In un post di ricerca pubblicato il 13 novembre, Circle descrive Anduin, un sistema di ranking sperimentale per i marketplace di agenti che assegna punteggi ai fornitori di servizi in base a chi li ha già pagati — e in base alla sovrapposizione di questi pagatori con la storia dei pagamenti del singolo acquirente. Il suo obiettivo di design è deliberatamente ristretto: costringere chiunque tenti di falsificare la popolarità di un fornitore a spendere denaro presso attività che non possiede.

I clienti fittizi costano quasi nulla da creare

Un attacco Sybil consiste in un singolo operatore che si finge molti partecipanti indipendenti. In un marketplace di agenti, ciò significa creare portafogli di acquirenti e usarli per pagare il servizio dello stesso operatore, così che una vetrina che non ha mai servito un cliente reale appare attiva. I trasferimenti sono vere transazioni on-chain, ma il denaro non lascia mai le mani dell'operatore; le commissioni di rete sono l'unica cosa realmente spesa.

L'articolo di ricerca di accompagnamento quantifica quanto poco costi l'escamotage: con le metriche basate sull'utilizzo su cui i mercato oggi si affidano, portare la reputazione di un fornitore fittizio fino alla mediana del marketplace costa circa 0,0027 dollari. Le recensioni non sono una alternativa. Dei 66 milioni di pagamenti esaminati dai ricercatori, meno di 4.000 recavano una valutazione volontaria on-chain.

Quei pagamenti viaggiano sullo standard x402, che permette a un servizio di restituire il proprio prezzo in una risposta HTTP 402 e al software di saldare il pagamento all'interno della richiesta, senza account né fasi di checkout. È ciò che rende possibile l'acquisto da agente a servizio — ed è anche ciò che rende così facile fabbricare una vetrina affollata. Coindoo ha esaminato separatamente ciò che un pagamento x402 rivela e non rivela su chi vi si nasconde dietro.

Come Anduin trasforma i pagamenti in un prezzo

I ricercatori modellano ogni acquirente e fornitore come un nodo in un grafo, con i pagamenti come collegamenti tra loro, ponderati per quanto è stato pagato, con quale frequenza e con quale recentità. Un sistema di raccomandazione standard, il collaborative filtering, opera su quel grafo trovando acquirenti simili a un dato utente e raccomandando ciò che questi acquirenti simili hanno acquistato. Non ha modo di distinguere un gruppo di clienti reali da un gruppo di portafogli finanziati dal venditore; entrambi sembrano domanda.

Anduin legge lo stesso grafo in modo diverso. Parte dai fornitori che un acquirente paga già e li tratta come anchor di fiducia dell'acquirente. Supponiamo che un agente paghi regolarmente un servizio di traduzione. Altri acquirenti pagano anch'essi quel traduttore, e alcuni di loro pagano un fornitore di dati che l'agente non ha mai usato. Il fornitore di dati ottiene una raccomandazione attraverso quel percorso, e la forza della raccomandazione è limitata dal denaro reale che vi scorre.

Quel limite è il punto centrale. I pagamenti tra portafogli controllati dall'attaccante non toccano mai uno dei fornitori di fiducia dell'acquirente, quindi non contribuiscono nulla al percorso. Per fabbricare una connessione, l'attaccante deve pagare il traduttore — un'attività che non possiede — e non può riavere indietro il denaro. L'articolo formalizza questo concetto con tre varianti di punteggio basate sul flusso e dimostra per ciascuna un limite inferiore alla spesa dell'attaccante; la variante evidenziata da Circle si chiama Amplified Flow. La domanda che segue è quanto grande risulti quel limite inferiore su dati reali.

8.259 dollari per ingannare ogni acquirente, 291 dollari per ingannare quello che conta

I ricercatori hanno esaminato una finestra di 90 giorni di pagamenti x402 conclusasi il 21 giugno e hanno individuato 813 acquirenti che hanno poi pagato un fornitore mai usato prima. A ogni metodo è stato chiesto di classificare in anticipo i fornitori per quegli acquirenti; un successo significava che il fornitore effettivamente scelto subito dopo era classificato al primo posto. Il test di attacco ha quindi chiesto quanto dovrebbe spendere un estraneo per piazzare invece un nuovo fornitore in prima posizione.

L'intero dataset alla base dello studio comprende 66,1 milioni di pagamenti per un valore di circa 6,1 milioni di dollari su 16 reti, raccolti tra il 23 marzo e il 26 agosto. Le cifre dei costi rappresentano la spesa modellata dell'attaccante, commissioni di rete incluse — non perdite registrate, secondo l'articolo Anduin di Circle Research.

