В исследовательской публикации от 13 ноября Circle описывает Anduin — экспериментальную систему ранжирования для агентных маркетплейсов, которая оценивает поставщиков услуг по тому, кто им уже платил, и по тому, пересекаются ли эти плательщики с историей платежей конкретного покупателя. Цель дизайна намеренно узка: заставить любого, кто пытается подделать популярность провайдера, тратить деньги на бизнес, который ему не принадлежит.

Фейковые клиенты почти ничего не стоят

Sybil-атака — это один оператор, выдающий себя за множество независимых участников. На агентном маркетплейсе это означает создание кошельков покупателей и оплату собственного сервиса с каждого из них, чтобы витрина, никогда не обслуживавшая реального клиента, выглядела оживленной. Переводы — настоящие ончейн-транзакции, но деньги не покидают рук оператора; фактически тратятся только комиссии сети.

Сопроводительная исследовательская работа дает цифру того, насколько это дешево: при используемых сегодня маркетплейсами метриках, основанных на объеме использования, поднятие репутации фейкового провайдера до медианы маркетплейса стоит около $0,0027. Отзывы не являются запасным вариантом. Среди 66 млн платежей, изученных исследователями, менее 4 000 имели добровольный ончейн-рейтинг.

Эти платежи проходят через стандарт x402, который позволяет сервису возвращать свою цену в HTTP 402-ответе и позволяет программному обеспечению проводить оплату внутри запроса, без регистрации или оформления заказа. Именно это делает возможными покупки агента у сервиса — и именно поэтому так легко подделить оживленную витрину. Coindoo отдельно рассматривал, что платеж x402 раскрывает и не раскрывает о том, кто за ним стоит.

Как Anduin превращает платежи в цену

Исследователи моделируют каждого покупателя и провайдера как узел графа, где платежи — это связи между ними, взвешенные по сумме, частоте и давности платежей. Стандартная рекомендательная система — коллаборативная фильтрация — работает на этом графе, находя покупателей, похожих на данного пользователя, и рекомендуя то, что они покупали. Она никак не может отличить кластер реальных клиентов от кластера кошельков, финансируемых продавцом; оба выглядят как спрос.

Anduin читает тот же граф иначе. Он отталкивается от провайдеров, которым покупатель уже платит, и считает их доверенными якорями покупателя. Допустим, агент регулярно платит сервису перевода. Другие покупатели тоже платят этому переводчику, и некоторые из них платят провайдеру данных, которым агент никогда не пользовался. Провайдер данных получает рекомендацию через этот путь, а сила рекомендации ограничена реальными деньгами, проходящими по нему.

Это ограничение — вся суть. Платежи между кошельками, контролируемыми злоумышленником, никогда не затрагивают ни одного из доверенных провайдеров покупателя, поэтому они не дают ничего пути. Чтобы создать связь, злоумышленник должен заплатить переводчику — бизнесу, который ему не принадлежит, — и не может вернуть деньги. Работа формализует это с помощью трех вариантов скоринга на основе потоков и доказывает нижнюю границу расходов злоумышленника для каждого; вариант, который выделяет Circle, называется Amplified Flow. Далее возникает вопрос: насколько большой оказывается эта нижняя граница на реальных данных.

$8 259, чтобы обмануть всех, $291, чтобы обмануть того, кто важен

Исследователи изучили 90-дневное окно платежей x402, завершившееся 21 июня, и выявили 813 покупателей, которые впоследствии заплатили провайдеру, которым ранее не пользовались. Каждый метод должен был заранее ранжировать провайдеров для этих покупателей; попаданием считался случай, когда провайдер, которого они реально выбрали следующим, занимал первое место. Затем тест атаки определял, сколько постороннему пришлось бы потратить, чтобы поставить нового провайдера на первое место вместо него.

Полный набор данных исследования насчитывает 66,1 млн платежей на сумму около $6,1 млн в 16 сетях, собранных с 23 марта по 26 августа. Цифры затрат представляют собой смоделированные расходы злоумышленника, включая комиссии сети, — а не зафиксированные убытки, согласно статье Circle Research об Anduin.

