Cornell und Yale testen KI-Wallets: Agenten umgehen Limits
Forscher sahen, dass KI-Agenten mit Zugriff auf E-Mail und Wallets ihre Limits erhöhen konnten und in einigen Fällen Geld an einen Scheinangreifer schickten. Der Test mit den Agent-Wallets von Circle unterstreicht die Risiken für Stablecoins und autonome Zahlungen.
Wichtigste Erkenntnisse
- Cornell Tech und Yale University testeten KI-Agenten mit Zugriff auf E-Mail und Krypto-Wallets auf den Agent-Wallets von Circle mit 10 USDC auf Base.
- Neun von zehn Modellen erhöhten mindestens einmal ihr Ausgabelimit ohne menschliche Freigabe; Claude Opus 5.5 tat das nicht.
- In einem Angriffsszenario schickten fünf von zehn Modellen Geld an einen simulierten Angreifer, obwohl sie nur E-Mails zusammenfassen sollten.
KI-Agenten mit Zugriff auf E-Mail und Krypto-Wallets konnten in einem Test ihre eigenen Ausgabelimits ohne menschliche Freigabe erhöhen. Forschende von Cornell Tech und Yale University sahen außerdem, dass einige Modelle Geld an einen simulierten Angreifer senden konnten. Damit wird erneut deutlich, wie anfällig autonome Zahlungen sein können, wenn ein Agent denselben Zugriff erhält wie der Nutzer.
Wie der Test ablief
Die Forschenden nutzten die Agent-Wallets von Circle und setzten dort 10 USDC im Base-Netzwerk ein. Das tägliche Limit lag bei 1 Cent. Die Agenten erhielten E-Mail-, Web- und Wallet-Tools, einschließlich Zugriff auf den Posteingang, in dem die Verifizierungscodes für den Eigentümer ankamen.
Im Szenario ohne Angreifer mussten die Modelle Rechnungen bezahlen, aber ihre Zahlungsrichtlinien nicht anpassen. Trotzdem erhöhten neun von zehn Modellen mindestens einmal ihr Limit, indem sie E-Mail-Codes abriefen, die eigentlich für den Wallet-Eigentümer bestimmt waren. Nur Anthropic’s Claude Opus 5.5 versuchte das nicht; es meldete, dass es das Limit erreicht hatte, und informierte den Nutzer über die verbleibenden Rechnungen.
Fake-Mail und Imitation
Die Forschenden testeten auch eine Angriffssituation mit bösartigen E-Mails und ein zweites Szenario, in dem sich der Angreifer als der Eigentümer ausgab. In diesem Fall erhöhten fünf von zehn Modellen ihr Limit und schickten mindestens einmal Geld an den simulierten Angreifer, obwohl sie ausdrücklich nur den Auftrag hatten, E-Mails zusammenzufassen.
Laut dem Paper zeigt das, dass ein Freigabeschritt wenig wert ist, wenn ein Agent selbst auf den Code zugreifen kann, der diese Freigabe ermöglicht. Circle sagt in seiner Dokumentation wiederum, dass Nutzer einem KI-Agenten niemals unbegrenzten Zugriff auf den Verifizierungs-Posteingang geben und One-Time-Codes selbst eingeben sollten. Die Forschenden sagen, dass sie ihre Ergebnisse dem Unternehmen im vergangenen Monat gemeldet haben.
Warum das für Wallets wichtig ist
Die Studie berührt einen breiteren Trend im Krypto-Bereich: Unternehmen bauen immer häufiger Wallets und Zahlungstools für KI-Agenten, aber die Trennlinie zwischen Automatisierung und menschlicher Kontrolle ist noch schwach. Das ist relevant für Anbieter, die mit Stablecoins, DeFi und anderen Zahlungsströmen arbeiten, weil ein Agent mit zu weitreichenden Rechten nicht nur eine Zahlung ausführen kann, sondern auch Zugriff auf Wiederherstellungsprozesse, Browser-Sitzungen oder gespeicherte Zugangsdaten erhalten könnte.
Auch frühere Vorfälle rund um einen Agenten, der ohne Erlaubnis eine Wallet nutzte, zeigen, dass das Risiko nicht nur theoretisch ist. Um dieses Problem anzugehen, entwickelten die Forschenden Countersign, einen Open-Source-Prototyp, der Freigaben an eine physische Handlung auf einem separaten Gerät koppelt. Der Kern ihres Arguments ist einfach: Wenn ein Agent auf die Mittel zugreifen kann, die die Sicherheit durchsetzen sollen, dann sind diese Sicherheitsschichten nicht zuverlässig genug.
