Googles Vorzeige-Beispiel für agentengestütztes Einkaufen ist ein Mantel: Man sagt seinem Agenten, dass man eine grüne Winterjacke möchte und bis zu zwanzig Prozent mehr zahlen würde – und der Agent kauft genau die passende Variante, sobald eine verfügbar ist. Damit ein Händler das erlaubt, brauchen sein Agent und der Agent des Käufers jeweils den Nachweis, dass der andere echt, zahlungsfähig und kein Betrüger ist. Die erste empirische Studie zu ERC-8004, dem Protokoll, das diesen Nachweis liefern soll, kommt zu einem ernüchternden Befund: Es ist fast vollständig hohl.

Agentisches Checkout hat den Sprung von der Folie in den Laden vollzogen. ChatGPT-Nutzer in den USA können inzwischen bei Etsy-Verkäufern kaufen – und bald auch bei Shopify-Marken wie Glossier und SKIMS –, vermittelt über das Agentic Commerce Protocol, das OpenAI und Stripe als Open-Source-Lösung bereitgestellt haben. Google zog mit seinem Agent Payments Protocol nach, das von Mastercard, American Express und Global Fashion Group sowie mehr als sechzig weiteren Partnern unterstützt wird. Beide Standards erfüllen eine Aufgabe zuverlässig: Sie ermöglichen es einem Händler zu bestätigen, dass eine echte Person einen bestimmten Kauf autorisiert hat – durch signierte Mandate und verifizierbare Nachweise. Was keiner der beiden Standards leistet, ist die Umkehrung: zu bestätigen, ob der Agent des Händlers selbst echt, finanziert und kein Imitator ist, der unter einem vertrauenswürdigen Namen auftritt. Genau diese zweite Frage muss der Agent des Käufers beantworten, bevor er Warenkorb und Karte freigibt.

ERC-8004 ist der führende Versuch, diese Frage zu lösen. Als Ethereum-Standard vorgeschlagen und noch im Entwurfsstadium, ermöglicht es Agenten, „über Organisationsgrenzen hinweg zu entdecken, auszuwählen und zu interagieren, ohne vorbestehendes Vertrauen” – genau die Lücke, die A2A und MCP, die Protokolle zur Agentenkommunikation, nie schließen sollten. Es hält drei Dinge on-chain fest: eine Identität für jeden Agenten, ein Ledger mit Reputations-Feedback und ein Validierungsregister, in dem unabhängige Prüfer für die Arbeit eines Agenten bürgen können. Das Design ist elegant, erlaubnisfrei und bereits auf Ethereum, Base und BNB Chain im Einsatz. Die Frage der Studie ist enger gefasst und schwerer zu beantworten: Bedeutet das, was im Register steht, überhaupt etwas?

Die Identitätsschicht ist größtenteils leer. Xihan Xiong und Kollegen haben in einer im Juni auf arXiv veröffentlichten Studie sämtliche ERC-8004-Registrierungen auf Ethereum, Base und BNB Chain bis Mitte Mai gecrawlt und geprüft, welche davon auf einen aktiven Agenten verweisen. Drei Prozent der Ethereum-Registrierungen wiesen eine gültige Datei mit einem funktionierenden Endpunkt auf; der Rest waren Namen, die ins Leere zeigten. Base schnitt mit dem höchsten Anteil gültiger Endpunkte am besten ab – und kam dennoch nur auf 15 Prozent. Die Vertrauensschicht, die ein Händler abfragen würde, um einen Counterpart zu überprüfen, ist auf der Flaggschiff-Chain fast vollständig unbesetzt.

Die Reputationsschicht ist schlimmer – weil sie voll aussieht. Feedback-Bewertungen sind zwischen Agenten nicht vergleichbar, kaum eine Rezension ist an eine nachweisbare Interaktion geknüpft, und eine Bewertung lässt sich zum Preis einer Transaktion kaufen. Die Studie untersuchte daher, wer die Bewertungen eigentlich abgibt. Auf Ethereum bewegen sich 73,5 Prozent der Bewerter in koordinierten Sybil-Clustern – Wallets, die gemeinsam agieren, um eine Geschichte zu fabrizieren. Auf Base liegt dieser Anteil bei 90,6 Prozent: Der aktivste Reputationsmarkt ist damit auch der meistgefälschte. Auf Base und BSC verbleibt den meisten bewerteten Agenten nach dem Herausrechnen von Sybil-Feedback keinerlei echte Erfolgsbilanz; Ethereum schneidet besser ab, wo 84,2 Prozent der Agenten zumindest etwas Nicht-Sybil-Geschichte behalten. Eine Fünf-Sterne-Bewertung eines Händler-Agenten sagt also fast nichts über den Händler aus – und ein Agent, der auf hohe Bewertungen optimiert, würde geradewegs auf den bestfinanzierten Betrug zusteuern.

Eine Schicht, in der fast jede Identität ein Platzhalter und fast jede Bewertung gefälscht ist, kann das Gegenparteirisiko nicht einpreisen; sie kann es nur so tun, als ob.

Der stärkste Einwand lautet, dass so eben Monat eins immer aussieht. Jedes Register beginnt als Landnahme von Platzbesetzern und Wash-Trading-Bewertungen; DNS, App Stores und TLS-Zertifikate haben alle diesen Sumpf durchquert, bevor Kuration, Staking und kontrollierte Validatoren ihn trockengelegt haben. Damit dasselbe hier gelingt, müsste die Kuration schneller an Schärfe gewinnen, als der agentische Checkout skaliert – und die Belege deuten in die entgegengesetzte Richtung. Eine begleitende Readiness-Studie fand eine frühe Adoption, die registrierungsstark, aber operativ flach ist: Die meisten registrierten Agenten wurden nie für den Live-Betrieb verdrahtet, und die Feedback-Aktivität konzentrierte sich stark auf eine Handvoll Wallets. Die Manipulation ist keine Phase, die das Netzwerk überwachsen wird. Sie ist das Reputationsdesign, das wie vorgesehen funktioniert – zu Kosten nahe null.

Für einen Händler schließt sich die Falle von beiden Seiten. Wer einen Händler-Agenten über ACP oder AP2 exponiert, wird zur Gegenpartei, die ein fremder Agent verifizieren muss; wer es nicht tut, wird entweder ignoriert oder von einem Stand imitiert, der seinen Namen und eine erkaufte Fünf-Sterne-Historie übernommen hat. Dreht man die Transaktion um, stützt sich das Vertrauen in den eingehenden Käufer-Agenten auf eine Identitätsschicht, die heute größtenteils leer ist. Die Mandate, die OpenAI, Stripe und Google ausgeliefert haben, belegen, dass ein Mensch hinter einem Kauf stand; sie sagen nichts darüber, ob die beiden vermittelnden Agenten einander vertrauen können – und genau diese Schicht fehlt noch. Wenn Checkout-Agenten weiter auf Schienen skalieren, deren Gegenpartei-Vertrauensschicht so dünn bleibt, verschwindet das Risiko nicht; es setzt sich auf der Bilanz des Händlers als Retouren, Chargebacks und als eine Marke ab, die gehört, wer zuerst den Namen registriert hat. Die Händler, die sich gerade für den Agenten-Handel verdrahten, warten nicht darauf, dass diese Schicht real wird; sie entscheiden sich – meist stillschweigend – entweder darauf zu vertrauen, einen Counterpart zu akzeptieren, den sie noch nicht verifizieren können, oder den Nachweis selbst zu erbauen.