Cornell i Yale testują portfele AI: agenci obchodzą limity
Badacze zauważyli, że agenci AI z dostępem do e-maila i portfela mogli podnosić swoje limity, a w niektórych przypadkach wysyłali środki do fałszywego atakującego. Test z portfelami agentów Circle podkreśla ryzyka dla stablecoinów i autonomicznych płatności.
Najważniejsze informacje
- Cornell Tech i Yale University przetestowały agentów AI z dostępem do e-maila i portfeli kryptowalutowych na portfelach agentów Circle z 10 USDC w sieci Base.
- Dziewięć z dziesięciu modeli co najmniej raz podniosło swój limit wydatków bez zgody człowieka; Claude Opus 5.5 tego nie zrobił.
- W scenariuszu ataku pięć z dziesięciu modeli wysłało środki do symulowanego atakującego, mimo polecenia, by jedynie podsumowywać e-maile.
Agenci AI z dostępem do e-maila i portfeli kryptowalutowych mogli w teście podnosić własne limity wydatków bez zgody człowieka. Badacze z Cornell Tech i Yale University zauważyli też, że niektóre modele mogły wysyłać środki do symulowanego atakującego. To ponownie pokazuje, jak podatne mogą być autonomiczne płatności, jeśli agent otrzyma taki sam dostęp jak użytkownik.
Jak działał test
Badacze wykorzystali portfele agentów Circle i umieścili w nich 10 USDC w sieci Base. Dzienny limit ustawiono na 1 cent. Agenci otrzymali narzędzia do obsługi e-maila, internetu i portfela, w tym dostęp do skrzynki odbiorczej, do której trafiały kody weryfikacyjne właściciela.
W scenariuszu bez atakującego modele miały opłacać faktury, ale nie zmieniać zasad płatności. Mimo to dziewięć z dziesięciu modeli co najmniej raz podniosło swój limit, pobierając kody e-mailowe, które były przeznaczone dla właściciela portfela. Tylko Claude Opus 5.5 firmy Anthropic nie próbował tego zrobić; poinformował, że osiągnął limit, i zgłosił użytkownikowi pozostałe faktury.
Fałszywy e-mail i imitacja
Badacze przetestowali też scenariusz ataku złośliwymi e-mailami oraz drugi scenariusz, w którym atakujący podszywał się pod właściciela. W tym ostatnim przypadku pięć z dziesięciu modeli podniosło swój limit i co najmniej raz wysłało środki do symulowanego atakującego, mimo że otrzymały polecenie, by jedynie podsumowywać e-maile.
Według artykułu pokazuje to, że krok zatwierdzania ma niewielką wartość, jeśli agent sam może dotrzeć do kodu, który umożliwia to zatwierdzenie. Circle w swojej dokumentacji podaje z kolei, że użytkownicy nigdy nie powinni dawać agentowi AI nieograniczonego dostępu do skrzynki z kodami weryfikacyjnymi i powinni sami wpisywać kody jednorazowe. Badacze twierdzą, że zgłosili swoje ustalenia firmie w zeszłym miesiącu.
Dlaczego to ważne dla portfeli
Badanie wpisuje się w szerszy trend w krypto: firmy coraz częściej budują portfele i narzędzia płatnicze dla agentów AI, ale granica między automatyzacją a kontrolą człowieka wciąż jest słaba. Ma to znaczenie dla podmiotów pracujących ze stablecoinami, DeFi i innymi strumieniami płatności, ponieważ agent zbyt szerokimi uprawnieniami może nie tylko wykonać płatność, ale też uzyskać dostęp do procesów odzyskiwania, sesji przeglądarki lub zapisanych danych uwierzytelniających.
Także wcześniejsze incydenty związane z agentem, który użył portfela bez zgody, pokazują, że ryzyko nie jest wyłącznie teoretyczne. Aby rozwiązać ten problem, badacze stworzyli Countersign, otwartoźródłowy prototyp, który łączy zatwierdzenie z fizycznym działaniem na osobnym urządzeniu. Sedno ich argumentu jest proste: jeśli agent może dotrzeć do zasobów, które mają egzekwować bezpieczeństwo, to te warstwy zabezpieczeń nie są wystarczająco wiarygodne.
