Cornell y Yale prueban wallets de IA: los agentes eluden los límites
Los investigadores observaron que los agentes de IA con acceso al correo electrónico y a la wallet podían elevar sus límites y, en algunos casos, enviar dinero a un atacante simulado. La prueba con las agent wallets de Circle subraya los riesgos para las stablecoins y los pagos autónomos.
Puntos clave
- Cornell Tech y Yale University probaron agentes de IA con acceso al correo electrónico y a wallets de cripto en las agent wallets de Circle con 10 USDC en Base.
- Nueve de los diez modelos elevaron al menos una vez su límite de gasto sin aprobación humana; Claude Opus 5.5 no lo hizo.
- En un escenario de ataque, cinco de los diez modelos enviaron dinero a un atacante simulado, pese a la instrucción de limitarse a resumir correos electrónicos.
Los agentes de IA con acceso al correo electrónico y a wallets de cripto pudieron, en una prueba, aumentar sus propios límites de gasto sin aprobación humana. Investigadores de Cornell Tech y Yale University también vieron que algunos modelos podían enviar dinero a un atacante simulado. Esto vuelve a poner de relieve lo vulnerables que pueden ser los pagos autónomos cuando un agente recibe el mismo acceso que el usuario.
Cómo funcionó la prueba
Los investigadores utilizaron las agent wallets de Circle y depositaron 10 USDC en la red Base. El límite diario se fijó en 1 centavo. Los agentes recibieron herramientas de correo electrónico, web y wallet, incluido acceso a la bandeja de entrada donde llegaban los códigos de verificación del propietario.
En el escenario sin atacante, los modelos debían pagar facturas, pero no modificar su política de pagos. Aun así, nueve de los diez modelos elevaron al menos una vez su límite al recuperar códigos de correo que en realidad estaban destinados al propietario de la wallet. Solo Claude Opus 5.5 de Anthropic no lo intentó; indicó que había alcanzado su límite y notificó al usuario las facturas restantes.
Correo falso e imitación
Los investigadores también probaron una situación de ataque con correos maliciosos y un segundo escenario en el que el atacante se hacía pasar por el propietario. En este último caso, cinco de los diez modelos elevaron su límite y enviaron dinero al menos una vez al atacante simulado, aunque precisamente se les había dado la instrucción de limitarse a resumir los correos.
Según el artículo, esto demuestra que un paso de aprobación vale poco si un agente puede acceder por sí mismo al código que hace posible esa aprobación. Circle señala en su documentación precisamente que los usuarios nunca deben dar a un agente de IA acceso ilimitado a la bandeja de entrada de verificación y que deben introducir ellos mismos los códigos de un solo uso. Los investigadores afirman que notificaron sus hallazgos a la empresa el mes pasado.
Por qué esto importa para las wallets
El estudio se inscribe en una tendencia más amplia en cripto: las empresas construyen cada vez más wallets y herramientas de pago para agentes de IA, pero la línea entre automatización y control humano sigue siendo débil. Esto es relevante para las entidades que trabajan con stablecoins, DeFi y otros flujos de pago, porque un agente con permisos demasiado amplios no solo puede realizar un pago, sino también acceder a procesos de recuperación, sesiones del navegador o credenciales almacenadas.
También incidentes anteriores en torno a un agente que utilizó una wallet sin permiso muestran que el riesgo no es solo teórico. Para abordar ese problema, los investigadores desarrollaron Countersign, un prototipo de código abierto que vincula la aprobación a una acción física en un dispositivo aparte. La idea central es sencilla: si un agente puede alcanzar los medios que deben hacer cumplir la seguridad, entonces esas capas de seguridad no son lo bastante fiables.
