W poście badawczym opublikowanym 13 listopada Circle opisuje Anduin, eksperymentalny system rankingowy dla rynków agentów, który ocenia dostawców usług na podstawie tego, kto już im zapłacił — oraz tego, czy ci płatnicy pokrywają się z historią płatności danego kupującego. Cel systemu jest celowo wąski: zmusić każdego, kto próbuje sztucznie zwiększyć popularność dostawcy, do wydawania pieniędzy w firmach, których nie kontroluje.

Fałszywych klientów można tworzyć niemal za darmo

Atak Sybil polega na tym, że jeden operator udaje wielu niezależnych uczestników. Na rynku agentów oznacza to tworzenie portfeli kupujących i wykorzystywanie każdego z nich do płacenia za usługę należącą do operatora, tak aby sklep, który nigdy nie obsłużył prawdziwego klienta, wyglądał na aktywny. Transfery są rzeczywistymi transakcjami on-chain, ale pieniądze nie opuszczają rąk operatora; faktycznie wydawane są tylko opłaty sieciowe.

Dołączony artykuł badawczy określa skalę tego kosztu: przy metrykach opartych na wykorzystaniu, na których obecnie polegają rynki, podniesienie reputacji fałszywego dostawcy do mediany rynku kosztuje około 0,0027 USD. Opinie nie stanowią rozwiązania zastępczego. Spośród 66 mln płatności przeanalizowanych przez badaczy mniej niż 4000 zawierało dobrowolną ocenę on-chain.

Płatności te są realizowane za pośrednictwem standardu x402, który pozwala usłudze zwrócić cenę w odpowiedzi HTTP 402, a oprogramowaniu rozliczyć płatność w ramach żądania, bez zakładania konta i bez etapu finalizacji zakupu. To właśnie umożliwia agentom kupowanie usług, a zarazem sprawia, że zatłoczony sklep można łatwo sfabrykować. Coindoo osobno analizowało, czego płatność x402 ujawnia, a czego nie ujawnia na temat osoby lub podmiotu stojącego za transakcją.

Jak Anduin przekształca płatności w cenę

Badacze przedstawiają każdego kupującego i dostawcę jako węzeł grafu, a płatności jako łączące ich krawędzie, ważone wysokością zapłaconej kwoty, częstotliwością oraz aktualnością płatności. Standardowy system rekomendacji, czyli filtrowanie kolaboratywne, działa na tym grafie, wyszukując kupujących podobnych do danego użytkownika i rekomendując zakupy dokonane przez tych podobnych kupujących. Nie potrafi odróżnić grupy prawdziwych klientów od grupy portfeli zasilanych przez sprzedawcę; obie wyglądają jak popyt.

Anduin odczytuje ten sam graf inaczej. Zaczyna od dostawców, którym kupujący już płaci, i traktuje ich jako zaufane punkty odniesienia kupującego. Załóżmy, że agent regularnie płaci za usługę tłumaczeniową. Inni kupujący również płacą temu tłumaczowi, a część z nich płaci dostawcy danych, z którego agent nigdy wcześniej nie korzystał. Dostawca danych otrzymuje rekomendację dzięki tej ścieżce, a jej siła jest ograniczona przez rzeczywiste środki przepływające wzdłuż tej ścieżki.

To ograniczenie jest sednem rozwiązania. Płatności między portfelami kontrolowanymi przez atakującego nigdy nie dotykają jednego z zaufanych dostawców kupującego, więc nie wnoszą nic do ścieżki. Aby stworzyć połączenie, atakujący musi zapłacić tłumaczowi — firmie, której nie posiada — i nie może odzyskać tych pieniędzy. W artykule sformalizowano to za pomocą trzech wariantów oceniania opartych na przepływach oraz dowiedziono dolnej granicy wydatków atakującego dla każdego z nich; wariant wskazywany przez Circle nosi nazwę Amplified Flow. Kolejne pytanie brzmi: jak wysoka okazuje się ta dolna granica na rzeczywistych danych.

8259 USD, by oszukać każdego kupującego, i 291 USD, by oszukać tego najważniejszego

Badacze przeanalizowali 90-dniowe okno płatności x402 kończące się 21 czerwca i zidentyfikowali 813 kupujących, którzy następnie zapłacili dostawcy, z którego wcześniej nie korzystali. Każdą metodę poproszono o wcześniejsze uszeregowanie dostawców dla tych kupujących; trafienie oznaczało, że dostawca wybrany przez kupującego jako następny znalazł się na pierwszym miejscu. Test ataku sprawdzał następnie, ile osoba z zewnątrz musiałaby wydać, aby umieścić nowego dostawcę na pierwszej pozycji.

Pełny zbiór danych wykorzystany w badaniu obejmuje 66,1 mln płatności o wartości około 6,1 mln USD w 16 sieciach, zebranych między 23 marca a 26 sierpnia. Kwoty kosztów oznaczają modelowane wydatki atakującego, wraz z opłatami sieciowymi — a nie odnotowane straty, zgodnie z artykułem badawczym Circle dotyczącym Anduin.

