In een op 13 november gepubliceerde onderzoekspublicatie beschrijft Circle Anduin, een experimenteel rangschikkingssysteem voor agent-marktplaatsen dat dienstverleners beoordeelt op basis van wie hen al heeft betaald — en op basis van de vraag of die betalers overlappen met de eigen betalingsgeschiedenis van een bepaalde koper. Het ontwerpdoel is bewust beperkt: iedereen die probeert de populariteit van een dienstverlener te vervalsen dwingen om geld uit te geven bij bedrijven die hij niet bezit.

Valse klanten kosten vrijwel niets

Een Sybil-aanval houdt in dat één operator zich voordoet als vele onafhankelijke deelnemers. In een agent-marktplaats betekent dat het aanmaken van kopersportemonnees en het vanaf elk daarvan betalen van de eigen dienst van de operator, waardoor een etalage die nooit een echte klant heeft bediend druk lijkt. De transacties zijn echte on-chain transacties, maar het geld verlaat nooit de handen van de operator; netwerkkosten zijn het enige dat daadwerkelijk wordt uitgegeven.

Het bijbehorende onderzoeksrapport drukt een cijfer op hoe goedkoop deze truc is: onder de gebruiksgebaseerde meetwaarden waarop marktplaatsen vandaag vertrouwen, kost het tillen van de reputatie van een valse dienstverlener tot de marktplaatsmediaan ongeveer $0,0027. Recensies zijn geen uitwijkmogelijkheid. Van de 66 miljoen betalingen die de onderzoekers onderzochten, droegen minder dan 4.000 een vrijwillige on-chain beoordeling.

Die betalingen verlopen via de x402-standaard, waarmee een dienst zijn prijs kan teruggeven in een HTTP 402-respons en software de betaling binnen het verzoek kan afwikkelen, zonder account- of afrekenstap. Dat is wat aankopen van agent naar dienst mogelijk maakt — en ook wat een drukke etalage zo gemakkelijk te vervalsen maakt. Coindoo heeft apart bekeken wat een x402-betaling wel en niet onthult over wie erachter zit.

Hoe Anduin betalingen omzet in een prijs

De onderzoekers modelleren elke koper en dienstverlener als een knooppunt in een graaf, met betalingen als de verbindingen ertussen, gewogen naar hoeveel werd betaald, hoe vaak en hoe recent. Een standaard aanbevelingssysteem, collaboratieve filtering, werkt op die graaf door kopers te vinden die op een bepaalde gebruiker lijken en aan te bevelen wat die vergelijkbare kopers hebben gekocht. Het kan een cluster echte klanten niet onderscheiden van een cluster portemonnees die door de verkoper worden gefinancierd; beide lijken op vraag.

Anduin leest dezelfde graaf anders. Het vertrekt vanuit de dienstverleners die een koper al betaalt en beschouwt die als de vertrouwde ankers van de koper. Stel dat een agent regelmatig een vertaaldienst betaalt. Andere kopers betalen die vertaler ook, en sommigen van hen betalen een gegevensleverancier die de agent nooit heeft gebruikt. De gegevensleverancier verdient een aanbeveling via dat pad, en de sterkte van de aanbeveling wordt begrensd door het echte geld dat erlangs stroomt.

Die begrenzing is het hele punt. Betalingen tussen portemonnees die de aanvaller beheert raken nooit een van de vertrouwde dienstverleners van de koper, dus ze dragen niets bij aan het pad. Om een verbinding te fabriekeren moet de aanvaller de vertaler betalen — een bedrijf dat het niet bezit — en kan het dat geld niet terugkrijgen. Het rapport formaliseert dit met drie op stroming gebaseerde scoringsvarianten en bewijst voor elk een ondergrens voor de uitgaven van de aanvaller; de variant die Circle uitlicht heet Amplified Flow. De vervolgvraag is hoe groot die ondergrens op echte gegevens uitpakt.

$8.259 om elke koper te misleiden, $291 om de koper te misleiden die telt

De onderzoekers bekeken een venster van 90 dagen x402-betalingen tot en met 21 juni en identificeerden 813 kopers die vervolgens een dienstverlener betaalden die ze nooit eerder hadden gebruikt. Elke methode moest vooraf dienstverleners rangschikken voor die kopers; een treffer betekende dat de dienstverlener die ze daarna daadwerkelijk kozen als eerste stond gerangschikt. De aanvalstest vroeg vervolgens hoeveel een buitenstaander zou moeten uitgeven om in plaats daarvan een nieuwe dienstverlener op de eerste plaats te zetten.

De volledige dataset achter de studie omvat 66,1 miljoen betalingen ter waarde van ongeveer $6,1 miljoen op 16 netwerken, verzameld tussen 23 maart en 26 augustus. De kostengetallen vertegenwoordigen gemodelleerde uitgaven van de aanvaller, inclusief netwerkkosten — niet geregistreerde verliezen, volgens het Anduin-rapport van Circle Research.

