduction. D'autres acheteurs paient aussi ce traducteur, et certains d'entre eux paient un fournisseur de données que l'agent n'a jamais utilisé. Le fournisseur de données obtient une recommandation via ce chemin, et la force de cette recommandation est bornée par l'argent réellement transitant par celui-ci.

Cette borne est tout l'enjeu. Les paiements entre portefeuilles contrôlés par l'attaquant ne touchent jamais l'un des prestataires de confiance de l'acheteur, et ne contribuent donc en rien au chemin. Pour fabriquer une connexion, l'attaquant doit payer le traducteur — une entreprise qu'il ne possède pas — et ne peut récupérer son argent. L'article formalise ce principe avec trois variantes de notation fondées sur les flux et démontre une borne inférieure de dépense pour l'attaquant dans chaque cas ; la variante que Circle met en avant s'appelle Amplified Flow. La question qui suit est de savoir l'ampleur que prend cette borne inférieure sur des données réelles.

8 259 $ pour duper tous les acheteurs, 291 $ pour duper celui qui compte

Les chercheurs ont examiné une fenêtre de 90 jours de paiements x402 s'achevant le 21 juin et ont identifié 813 acheteurs ayant ensuite payé un prestataire qu'ils n'avaient jamais utilisé auparavant. Chaque méthode devait classer au préalable les prestataires pour ces acheteurs ; un succès signifiait que le prestataire effectivement choisi ensuite arrivait premier. Le test d'attaque a alors cherché à savoir combien un tiers devrait dépenser pour placer un nouveau prestataire en première position à la place.

Le jeu de données complet de l'étude totalise 66,1 millions de paiements d'une valeur d'environ 6,1 millions de dollars sur 16 réseaux, collectés entre le 23 mars et le 26 août. Les chiffres de coût représentent des dépenses d'attaquant modélisées, frais de réseau inclus — et non des pertes constatées, selon l'article Anduin de Circle Research.

En lisant les résultats en travers, le compromis est clair : Anduin a abandonné 0,4 point de pourcentage de précision de prédiction et rendu l'attaque environ 23 fois plus coûteuse. En le lisant dans l'autre sens, le tableau est moins confortable. Occuper la première place du classement pour tous les acheteurs à la fois coûte des milliers — 8 259 $ dans le test — tandis que l'obtenir pour un seul acheteur de grande valeur coûte quelques centaines de dollars : 291 $. Pour un vendeur malhonnête, c'est le second chiffre qui compte, car un acheteur bien choisi est la cible réaliste.

Savoir si 291 $ dissuade qui que ce soit dépend de la valeur que cet acheteur représente pour l'attaquant, et l'article n'estime pas ce volet du calcul. Ses chiffres saisissent le coût du déplacement d'un classement, non les revenus qu'un faux prestataire pourrait extraire une fois en place. La dissuasion est donc une condition plutôt qu'un résultat : le système fonctionne tant que la récompense reste inférieure au prix, et les données de Circle ne peuvent pas encore montrer où passe cette ligne.

Là où le prix cesse de tenir

La borne inférieure repose sur une hypothèse : l'argent payé aux prestataires existants d'un acheteur est définitivement perdu. Circle indique que les prestataires de connivence, ainsi que ceux qui remboursent discrètement l'attaquant, échappent à la garantie d'Anduin. Si le traducteur de l'exemple ci-dessus accepte de garder une commission et de renvoyer le reste, le coût réel de l'attaquant se réduit aux frais, et le classement devient aussi facile à acheter qu'auparavant. Anduin suppose également que l'attaquant ne contrôle aucun des prestataires que l'acheteur utilise déjà ; sur un marché ouvert, c'est une condition à vérifier, non un acquis.

La seconde faille est le graphe vide. Un acheteur sans historique de paiement n'a aucune ancre de confiance, donc aucun chemin à suivre et rien à classer. Circle propose des listes blanches sélectionnées comme point de départ, tandis que l'article lui-même note que les registres de prestataires vérifiés montrent mal en échelle une fois que le volume de services dépasse ce que des réviseurs humains peuvent auditer. Les nouveaux prestataires font face au problème miroir : tant qu'un acheteur du réseau ne les a pas payés, aucun chemin ne permet à leur nom d'apparaître dans le classement personnalisé de quiconque.

Un classement n'est pas un avis

Même dans le cadre de ses hypothèses, l'expérience mesure quelque chose de plus étroit que la fiabilité. Elle juge une méthode correcte lorsque le prestataire qu'elle a classé premier est celui que l'acheteur a payé ensuite — un test de concordance entre le classement et le comportement d'achat, non de la qualité de service. Les acheteurs paient couramment des données qui s'avèrent erronées, des traductions inutilisables et des rapports qui n'arrivent jamais ; chacun de ces paiements compterait malgré tout comme un succès.

« Déjà payé » ne signifie pas « vérifié de façon indépendante », et un bon score Anduin ne vérifie ni l'identité derrière un prestataire ni le résultat qu'il renvoie. L'écart que Coindoo a décrit entre les entrées de portefeuille et les revenus clients s'applique ici aussi : la chaîne enregistre précisément le transfert et laisse ouvert son sens commercial.

En pratique, cela place la réputation fondée sur les paiements aux côtés de deux autres contrôles plutôt qu'au-dessus d'eux. Les permissions de dépense plafonnent ce qu'un agent peut payer. Des classements comme Anduin restreignent les domaines où il devrait chercher. La vérification du résultat livré est la seule étape qui répond à la question de savoir si l'achat a rempli sa fonction, et un graphe plus difficile à manipuler ne la supprime pas.

Ce qui transformerait l'expérience en protection

Circle qualifie Anduin de recherche, non de service lancé, et les preuves susceptibles de changer cela sont précises. Un déploiement devrait démontrer la robustesse du classement lorsque les recommandations d'un prestataire ont été manipulées, la manière dont de nouveaux acheteurs franchissent l'étape des listes blanches, ce qui se passe lorsqu'un prestataire de confiance se révèle de connivence, et si les prestataires qu'il classe en tête fournissent un travail que les agents acceptent réellement.

Le chiffre de 8 259 $ répond bien à une question : combien coûte la fabrication d'une foule. Les questions plus difficiles commencent une fois la foule réelle.