Porównanie wyników pokazuje wyraźny kompromis: Anduin poświęcił 0,4 punktu procentowego dokładności predykcji, a jednocześnie zwiększył koszt ataku około 23 razy. Druga strona wyników jest mniej komfortowa. Umieszczenie dostawcy na szczycie rankingu jednocześnie dla każdego kupującego kosztuje tysiące dolarów — w teście było to 8259 USD — podczas gdy zajęcie pierwszego miejsca dla jednego wartościowego kupującego kosztuje kilkaset dolarów: 291 USD. Dla nieuczciwego sprzedawcy liczy się druga liczba, ponieważ jeden odpowiednio wybrany kupujący jest realistycznym celem.

To, czy 291 USD odstraszy kogokolwiek, zależy od wartości tego kupującego dla atakującego, a artykuł nie szacuje tej części rachunku. Podane wartości pokazują koszt przesunięcia dostawcy w rankingu, a nie przychody, które fałszywy dostawca mógłby uzyskać po osiągnięciu wysokiej pozycji. Odstraszanie jest więc warunkiem, a nie rezultatem: rozwiązanie działa tam, gdzie nagroda pozostaje niższa od ceny, a dane Circle nie pozwalają jeszcze wskazać, gdzie przebiega ta granica.

Gdzie cena przestaje obowiązywać

Dolna granica opiera się na jednym założeniu: pieniądze zapłacone dotychczasowym dostawcom kupującego przepadają bezpowrotnie. Circle stwierdza, że dostawcy współpracujący z atakującym oraz dostawcy, którzy po cichu zwracają mu środki, znajdują się poza gwarancją Anduin. Jeśli tłumacz z powyższego przykładu zgodzi się zatrzymać część środków i odesłać resztę, rzeczywisty koszt atakującego spada do wysokości opłaty, a ranking nie jest trudniejszy do kupienia niż wcześniej. Anduin zakłada również, że atakujący nie kontroluje żadnego z dostawców, z których kupujący już korzysta; na otwartym rynku jest to warunek do zweryfikowania, a nie coś oczywistego.

Drugą luką jest pusty graf. Kupujący bez historii płatności nie ma zaufanych punktów odniesienia, więc nie ma ścieżek do prześledzenia ani elementów do uszeregowania. Circle wskazuje kuratorowane listy dopuszczonych dostawców jako punkt wyjścia, ale sam artykuł zauważa, że rejestry zweryfikowanych dostawców słabo się skalują, gdy liczba usług przekracza możliwości audytowe ludzkich weryfikatorów. Nowi dostawcy napotykają odwrotny problem: dopóki ktoś w sieci im nie zapłaci, nie istnieje ścieżka, dzięki której mogliby pojawić się w spersonalizowanym rankingu któregokolwiek użytkownika.

Ranking nie jest recenzją

Nawet przy założeniach przyjętych w badaniu eksperyment mierzy coś węższego niż wiarygodność. Metoda jest uznawana za poprawną, gdy dostawca umieszczony przez nią na pierwszym miejscu jest tym, któremu kupujący zapłacił jako następnemu — to test zgodności rankingu z zachowaniem zakupowym, a nie jakości usługi. Kupujący regularnie płacą za dane, które okazują się błędne, tłumaczenia, z których nie da się korzystać, oraz raporty, które nigdy nie docierają; każda z tych płatności nadal zostałaby uznana za trafienie.

„Wcześniej opłacony” nie oznacza „niezależnie zrecenzowany”, a wysoki wynik Anduin nie potwierdza ani tożsamości stojącej za dostawcą, ani dostarzanego przez niego rezultatu. Luka opisana przez Coindoo między wpływami na portfele a przychodami od klientów ma tu również zastosowanie: blockchain dokładnie rejestruje transfer, ale pozostawia otwarte jego znaczenie handlowe.

W praktyce reputacja oparta na płatnościach jest więc jednym z trzech mechanizmów kontroli, a nie rozwiązaniem nadrzędnym wobec pozostałych. Uprawnienia do wydawania środków ograniczają kwotę, którą agent może zapłacić. Rankingi takie jak Anduin zawężają obszar poszukiwań. Tylko sprawdzenie dostarczonego rezultatu odpowiada na pytanie, czy zakup spełnił swoje zadanie, a graf trudniejszy do zmanipulowania nie eliminuje tej konieczności.

Co zmieniłoby eksperyment w ochronę

Circle określa Anduin jako projekt badawczy, a nie wdrożoną usługę, i precyzyjnie wskazuje dowody, które mogłyby to zmienić. Wdrożenie musiałoby wykazać, jak ranking radzi sobie w sytuacji zmanipulowania rekomendacji dostawcy, jak nowi kupujący przechodzą etap list dopuszczonych dostawców, co dzieje się, gdy zaufany dostawca okazuje się współpracować z atakującym, oraz czy wysoko oceniani dostawcy dostarczają pracę, którą agenci faktycznie akceptują.

Kwota 8259 USD dobrze odpowiada na jedno pytanie: ile kosztuje sfabrykowanie tłumu. Trudniejsze pytania zaczynają się dopiero wtedy, gdy tłum jest prawdziwy.