Почему on-chain данные не защищают AI-агента от отравления входов?

Публичность блокчейна доказывает, что данные были записаны, но не доказывает, что они правдивы или безопасны для AI-агента. Злоумышленник может создать кошельки, сделки, токены и подписи, которые выглядят как рыночный сигнал. Если модель слепо принимает такие входы, on-chain неизменность лишь навсегда сохранит качественно подготовленную ложь.

Какие данные агент может понять неправильно?#

Объём переводов, число держателей, активность governance и ликвидность выглядят объективными, потому что доступны всем. Но один оператор может контролировать множество адресов, торговать сам с собой или создать токен с похожим названием. Контракт сообщает, что транзакция выполнилась, а не раскрывает намерение и независимость её участников.

Чем poisoning отличается от обычной ошибки?#

При data poisoning атакующий системно меняет обучающие примеры или контекст, чтобы склонить модель к нужному поведению. Во время работы похожий эффект дают злонамеренные метаданные, prompt injection из внешнего контента или специально созданная история кошельков. NIST разделяет poisoning, evasion, privacy и misuse и подчёркивает отсутствие универсальной защиты.

Как снизить риск перед on-chain действием?#

Агенту нужны происхождение данных, несколько независимых источников, фильтры новых активов и лимиты на сумму. Транзакцию следует симулировать, декодировать approvals и проверять изменение балансов. Критические операции полезно проводить через allow-list контрактов, отдельный кошелёк с малым лимитом и подтверждение человеком.

Где ограничения и риски?#

Фильтр может пропустить новую атаку или заблокировать нормальную активность. Репутационный список тоже может быть отравлен, а независимые провайдеры — использовать один upstream. Модель с доступом к ключам превращает ошибку анализа в необратимую транзакцию, поэтому архитектура полномочий важнее уверенного текстового ответа модели.

Какие ключевые выводы?#

• Неизменность записи не подтверждает истинность события.
• Poisoning может происходить при обучении и во время работы агента.
• Sybil-адреса способны изображать независимое согласие рынка.
• Источники, лимиты и симуляция нужны до выполнения действия.
• Безошибочной защиты от adversarial ML не существует.