Lass mich etwas fragen, das ich glaube, dass die meisten Menschen, die in diesem Bereich bauen, leise meiden.
Wenn ein KI-Agent eine Transaktion auf der Blockchain ausführt: Wer hat ihm eigentlich gesagt, dass er das tun darf?
Nicht in einem abstrakten Sinne. In einem realen, technischen, beweisbaren Sinne. Welcher Mechanismus existiert, der sagt, dass dieser Agent zu diesem Zeitpunkt mit genau dieser Summe dazu autorisiert war, diesen Schritt zu machen? Und wenn der Agent etwas außerhalb dieser Grenzen tut: Was war dann tatsächlich vorhanden, um ihn zu stoppen, bevor die Gelder flossen?
Derzeit ist bei den meisten Onchain-Agent-Deployments die ehrliche Antwort: fast nichts Bedeutungsvolles.
Ich habe eine Weile mit genau dem hier gesessen, und je länger ich darüber nachdenke, desto unbehaglicher macht es mich.
Die Fähigkeit kam, bevor die Sicherheitsinfrastruktur da war:
Das ist es, was mir an der Debatte über KI-Agenten in Krypto auffällt. Die Capability-Seite hat sich unglaublich schnell bewegt. Agenten führen bereits echte Trades aus, verwalten reale Treasury-Positionen und nehmen an echten Governance-Abstimmungen teil. Das ist nicht „irgendwann“. Es passiert bereits.
Die Infrastruktur, um das sicher und verantwortlich zu machen, ist deutlich hinterher. Und ich glaube nicht, dass die Leute ehrlich genug darüber sind, wie groß diese Lücke ist.
Ein Teil des Problems ist, dass das bestehende Sicherheitsmodell von DeFi nie mit autonomen Agenten im Hinterkopf gebaut wurde. Jeder Schutz, der existiert – Zugriffssteuerungen, Compliance-Checks, Betrugserkennung – lebt auf der Anwendungsebene oder im Frontend. Und genau diese Ebene berühren KI-Agenten nie. Sie rufen Verträge direkt auf. Programmatisch. Ohne dabei eine Schnittstelle zu durchlaufen, an der man vielleicht etwas Falsches bemerken könnte.
Ein kompromittierter Agent fragt nicht nach Erlaubnis. Er führt einfach aus. Und wenn es auf Vertragsebene nichts gibt, das ihn stoppt, fragt der Vertrag ebenfalls keine Erlaubnis ein.
Lass mich das konkreter machen, weil abstraktes Risiko sich leicht wegwischen lässt:
Stell dir einen DAO vor, der einen KI-Agenten einsetzt, um die Ertragsoptimierung über sein Treasury zu steuern. Der Agent ist autorisiert, Gelder zwischen genehmigten Protokollen zu verschieben. Das ist eine vernünftige Sache, die man wollen würde. Eine nützliche Fähigkeit.
Jetzt bekommt der Agent manipulierte Preisdaten, die ein bösartiges Protokoll attraktiv aussehen lassen. Oder seine Entscheidungsfindung wird auf irgendeine Weise verfälscht. Oder, ganz ehrlich, die einfachste Variante – jemand hat die Parameter nur falsch konfiguriert und es fängt an, Dinge zu tun, die niemand beabsichtigt hat.
Was hält das auf? Wenn die Antwort ist „Ein Mensch bemerkt es irgendwann“, dann verlässt du dich auf die Reaktionsgeschwindigkeit in einer Umgebung, in der Transaktionen unumkehrbar sind und sich Dinge schneller bewegen, als Menschen überwachen können. Dieses Zeitfenster zwischen „Der Agent macht etwas Falsches“ und „Ein Mensch merkt es und greift ein“ kann außerordentlich teuer sein.
Das ist das eigentliche Problem. Nicht hypothetisch. Eine strukturelle Lücke in der Art, wie Agenten derzeit onchain operieren.
Was an Newtons Ansatz bei mir konkret Klick gemacht hat:
Ich habe Newton Protocol bisher vor allem durch die Brille der institutionellen Compliance betrachtet – also Sanktionsscreening, Ausgabenlimits und so etwas. Aber als ich anfing, darüber speziell im Kontext von KI-Agenten nachzudenken, hat es sich ganz anders angefühlt.
Newton sitzt zwischen dem Initiieren einer Transaktion und der tatsächlichen Ausführung dieser Transaktion. Bevor etwas zur Ruhe kommt, wird die Transaktion gegen eine Policy geprüft. Ein Satz von Regeln, den jemand bewusst geschrieben und bereitgestellt hat – was dieser Agent tun darf, welche Protokolle er berühren kann, wie viel er bewegen darf und unter welchen Bedingungen.
Die Evaluation läuft über Newtons dezentes Operator-Netzwerk, das durch EigenLayer-Resstaking abgesichert ist. Echtes ökonomisches Gewicht hinter ehrlichen Evaluierungen. Das Ergebnis ist eine kryptografische Bestätigung (Attestation). Die Transaktion passiert, sie läuft durch. Die Transaktion scheitert an der Policy – dann eben nicht.
Die Autorisierung steckt nicht in der Programmierung des Agenten, in der Hoffnung, dass er sich korrekt verhält. Sie liegt in einer Policy-Schicht, die der Agent physisch nicht umgehen kann. Das ist ein komplett anderes Sicherheitsmodell. Der Agent kann kompromittiert sein, kann schlechte Daten erhalten, kann Fehlfunktionen haben – und die Policy-Schicht fängt trotzdem nicht autorisierte Aktionen ab, bevor sie ausgeführt werden.
Der Audit-Trail-Teil, den ich für unterschätzt halte:
Hier ist etwas, zu dem ich immer wieder zurückkehre. Wenn bei einem autonomen Agenten etwas schiefgeht, musst du rekonstruieren, was passiert ist. Was hat er getan? Wann? Welche Policy war in Kraft? Läuft die Evaluation korrekt durch?
Ohne verifizierbare Aufzeichnungen, die von jemand Unabhängigem erstellt wurden, setzt du Protokolle zusammen, die verändert worden sein könnten. Das ist keine Verantwortlichkeit. Das ist Archäologie in einer Tatort-Szenerie, in der die Beweise möglicherweise manipuliert wurden.
Newton-Attestierungen erzeugen einen permanenten Onchain-Datensatz jeder Policy-Evaluation. Kryptografisch verifizierbar. Erzeugt von einem dezentralen Netzwerk, das niemand kontrolliert. Jede Agententransaktion hat einen entsprechenden Nachweis dafür, dass die Prüfung gelaufen ist und welche Parameter gelten.
Man kann keine vertrauenswürdigen autonomen Systeme bauen, ohne das. Man kann nicht regieren, was man nicht prüfen kann.
Warum sich für mich dieses Timing so dringend anfühlt:
Mainnet Beta ist live. VaultKit ist verfügbar. Die Infrastruktur zur Definition und Durchsetzung von Agent-Authorizations-Policies ist derzeit bereits vorhanden.
Und ich glaube, der Zeitpunkt spielt wirklich eine Rolle. Die Welle der autonomen Agenten-Einführung in DeFi baut sich schnell auf. Die Beträge an Kapital, die diese Agenten verwalten werden, werden wachsen. Die Frage, wer die KI autorisiert hat – und welche Beweise dafür existieren, dass die Autorisierung tatsächlich bestand – wird zu einer der wichtigsten Fragen im gesamten Bereich.
Die Zeit, um diese Infrastruktur aufzubauen, ist bevor die Probleme laut und teuer werden. Nicht danach.
Newton baut das jetzt. Das fühlt sich für mich wichtig an.