Circleは11月13日に公開した研究投稿の中で、エージェントマーケットプレイス向けの実験的なランキングシステム「Anduin」を紹介した。このシステムは、サービスプロバイダーを「誰がすでに支払ったか」、そして「その支払い者が対象購入者の支払い履歴と重なるか」に基づいて評価するものだ。その設計目標は意図的に狭く設定されている。プロバイダーの人気を偽装しようとする者に対し、自分が所有していないビジネスにお金を使わせることである。

偽の顧客はほぼ無コストで作れる

Sybil攻撃とは、単一の運営者が多数の独立した参加者を装う攻撃だ。エージェントマーケットプレイスでは、購入者用ウォレットを複数立ち上げ、それぞれから運営者自身のサービスに支払うことを意味する。これにより、実在の顧客を一度も受け持ったことのない店舗が繁盛しているように見える。送金は実際のオンチェーントランザクションだが、資金は運営者のの手から出ることはなく、実際に支出されるのはネットワーク手数料のみである。

付随する研究論文は、この手口がどれほど安価かを数値で示している。現在マーケットプレイスが依拠する使用量ベースの指標では、偽プロバイダーの評価を市場の中央値まで引き上げるコストは約0.0027ドルだ。レビューは頼みにならない。研究者が調べた6600万件の支払いのうち、自発的なオンチェーン評価が付いていたのは4,000件未満だった。

これらの支払いはx402標準上で行われる。x402では、サービスがHTTP 402レスポンスで価格を返し、ソフトウェアがリクエスト内で支払いを決済できる。アカウント登録もチェックアウト手順も不要だ。これがエージェントによるサービス購入を可能にしていると同時に、繁盛した店舗を容易に偽装できる理由にもなっている。Coindooはx402支払いが支払い者の身元について何を明かし、何を明かさないかを別途検証している。

Anduinが支払いを価格に変える仕組み

研究者らはすべての購入者とプロバイダーをグラフ上のノードとしてモデル化し、支払いをノード間のリンクとして、支払額、頻度、直近性で重み付けして表現する。標準的なレコメンダーである協調フィルタリングは、このグラフ上で特定ユーザーに似た購入者を見つけ、その購入者たちが買ったものを推薦する。しかし、実在の顧客の集まりと、売り手が資金を供給したウォレットの集まりを区別する手段がない。どちらも需要に見えるのだ。

Anduinは同じグラフを別の読み方で解釈する。購入者がすでに支払っているプロバイダーから出発し、それらを購入者の信頼できるアンカーとして扱う。あるエージェントが翻訳サービスに定期的に支払っているとしよう。他の購入者もその翻訳者に支払っており、その一部はエージェントが使ったことのないデータプロバイダーに支払っている。データプロバイダーはこの経路を通じて推薦を獲得し、推薦の強さはその経路を流れる実際の資金によって制限される。

この制限こそが要点だ。攻撃者が管理するウォレット間の支払いは、購入者の信頼できるプロバイダーのいずれにも接触しないため、経路に何も寄与しない。つながりを作るには、攻撃者は翻訳者——自分が所有しないビジネス——に支払うしかなく、その資金は取り戻せない。論文はこの仕組みを3つのフローベースのスコアリング方式で定式化し、それぞれについて攻撃者支出の下限を証明している。Circleが強調する方式は「Amplified Flow」と呼ばれる。次の問題は、その下限が実際のデータでどの程度大きくなるかである。

全購入者を騙すには8,259ドル、重要な1人を騙すには291ドル

研究者らは6月21日までの90日間のx402支払いを調べ、その後初めてのプロバイダーに支払った813人の購入者を特定した。各手法は事前にこれらの購入者向けにプロバイダーをランキングするよう求められ、購入者が実際に次に選んだプロバイダーが1位なら「的中」とみなされた。攻撃テストでは、代わりに新しいプロバイダーを1位に押し上げるために部外者がどれだけ支出する必要があるかを検証した。

研究の基盤となる全データセットは、3月23日から8月26日にかけて収集された、16ネットワークにまたがる約610万ドル相当の6,610万件の支払いだ。コストの数値は、Circle ResearchのAnduin論文によればネットワーク手数料を含むモデル化された攻撃者支出を表し、記録された損失ではない。

