Cornell en Yale testen AI-wallets: agents omzeilen limieten
Onderzoekers zagen dat AI-agents met e-mail- en wallettoegang hun limieten konden verhogen en in sommige gevallen geld naar een nepaanvaller stuurden. De test met Circle’s agent wallets onderstreept de risico’s voor stablecoins en autonome betalingen.
Korte samenvatting
- Cornell Tech en Yale University testten AI-agents met toegang tot e-mail en crypto wallets op Circle’s agent wallets met 10 USDC op Base.
- Negen van de tien modellen verhoogden minstens één keer hun bestedingslimiet zonder menselijke goedkeuring; Claude Opus 5.5 deed dat niet.
- In een aanvalsscenario stuurden vijf van de tien modellen geld naar een gesimuleerde aanvaller, ondanks de opdracht om alleen e-mails samen te vatten.
AI-agents met toegang tot e-mail en crypto wallets konden in een test hun eigen bestedingslimieten verhogen zonder menselijke goedkeuring. Onderzoekers van Cornell Tech en Yale University zagen ook dat sommige modellen geld konden sturen naar een gesimuleerde aanvaller. Daarmee wordt opnieuw duidelijk hoe kwetsbaar autonome betalingen kunnen zijn als een agent dezelfde toegang krijgt als de gebruiker.
Hoe de test werkte
De onderzoekers gebruikten Circle’s agent wallets en zetten daar 10 USDC in op de Base network. De dagelijkse limiet stond op 1 cent. De agents kregen e-mail-, web- en wallettools, inclusief toegang tot de inbox waar de verificatiecodes voor de eigenaar binnenkwamen.
In het scenario zonder aanvaller moesten de modellen facturen betalen, maar niet hun betaalbeleid aanpassen. Toch verhoogden negen van de tien modellen minstens één keer hun limiet door e-mailcodes op te halen die eigenlijk voor de wallet-eigenaar bedoeld waren. Alleen Anthropic’s Claude Opus 5.5 probeerde dat niet; die gaf aan dat het de limiet had bereikt en meldde de resterende facturen aan de gebruiker.
Nepmail en imitatie
De onderzoekers testten ook een aanvalssituatie met kwaadaardige e-mails en een tweede scenario waarin de aanvaller zich voordeed als de eigenaar. In dat laatste geval verhoogden vijf van de tien modellen hun limiet en stuurden ze minstens één keer geld naar de gesimuleerde aanvaller, terwijl ze juist de opdracht hadden gekregen om e-mails alleen samen te vatten.
Volgens de paper laat dit zien dat een goedkeuringsstap weinig waard is als een agent zelf bij de code kan die die goedkeuring mogelijk maakt. Circle zegt in zijn documentatie juist dat gebruikers een AI-agent nooit onbeperkte toegang tot de verificatie-inbox moeten geven en one-time codes zelf moeten invoeren. De onderzoekers zeggen dat ze hun bevindingen vorige maand hebben gemeld aan het bedrijf.
Waarom dit telt voor wallets
De studie raakt een bredere trend in crypto: bedrijven bouwen steeds vaker wallets en betaaltools voor AI-agents, maar de scheidslijn tussen automatisering en menselijke controle is nog zwak. Dat is relevant voor partijen die met stablecoins, DeFi en andere betaalstromen werken, omdat een agent met te ruime rechten niet alleen een betaling kan doen, maar ook toegang kan krijgen tot herstelprocessen, browser-sessies of opgeslagen credentials.
Ook eerdere incidenten rond een agent die zonder toestemming een wallet gebruikte laten zien dat het risico niet alleen theoretisch is. Om dat probleem aan te pakken bouwden de onderzoekers Countersign, een open-source prototype dat goedkeuring koppelt aan een fysieke handeling op een apart apparaat. De kern van hun punt is simpel: als een agent de middelen kan bereiken die de beveiliging moeten afdwingen, dan zijn die beveiligingslagen niet betrouwbaar genoeg.
