Als ich zum ersten Mal ernsthaft die Strategiedokumente des Newton Protocols zu KI-Agents durchging, war ich innerlich ziemlich aufgeregt. Endlich meldet sich jemand zu Wort und sagt: Beim autonomen Ausführen von Trades darf man sich nicht nur auf die „moralische Einsicht“ des Modells verlassen—es braucht einen regelbasierten, native auf der Chain laufenden Strategie-Engine als Vermittler, die jede einzelne Überweisung erst durch einen Regelsatz schleust: Obergrenzen für Beträge, Whitelists für Empfängeradressen, Frequenzlimits und sogar eine Kategorie, deren Schreibweise ich immer wieder überprüft habe, weil ich es kaum glauben konnte—„Prompt-Injection-Abwehr“. Damals dachte ich: Dieses Team ist klar im Kopf. Sie wissen, wie leicht sich große Sprachmodelle mit einem einzigen Satz verwirren lassen.
Doch als ich mich wieder beruhigt hatte, und dann ein paar extreme Szenarien mit meinem eigenen Agent durchgespielt habe, war diese erste heiße Motivation zur Hälfte verflogen. Ich habe festgestellt, dass Newtons Ansatz im Kern versucht, gegen eine unstrukturierte, voller semantischer Unschärfen steckende menschliche Sprachangriffsfläche mit hochgradig strukturierten binären Regeln anzukämpfen. Diese Verschiebung ist vielleicht die wirklich tödliche Stelle.
Zuerst will ich die Auffang- bzw. Abwehrmaßnahmen gegen Prompt-Injection ansprechen, die mich am meisten interessieren. In Newtons Strategie kann man definieren: Wenn in den Eingaben einer Überweisungsanfrage Wörter wie „ignoriere alle vorherigen Anweisungen“ oder deutlich erkennbare Jailbreak-Phrasen vorkommen, lehnt man sofort ab. Das ist ja auch okay—eine normale Schutzmaßnahme. Aber wirklich effektive Injection-Attacken sind längst nicht mehr nur diese „Schulhof“-Schlupflöcher. Höherwertiges Prompt-Engineering zerlegt die böswillige Absicht und versteckt sie in einem „Anwaltschreiben“, in einem „Systemfehler-Log“ oder sogar in einem Abschnitt „fiktiver Dialog einer erfundenen Person“. Diese Texte sind auf Zeichenebene völlig harmlos: keine regelverletzenden Begriffe, und sie sehen aus wie ein ganz normaler Kontext. Wenn der Agent zu der Einschätzung verleitet wird: „Ich muss jetzt dringend diese Gelder zurückrollen, sonst entstehen dem Protokoll Verluste“, wie sieht dann die von ihm generierte Überweisungsanfrage für die Newton-Strategie-Engine aus? Der Betrag ist normal, die Adresse wurde vom Agenten bereits anhand seiner „falschen Wahrnehmung“ in die Whitelist eingetragen, und die Parameter sind so sauber, dass sie nur als eine regelkonforme Autorisierung interpretiert werden können. Die Strategie-Engine würde ohne zu zögern durchwinken.
In diesem Moment wird das Problem völlig offengelegt: Newtons Strategie bewertet nur die Transaktionsdaten selbst—sie bewertet nicht, ob der „Kontext“, der die KI dazu veranlasst, diese Transaktion auszugeben, möglicherweise kontaminiert ist. Das Gefährlichste an einer KI ist genau das: Sie kann durch einen sauberen Satz zu logisch stimmigem Verhalten geführt werden, das jedoch am Ende völlig falsch ist. Regeln schützen vor mathematischem Regelbruch, aber der Betrug führt immer über semantische Nebenwege.
Als Nächstes zur Whitelist-Methode. Newton erlaubt es, dem Agent eine Liste von Adressen zu geben, an die er nur überweisen darf—das Design wirkt so, als würde es den Geldfluss zuverlässig und fest einfrieren. In der realen DeFi-Praxis braucht es jedoch für viele Interaktionen dynamisch generierte Vertragsadressen, etwa für automatisches Reinvestieren, das Zurückholen hinterlegter Sicherheiten oder Zieladressen für Cross-Chain-Bridges. Wenn ich die Whitelist für die Effizienz des Agents zwangsläufig auf eine vertrauenswürdige Protocol-Factory-Contract-Adresse erweitern muss, ist die Whitelist im Grunde schon zu einem Sieb geworden. Der Angreifer muss den Agent selbst nicht kompromittieren—er muss nur in dieser Menge als „vertrauenswürdig“ markierter Verträge einen verwundbaren Pfad finden und mit einer scheinbar harmlosen Transaktionssequenz meine Gelder regelkonform, ohne irgendeine Strategie-Sperre auszulösen, Schritt für Schritt in einen dunklen Wald manövrieren.
Je mehr ich analysiere, desto mehr habe ich das Gefühl, dass Newtons Sicherheitskonzept für KI-Agents eigentlich das Problem „KI dreht durch“ löst—nicht aber das Problem „KI wird getäuscht“. Es hält davon ab, dass das Modell plötzlich ausrastet und überschüssige Gelder nach draußen wirft, aber es schützt nicht davor, dass eine wache, logisch stringente KI—die durch falsche Prämissen geschickt umwickelt wurde—Schritt für Schritt einen „vollständig regelkonformen“ Zerstörungsprozess durchläuft. Und noch bedeutsamer ist: Diese binäre Bewertung, sobald sie mit dem Stempel „on-chain verifiziert“ versehen wurde, wird mir noch größere kognitive Fallen stellen. Denn ich werde, weil ich Newtons grünes Licht sehe, nicht mehr danach schauen, was die KI-Entscheidungen nachträglich wirklich motiviert hat.$BTC
Natürlich kann ich nicht sagen, Newton sei im Unrecht gewesen. Im Gegenteil: Es ist eines der seltenen Projekte, das dieses Problem wirklich auf die Bühne bringt und eine verlässliche, ingenieurmäßige Lösung vorschlägt. Aber zwischen diesen Käfigstäben könnten die Abstände groß genug sein, damit selbst die raffinierteste semantische Attacke—still wie Nebel—durchdringt. Jedenfalls traue ich mich im Moment noch nicht, den privaten Schlüssel einer KI anzuvertrauen, die nur rein mathematisch „keine Regel verletzt“.