Если читать результаты по горизонтали, компромисс очевиден: Anduin пожертвовал 0,4 процентного пункта точности предсказания и сделал атаку примерно в 23 раза дороже. Если смотреть в другую сторону, картина менее утешительная. Возглавить рейтинг сразу для всех покупателей стоит тысяч — $8 259 в тесте, — а для одного ценного покупателя — несколько сотен долларов: $291. Для нечестного продавца важна вторая цифра, потому что один хорошо выбранный покупатель — реалистичная цель.

Страшно ли кого-то $291, зависит от того, сколько этот покупатель стоит для злоумышленника, и в работе эта сторона не оценивается. Ее цифры отражают стоимость смещения рейтинга, но не доход, который фейковый провайдер мог бы извлечь, добравшись туда. Поэтому сдерживание — это условие, а не результат: схема работает там, где вознаграждение остается ниже цены, и данные Circle пока не могут показать, где проходит эта линия.

Где цена перестает удерживаться

Нижняя граница опирается на одно допущение: деньги, уплаченные существующим провайдерам покупателя, потеряны навсегда. Circle указывает, что сговорившиеся провайдеры и провайдеры, тихо возвращающие средства злоумышленнику, находятся за пределами гарантий Anduin. Если переводчик из примера выше готов оставить себе часть и вернуть остальное, реальная стоимость атаки сводится к комиссии, и рейтинг становится не сложнее купить, чем прежде. Anduin также предполагает, что злоумышленник не контролирует ни одного из провайдеров, которыми покупатель уже пользуется; на открытом рынке это условие, которое нужно проверять, а не данность.

Вторая проблема — пустой граф. У покупателя без истории платежей нет доверенных якорей, поэтому нет путей, по которым можно следовать, и нечего ранжировать. Circle указывает на курируемые белые списки как на отправную точку, при этом сама работа отмечает, что реестры проверенных провайдеров плохо масштабируются, как только объем сервисов превышает возможности аудита рецензентов. Новые провайдеры сталкиваются с зеркальной проблемой: пока какой-либо покупатель в сети не заплатил им, нет пути, по которому они могли бы появиться в чьем-либо персональном рейтинге.

Рейтинг — это не отзыв

Даже внутри своих допущений эксперимент измеряет нечто более узкое, чем надежность. Метод считается правильным, если провайдер, поставленный на первое место, оказался тем, кому покупатель заплатил следующим. Это проверка того, совпадает ли рейтинг с покупательским поведением, а не с качеством услуг. Покупатели регулярно платят за данные, которые оказываются неверными, переводы, которые непригодны, и отчеты, которые так и не приходят; каждый такой платеж все равно засчитывался бы как попадание.

«Платил ранее» — не «проверено независимо», и высокий балл Anduin не подтверждает ни личность, стоящую за провайдером, ни результат, который он возвращает. Разрыв, который Coindoo описал между притоками в кошельки и доходами от клиентов, применим и здесь: цепочка точно фиксирует перевод и оставляет его коммерческий смысл открытым.

На практике это ставит репутацию, основанную на платежах, рядом с двумя другими механизмами контроля, а не выше них. Правила расходования ограничивают сумму, которую агент может заплатить. Рейтинги вроде Anduin сужают, куда ему стоит смотреть. Проверка доставленного результата — единственный шаг, отвечающий на вопрос, выполнила ли покупка свою задачу, и граф, который сложнее подделать, этот шаг не отменяет.

Что превратит эксперимент в защиту

Circle называет Anduin исследованием, а не выпущенным сервисом, и доказательства, которые могли бы это изменить, конкретны. Развертывание должно показать, как рейтинг держится, когда рекомендации провайдера были подвергнуты манипуляциям, как новые покупатели преодолевают этап белого списка, что происходит, когда доверенный провайдер оказывается в сговоре, и действительно ли поставщики на высоких позициях выполняют работу, которую агенты принимают.

Цифра $8 259 хорошо отвечает на один вопрос: сколько стоит подделать толпу. Более сложные вопросы начинаются, когда толпа становится реальной.