Gelezen over de resultaten heen is de afweging duidelijk: Anduin gaf 0,4 procentpunt aan voorspellingsnauwkeurigheid op en maakte de aanval ongeveer 23 keer duurder. Gelezen langs de andere kant is het beeld minder geruststellend. De ranglijst voor alle kopers tegelijk aanvoeren kost duizenden — $8.259 in de test — terwijl dat voor één enkele koper met hoge waarde een paar honderd dollar kost: $291. Voor een oneerlijke verkoper is het tweede getal het belangrijkste, want één goed gekozen koper is het realistische doelwit.

Of $291 iemand afschrikt hangt af van wat die koper voor de aanvaller waard is, en het rapport schat die kant van de balans niet in. De getallen vangen de kosten van het verplaatsen van een rangschikking, niet de omzet die een valse dienstverlener zou kunnen extraheren zodra die daar staat. De afschrikking is daarom een voorwaarde rather dan een resultaat: het schema werkt waar de beloning onder de prijs blijft, en Circles gegevens kunnen nog niet tonen waar die grens ligt.

Waar de prijs zijn kracht verliest

De ondergrens rust op één aanname: geld dat aan de bestaande dienstverleners van een koper wordt betaald is voorgoend weg. Circle stelt dat samenwerkende dienstverleners, en dienstverleners die de aanvaller stilletjes terugbetalen, buiten Anduins garantie vallen. Als de vertaler in het voorbeeld hierboven bereid is een percentage te houden en de rest terug te sturen, zakt de echte kosten van de aanvaller tot de vergoeding en wordt de rangschikking niet duurder te kopen dan voorheen. Anduin gaat er ook van uit dat de aanvaller geen van de dienstverleners beheert die de koper al gebruikt; in een open markt is dat een voorwaarde om te verifiëren, geen gegeven.

De tweede leemte is de lege graaf. Een koper zonder betalingsgeschiedenis heeft geen vertrouwde ankers, dus er zijn geen paden te volgen en niets te rangschikken. Circle wijst naar samengestelde toelatingslijsten als startpunt, terwijl het rapport zelf opmerkt dat registers van gecontroleerde dienstverleners slecht schalen zodra het volume aan diensten ontgroeit wat menselijke beoordelaars kunnen auditen. Nieuwe dienstverleners staan voor het spiegelbeeldprobleem: totdat een of andere koper in het netwerk hen heeft betaald, is er geen pad waarlangs ze in iemands gepersonaliseerde rangschikking kunnen verschijnen.

Een rangschikking is geen beoordeling

Zelfs binnen zijn aannames meet het experiment iets beperkter dan betrouwbaarheid. Het scoort een methode als correct wanneer de dienstverlener die als eerste gerangschikt werd, degene is die de koper daarna betaalde — een test of de rangschikking overeenkomt met koopgedrag in plaats van dienstkwaliteit. Kopers betalen routinematig voor gegevens die achteraf onjuist blijken, vertalingen die onbruikbaar zijn en rapporten die nooit aankomen; elk van die betalingen zou nog steeds als een treffer tellen.

“Eerder betaald” is niet “onafhankelijk beoordeeld,” en een sterke Anduin-score verifieert noch de identiteit achter een dienstverlener, noch de output die het teruggeeft. De leemte die Coindoo beschreef tussen portemonnee-instromen en klantenomzet geldt hier ook: de keten registreert de overdracht precies en laat de commerciële betekenis ervan open.

In de praktijk plaatst dat op betalingen gebaseerde reputatie naast twee andere controlemaatregelen in plaats van erboven. Uitgavenmachtigingen beperken hoeveel een agent mag betalen. Ranglijsten zoals Anduin beperken waar het moet kijken. Het controleren van het geleverde resultaat is de enige stap die antwoordt of de aankoop zijn werk deed, en een graaf die moeilijker te bespelen is neemt die stap niet weg.

Wat het experiment in bescherming zou veranderen

Circle bestempelt Anduin als onderzoek, niet als een uitgebrachte dienst, en het bewijs dat dat zou veranderen is specifiek. Een implementatie zou moeten aantonen hoe de rangschikking standhoudt wanneer de aanbevelingen van een dienstverlener gemanipuleerd zijn, hoe nieuwe kopers voorbij de toelatingslijstfase komen, wat er gebeurt wanneer een vertrouwde dienstverlener blijkt samen te werken, en of de dienstverleners die het hoog rangschikt werk leveren dat agenten daadwerkelijk accepteren.

Het getal van $8.259 beantwoordt één vraag goed: hoeveel het kost om een menigte te vervalsen. De moeilijkere vragen beginnen zodra de menigte echt is.