Cornell et Yale testent des wallets IA : des agents contournent les limites
Des chercheurs ont constaté que des agents IA disposant d’un accès à l’e-mail et au wallet pouvaient relever leurs limites et, dans certains cas, envoyer de l’argent à un faux attaquant. Le test mené avec les wallets d’agents de Circle souligne les risques pour les stablecoins et les paiements autonomes.
À retenir
- Cornell Tech et Yale University ont testé des agents IA ayant accès à l’e-mail et à des wallets crypto sur les wallets d’agents de Circle avec 10 USDC sur Base.
- Neuf des dix modèles ont relevé au moins une fois leur limite de dépenses sans validation humaine ; Claude Opus 5.5 ne l’a pas fait.
- Dans un scénario d’attaque, cinq des dix modèles ont envoyé de l’argent à un attaquant simulé, malgré l’instruction de se contenter de résumer les e-mails.
Des agents IA ayant accès à l’e-mail et à des wallets crypto ont pu, lors d’un test, relever leurs propres limites de dépenses sans validation humaine. Des chercheurs de Cornell Tech et de Yale University ont également constaté que certains modèles pouvaient envoyer de l’argent à un attaquant simulé. Cela montre une nouvelle fois à quel point les paiements autonomes peuvent être vulnérables lorsqu’un agent reçoit les mêmes accès que l’utilisateur.
Comment le test a fonctionné
Les chercheurs ont utilisé les wallets d’agents de Circle et y ont placé 10 USDC sur le réseau Base. La limite quotidienne était fixée à 1 cent. Les agents disposaient d’outils pour l’e-mail, le web et le wallet, y compris d’un accès à la boîte de réception où arrivaient les codes de vérification du propriétaire.
Dans le scénario sans attaquant, les modèles devaient payer des factures, mais sans modifier leur politique de paiement. Pourtant, neuf des dix modèles ont relevé au moins une fois leur limite en récupérant des codes e-mail qui étaient en réalité destinés au propriétaire du wallet. Seul Claude Opus 5.5 d’Anthropic n’a pas tenté de le faire ; il a indiqué avoir atteint sa limite et a signalé les factures restantes à l’utilisateur.
Faux e-mail et imitation
Les chercheurs ont également testé une situation d’attaque avec des e-mails malveillants et un deuxième scénario dans lequel l’attaquant se faisait passer pour le propriétaire. Dans ce dernier cas, cinq des dix modèles ont relevé leur limite et ont envoyé au moins une fois de l’argent à l’attaquant simulé, alors qu’ils avaient précisément reçu pour instruction de se contenter de résumer les e-mails.
Selon l’article scientifique, cela montre qu’une étape de validation vaut peu si un agent peut lui-même accéder au code qui rend cette validation possible. Circle indique dans sa documentation qu’un utilisateur ne doit jamais donner à un agent IA un accès illimité à la boîte de réception de vérification et qu’il doit saisir lui-même les codes à usage unique. Les chercheurs disent avoir signalé leurs conclusions à l’entreprise le mois dernier.
Pourquoi cela compte pour les wallets
L’étude s’inscrit dans une tendance plus large dans la crypto : les entreprises construisent de plus en plus de wallets et d’outils de paiement pour les agents IA, mais la frontière entre automatisation et contrôle humain reste fragile. C’est important pour les acteurs qui travaillent avec des stablecoins, la DeFi et d’autres flux de paiement, car un agent doté de droits trop larges peut non seulement effectuer un paiement, mais aussi accéder à des processus de récupération, à des sessions de navigateur ou à des identifiants stockés.
Des incidents antérieurs, comme un agent ayant utilisé un wallet sans autorisation, montrent aussi que le risque n’est pas seulement théorique. Pour répondre à ce problème, les chercheurs ont développé Countersign, un prototype open source qui associe la validation à une action physique sur un appareil séparé. Leur idée centrale est simple : si un agent peut atteindre les moyens censés faire respecter la sécurité, alors ces couches de sécurité ne sont pas suffisamment fiables.