結果を横に読めばトレードオフは明確だ。Anduinは予測精度を0.4ポイント犠牲にし、攻撃コストを約23倍に引き上げた。反対側を読むと見通しはそれほど楽ではない。全購入者を一括して1位にするには数千ドル——テストでは8,259ドル——かかるが、単一の高価値購入者を1位にするには数百ドル：291ドルで足りる。不誠実な売り手にとって重要なのは後者の数字だ。現実的な標的は、うまく選んだ1人の購入者だからである。

291ドルが抑止になるかどうかは、その購入者が攻撃者にとってどれほどの価値を持つかに依存するが、論文はその側の勘定を見積もっていない。数値が捉えているのはランキングを動かすコストであり、偽プロバイダーが1位に到達した後に得られる収益ではない。したがって抑止力は結果ではなく条件である。報酬が価格を下回る場合にのみこの仕組みは機能し、その線がどこに引かれるかはCircleのデータではまだ示せない。

価格の効力が失われる場所

この下限は一つの前提に依存している。購入者の既存プロバイダーに支払った資金は永久に失われる、というものだ。Circleは、攻撃者と共謀するプロバイダーや、静かに攻撃者へ返金するプロバイダーはAnduinの保証の対象外であると明記している。前述の翻訳者が取り分を受け取り残りを送り返す意思があるなら、攻撃者の実質コストは手数料まで縮小し、ランキングは以前と同じく購入しやすくなる。Anduinはまた、攻撃者が購入者がすでに利用しているプロバイダーを一切管理していないと想定している。開かれた市場では、これは確認すべき条件であって当然の前提ではない。

2つ目の欠落は空のグラフだ。支払い履歴のない購入者には信頼できるアンカーがなく、たどるべき経路もランキング対象も存在しない。Circleはキュレーションされた許可リストを出発点として挙げるが、論文自体が、審査済みプロバイダーのレジストリはサービス量が人間のレビュアーの監査能力を上回るとスケールしなくなると指摘している。新しいプロバイダーは鏡像の問題に直面する。ネットワーク内の誰かが支払うまで、誰かのパーソナライズされたランキングに現れる経路が存在しないのだ。

ランキングはレビューではない

前提の範囲内であっても、この実験が測定しているのは信頼性より狭いものだ。1位にランクしたプロバイダーが購入者が次に支払ったプロバイダーであれば手法を「正解」と評価する。これはランキングが購買行動と一致するかのテストであって、サービス品質のテストではない。購入者は、誤りと判明したデータ、使えない翻訳、届かないレポートに日常的に支払っている。そうした支払いもすべて「的中」とカウントされる。

「以前に支払った」は「独立にレビューされた」ではない。Anduinの高スコアは、プロバイダーの背後の身元も、返される成果物も検証しない。Coindooが指摘したウォレット流入と顧客収益のギャップはここでも当てはまる。チェーンは転送を正確に記録するが、その商業的意味は開いたままにする。

実際には、これは支払いベースの評判を他の2つの管理手段と並列に置くものであって、その上位に置くものではない。支出権限はエージェントの支払上限を定める。Anduinのようなランキングはどこを見るべきかを絞り込む。納品された成果物の確認だけが、購入が目的を果たしたかを答える手段であり、操作しにくくなったグラフはその作業をなくすものではない。

実験を保護に変えるために必要なこと

CircleはAnduinをリリース済みのサービスではなく研究として位置づけており、それを変える証拠は具体的に示されている。実配備には、プロバイダーの推薦が操作された場合にランキングがどれほど耐えるか、新しい購入者が許可リストの段階をどう突破するか、信頼できるプロバイダーが共謀していたと判明した場合に何が起きるか、そして高くランクされたプロバイダーがエージェントが実際に受け入れる成果物を納めるかどうかを示す必要がある。

8,259ドルという数字は一つの問いにうまく答えている。群衆を偽装するにはいくらかかるか。より難しい問いは、群衆が本物になりたときに始まる。