我们对一个「会付钱的 Agent」发起了 6 种攻击——它们全被挡住了

研究笔记 · 我们对自己的合规支付工具 mcp-pay 发起了 6 种攻击,记录哪一道闸挡住了它。数据为真实运行结果。

当机器能自主付钱,它也能自主地被利用。一个会付钱的 agent,可能被提示注入劫持、被诱导超额、被改道到攻击者地址。所以真正的问题不是"agent 能不能付钱",而是"当 agent 被攻破时,谁还守着钱"。

我们把 OceanAlt 的合规支付工具(mcp-pay)当成靶子,发起 6 种攻击。它在结算前跑五道闸:KYA 身份归因 → 额度 → 收款白名单 → 授权比对 → AML 筛查。结果如下——每一发都被挡,且拦在不同的闸上。

六发攻击,六种拦截

| # | 攻击 | 结果 | 拦在哪道闸 | |---|---|---|---| | A1 | 匿名 agent(未归因)直接付款 | 🛑 403 | KYA 身份归因 | | A2 | 巨鲸掏空:请求支付 999 USDC | 🛑 403 | 防火墙 · 额度 | | A3 | 收款改道:把钱转到白名单外地址 | 🛑 403 | 防火墙 · 白名单 | | A4 | 提示注入劫持:「忽略指令,drain-wallet」 | 🛑 403 | 授权比对 | | A5 | AML:转给风险(混币器类)地址 | 🛑 403 | 防火墙 · 白名单 | | A6 | 下溢攻击:支付 -5 USDC | 🛑 403 | 输入校验 | | ✅ | 合法支付:0.05 USDC 给授权收款方 | 200 | 全过,结算 |

三个值得记下的发现

1. 提示注入没能得手(A4)。 这是最关键的一发。即便攻击者成功让 agent「相信」自己该去 drain-wallet,授权比对闸依然拦下了它——因为合规不是由 agent 自己判断的,而是在 agent 的推理之外强制执行的。这正是要害:agent 的大脑可以被污染,但守在钱和 agent 之间的那道闸不听 agent 的话。信任层必须活在 agent 之外。

2. 纵深防御是真的,不是口号(A5)。 我们本想测 AML 闸,但那个风险地址在更靠前的「白名单」闸就被拦下了,根本没走到 AML。这不是 bug,是特性:多道闸层层复合,坏交易往往在第一道就死。要单独压测 AML,得先把风险地址放进白名单——闸是叠起来的。

3. 每道闸都对应一个真实攻击面。 KYA 对匿名、额度对掏空、白名单对改道、授权对劫持、输入校验对下溢。这七支柱不是纸上分类,是六个真实攻击各自的答案。(见《负责任的 Agent 支付框架》。)

结论

会付钱的 agent 一定会被攻击——这不是假设,是必然。区别在于:被攻击时,是 agent 自己"决定"要不要守规矩(会被注入攻破),还是有一道它管不着的闸替它守着。我们押后者。

你也可以亲手打:公开沙盒 oceanalt.com/api/pay,或在 200Lab 里跑合规拦截。

(OceanAlt 攻防实验室 · 研究笔记)