撰文:Vaidik Mandloi
编译:Chopper,Foresight News
如今由 AI 生成的虚假收据,已经占到所有被标记费用欺诈案例的 71%,而一年前,这一数据还是 0,并且目前这类欺诈行为大多仍由人类实施。
现在,我们拥有了能够发现服务并通过 x402 进行支付的 AI 代理,这一切都无需任何人工审核。随之而来一个难题是,如何核验这些智能体究竟实际购买了什么。OpenAI 近期发布一份实操指南,为支付流程实现收据核验与三方对账提供方案。
这是目前我们所能看到针对智能体支付最接近可用的欺诈校验方案。本文拆解了这套核验机制完整运行逻辑:链上结算记录,能否证明智能体以正确价格、从正规供应商买到对应商品?还是仅仅只能证明资金发生了转移?
欺诈校验机制
AI 智能体已经在自主执行采购行为。一个负责采购任务的智能体,可能为获取数据向权限 API 付费、调用其他大模型算力处理自身无法运算的数据,或是购买付费墙背后的市场情报。随着这类交易越来越多,一个关键问题浮出水面:如何验证智能体实际买到的东西。
如今所有处理费用报销的企业都拥有一套收据核验流程。当员工完成采购,提交收据;应付账款部门会把收据、采购订单、银行流水三者交叉核对,之后才完成打款。
这套流程已经沿用数十年,能够生效的核心原因在于:三份核验记录来自相互独立的不同主体。采购方出具采购订单,另一方负责收货,供应商开具发票。想要造假,就必须串通三方共同伪造记录,而这种串通的高昂成本,在很大程度上遏制了欺诈。
现在,智能体支付正在搭建一套类似的校验流程。当智能体想要向付费 API 发起采购,它并不能直接完成交易。请求首先会递交至应用层,应用层依据预先配置的支出规则进行校验,包含预许可商户名单、预算上限、准许的消费品类。一旦请求不符合策略规则,这笔采购直接被拦截。
链上支付执行完成、智能体获取对应服务之后,应用层会执行第二轮校验,比对三份信息:
- 智能体自身上报的采购内容
- 采购过程由应用独立生成的收据
- 区块链生成的结算记录
伪造收据会在这一步被识别。即便智能体谎称交易并未发生,应用层已经留存独立记录与之相互印证。
对于智能体欺诈检测来说,这已经是巨大进步,在此之前完全没有可行核验手段。但对比传统收据核验模式,这套方案存在短板:传统模式三份凭证分别来自互不相关的第三方;而智能体支付体系里,两份凭证 —— 智能体的上报信息、应用生成的收据,都来自这套系统开发者自身的软件。唯一真正独立的外部凭证只有链上记录。
同时链上记录本身承载信息十分有限:支付签名只会记录付款方、收款方、转账金额,并不包含实际采购标的物信息。资源元数据、访问地址、内容描述会跟随签名报文一同传输,但并不属于密码学校验覆盖范围。
也就是说这套核验,仅能够确认智能体上报内容和转账记录保持一致,却没办法核实花钱之后,智能体究竟拿到了什么。 举个例子:智能体花费 2 美元购买一份供应商风险报告,链上可以确认 USDT 已经完成转账;但交付给智能体的报告,可能只是 AI 几秒钟生成的几段无效凑数文本。整套系统依旧会核验通过,因为授权绑定的是转账行为,而非采购标的物本身。
这还会引发全市场层面的问题。买方是一段软件程序,收到返回结果就直接继续运行,不会主动甄别好坏。智能体不会调用信誉系统,也不会货比三家。 除非开发者手动干预,否则无论交付质量高低,智能体会持续向同一个商户下单。提供高质量服务的卖方,失去愿意为优质产品支付溢价的客户;整个市场会向 “能完成请求的最低成本供给方” 倾斜。
任何支付系统都只能容忍一定比例欺诈。想要彻底根除欺诈,付出的成本会高于欺诈带来的损失。举例来说,信用卡行业欺诈率大约为 7 个基点,该水平被行业视作可接受区间;如果强行进一步压低欺诈,被误拦截的合法交易造成的损失,会超过规避欺诈挽回的收益。
智能体支付未来也可能走向同样局面:允许一部分服务质量瑕疵存在,依靠海量自主交易的规模消化风险。这套逻辑放在 API 调用这类小额场景尚且说得通,但当这套系统被用来处理成千上万规模的采购合约,智能体却依旧无法判断自己是否买到物有所值的服务,风险就很难被接受。
正在暴露的漏洞
伪造收据的工具迭代速度,已经超过欺诈检测工具。Ramp 近期上线一套 AI 应付账款系统,上线最初 90 天就标记出大量 AI 伪造单据案例。Emburse 在调研中承认,已经出现利用 AI 批量制造费用凭证的情况。
放到智能体场景,风险会进一步放大。交易结算之后,不再有人人工复核采购行为。一份学术论文对市面上 15 套已经上线运行的主流支付基础设施开展研究,全部都存在安全漏洞。这些系统为数万商户处理资金,论文披露的漏洞均可复现。
这些攻击逻辑的根源在于支付行为和实际产品交付互相解耦。在服务发现层攻击案例中,研究者仅仅篡改服务查询返回的服务器列表,就能够诱导智能体访问恶意服务端点。在智能体视角,该服务和正常列表没有任何区别,完全无法察觉自己已经被劫持跳转。
目前已有一批创业公司尝试解决该类问题。 shturl.cc/P 完成 950 万美元融资,推出 KYA(Know Your Agent,了解你的智能体)协议。这套协议相当于面向软件程序的 KYC:在资金发生流转之前,先为自主智能体建立信任评分,存在风险或者未经过核验的恶意智能体,直接无法进入支付环节。
但只靠身份校验,无法防范商户本身资质齐全,却交付劣质内容的情况。Sardine.ai 聚焦行为风险层面,完成 7000 万美元 C 轮融资,产品基于超过 20 亿台设备的交易画像做欺诈识别;现在他们在自身风控栈内部部署 AI 智能体,用来捕捉静态规则系统很难发现的各类异常行为。
底层基础设施赛道,Nekuda.ai 拿到 500 万美元融资。该项目提出,智能体与智能体之间的商业交互,不能沿用人类交易的旧架构,需要专门构建面向软件之间交易的商业 SDK,信任模型需要原生设计,而不是后期打补丁叠加。
如今市面上现有的欺诈检测,几乎全部把核查对象放在智能体本身:智能体有没有伪造收据、有没有超支、有没有错报供应商。 但智能体本身,其实并没有造假牟利的经济动机。真正有动机作恶的,是商户。 商户面对的买家,是不会评估服务质量、不会比价、也不会主动更换合作方的软件程序。
