Circle 在 11 月 13 日发布的研究文章中介绍了 Anduin,这是一种面向智能体市场的实验性排名系统,它根据“谁已经为某个服务商付过款”以及这些付款方是否与特定买家自身的支付历史重叠来为服务商评分。其设计目标刻意收窄:迫使任何试图伪造服务商受欢迎程度的人,不得不把钱花在自己并不拥有的业务上。

伪造客户几乎不需要任何成本

女巫攻击是指单一运营者伪装成众多独立参与者。在智能体市场中,这意味着批量创建买家钱包,并用每个钱包向运营者自己的服务付款,让一家从未服务过真实客户的店面看起来生意兴隆。这些转账是真实的链上交易,但钱从未离开运营者之手;实际支出的只有网络手续费。

accompanying research paper为这种伎俩的低成本给出了具体数字:在当前市场赖以运行的基于用量的指标下,将一家伪造服务商的声誉抬升至市场中位数只需约 0.0027 美元。评论并非可靠的兜底方案:在研究人员考察的 6600 万笔支付中,带有自愿链上评级的不足 4000 笔。

这些支付通过 x402 标准进行,该标准允许服务在 HTTP 402 响应中返回价格,并允许软件在请求内部完成结算,无需账户或结账步骤。这正是智能体向服务付款得以实现的原因——也是繁忙店面如此容易被伪造的原因。Coindoo 曾另行分析过 x402 支付能揭示和不能揭示的付款方身份信息。

Anduin 如何将支付转化为定价

研究人员将每个买家和服务商建模为图中的节点,以支付作为节点之间的连边,并按支付金额、频率和近期性加权。标准的推荐算法——协同过滤——在这张图上运行,通过寻找与你相似的买家并推荐他们购买过的内容。它无法区分真实客户群体与由卖方出资的钱包群体;在它看来,两者都像是需求。

Anduin 以不同的方式解读同一张图。它从买家已经付款的服务商出发,将其视为买家的信任锚点。假设一个智能体定期向一家翻译服务付款。其他买家也向这位译者付款,其中一些人还向该智能体从未使用过的数据服务商付款。该数据服务商便通过这条路径获得推荐,而推荐的强度受限于沿这条路径流动的真实资金。

这一约束正是设计的核心。攻击者控制的钱包之间的支付,永远不会触及买家的任何一个信任服务商,因此对路径毫无贡献。要制造连接,攻击者必须向译者——一它并不拥有的业务——付款,且无法收回这笔钱。论文用三种基于流的评分变体将这一思路形式化,并为每种变体证明了攻击者支出的下界;Circle 重点强调的变体名为 Amplified Flow。接下来的问题是,这一下界在真实数据上究竟有多大。

骗过所有买家需 8,259 美元,骗过关键的那一个只需 291 美元

研究人员考察了截至 6 月 21 日的 90 天 x402 支付窗口,识别出 813 位随后向从未使用过的服务商付款的买家。每种方法都被要求提前为这些买家排定服务商名次;命中意味着他们实际选择的下一个服务商排名第一。攻击测试则询问:局外人需要花费多少,才能让一家新服务商取而代之登上首位。

研究背后的完整数据集涵盖 3 月 23 日至 8 月 26 日收集的 6610 万笔支付,总价值约 610 万美元,分布在 16 条网络上。据 Circle Research 的 Anduin 论文,成本数字代表模型化的攻击者支出,包含网络手续费——并非实际记录的损失。

横向读结果,权衡一目了然:Anduin 放弃了 0.4 个百分点的预测准确率,却使攻击成本提高约 23 倍。纵向读另一侧,情况就没那么乐观了。让所有买家的排名同时登顶需要数千美元——测试中为 8,259 美元——而让单一高价值买家的排名登顶只需几百美元:291 美元。对不诚实的卖家而言,第二个数字才是关键,因为精心挑选的一个买家才是现实中的目标。

291 美元能否形成威慑,取决于该买家对攻击者的价值几何,而论文并未估算账本的这一侧。它的数字衡量的是移动排名的成本,而非伪造服务商登顶后可能攫取的收入。因此,这种威慑是一种条件而非结果:只有当收益低于代价时,该方案才有效,而 Circle 的数据尚无法显示这条界线位于何处。

价格约束在何处失效

这一下界建立在一条假设之上:支付给买家现有服务商的钱一去不返。Circle 明确指出,与攻击者串通的服务商,以及悄悄向攻击者退款的服务商,不在 Anduin 的保障范围之内。如果上例中的译者愿意抽取一部分佣金并把余款退回,攻击者的实际成本便塌缩为手续费,排名也变得和以前一样容易收买。Anduin 还假设攻击者并未控制买家已在使用的任何服务商;在开放市场中,这是需要验证的条件,而非天然成立的前提。

第二个缺口是空图。没有支付历史的买家没有信任锚点,因此没有路径可循,也无从排名。Circle 提议以人工筛选的许可列表作为起点,但论文本身指出,一旦服务数量超出人工审核的承受能力,经审核服务商的注册机制便难以扩展。新服务商面临镜像问题:在网络中没有任何买家为其付过款之前,不存在任何路径能让它出现在任何人的个性化排名中。

排名不等于评价

即便在其假设范围内,该实验衡量的东西也比可信度窄得多。当排名居首的服务商恰好是买家下一个付款对象时,该方法即被判为正确——这测试的是排名是否与购买行为相符,而非服务质量。买家经常为错误的数据、无法使用的翻译以及从未送达的报告付款;这些支付同样会被计为命中。

“曾经付费”不等于“经过独立评审”,高的 Anduin 分数既不能验证服务商背后的身份,也不能验证其返回的结果。Coindoo 曾描述过的钱包流入与客户收入之间的落差在这里同样适用:链上精确记录了转账,却使其商业含义悬而未决。

在实践中,这将基于支付的声誉置于另外两道控制机制之旁,而非之上。支出权限限制了智能体最多能支付多少。Anduin 这类排名收窄了它应关注的方向。核查交付结果才是唯一能回答这次购买是否达成目的的步骤,而一张更难被操纵的图并不能取消这一步。

什么才能让实验变成真正的防护

Circle 将 Anduin 定位为研究项目,而非已发布的服务,而改变这一状态的证据是具体的。一次实际部署需要证明:当服务商的推荐遭到操纵时排名如何维持、新买家如何跨越许可列表阶段、当受信任的服务商被证实串通时会发生什么,以及排名靠前的服务商交付的工作是否真能被智能体接受。

8,259 美元这个数字很好地回答了一个问题:伪造一群客户需要多少钱。更难的问题,要等到这群客户变成真实客户时才开始。