Leggendo i risultati in orizzontale, il compromesso è chiaro: Anduin ha rinunciato a 0,4 punti percentuali di accuratezza predittiva e ha reso l'attacco circa 23 volte più costoso. Leggendo nell'altra direzione, il quadro è meno rassicurante. Classificarsi al primo posto per tutti gli acquirenti contemporaneamente costa migliaia di dollari — 8.259 nel test — mentre per un singolo acquirente di alto valore costa qualche centinaio: 291 dollari. Per un venditore disonesto, il secondo numero è quello che conta, perché un acquirente ben scelto è l'obiettivo realistico.

Se 291 dollari dissuadano qualcuno dipende dal valore che quell'acquirente ha per l'attaccante, e l'articolo non stima questo lato del bilancio. Le sue cifre misurano il costo di spostare una classifica, non i ricavi che un fornitore fittizio potrebbe estrarre una volta arrivato lì. La deterrente è quindi una condizione più che un risultato: lo schema funziona dove il rendimento resta al di sotto del prezzo, e i dati di Circle non possono ancora mostrare dove cada quella linea.

Dove il prezzo smette di valere

Il limite inferiore poggia su un'assunzione: il denaro pagato ai fornitori esistenti di un acquirente è perduto per sempre. Circle dichiara che i fornitori collusi e i fornitori che rimborsano silenziosamente l'attaccante restano fuori dalle garanzie di Anduin. Se il traduttore dell'esempio sopra è disposto a trattenere una parte e restituire il resto, il costo reale dell'attaccante collassa alla commissione, e la classifica non diventa più difficile da comprare di prima. Anduin assume inoltre che l'attaccante non controlli nessuno dei fornitori già usati dall'acquirente; in un mercato aperto, è una condizione da verificare, non un dato acquisito.

La seconda lacuna è il grafo vuoto. Un acquirente senza storia di pagamenti non ha anchor di fiducia, quindi non ci sono percorsi da seguire e nulla da classificare. Circle indica le allow-list curate come punto di partenza, mentre l'articolo stesso nota che i registri di fornitori verificati scalano male una volta che il volume dei servizi supera ciò che revisori umani possono auditare. I nuovi fornitori affrontano il problema speculare: finché qualche acquirente nella rete non li ha pagati, non esiste alcun percorso attraverso cui possano comparire nella classifica personalizzata di chiunque.

Una classifica non è una recensione

Anche dentro le sue assunzioni, l'esperimento misura qualcosa di più ristretto dell'affidabilità. Assegna un punteggio corretto a un metodo quando il fornitore classificato al primo posto è quello che l'acquirente ha pagato subito dopo — un test di corrispondenza tra classifica e comportamento d'acquisto, non di qualità del servizio. Gli acquirenti pagano regolarmente per dati che si rivelano errati, traduzioni inutilizzabili e report che non arrivano mai; ciascuno di quei pagamenti conterebbe comunque come successo.

"Pagato in precedenza" non significa "revisionato indipendentemente", e un punteggio Anduin elevato non verifica né l'identità dietro un fornitore né l'output che restituisce. Il divario descritto da Coindoo tra influssi nei portafogli e ricavi dei clienti vale anche qui: la catena registra il trasferimento con precisione e lascia aperto il suo significato commerciale.

In pratica, questo colloca la reputazione basata sui pagamenti accanto a due altri controlli, non al di sopra di essi. I permessi di spesa limitano quanto un agente può pagare. Classifiche come Anduin restringono dove dovrebbe guardare. Verificare il risultato consegnato è l'unico passo che risponde se l'acquisto ha fatto il suo lavoro, e un grafo più difficile da manipolare non lo elimina.

Cosa trasformerebbe l'esperimento in una protezione

Circle etichetta Anduin come ricerca, non come servizio rilasciato, e le prove che cambierebbero questa situazione sono specifiche. Un deployment dovrebbe mostrare come regge la classifica quando le raccomandazioni di un fornitore sono state manipolate, come i nuovi acquirenti superano la fase delle allow-list, cosa succede quando un fornitore di fiducia si rivela colluso, e se i fornitori classificati più in alto consegnano lavori che gli agenti accettano realmente.

La cifra di 8.259 dollari risponde bene a una domanda: quanto costa fabbricare una folla. Le domande più difficili iniziano quando la folla è reale.