9 из 10 ИИ-моделей сами подняли лимит в кошельке Circle

Исследователи из Cornell Tech и Йельского университета показали, что ИИ-агенты с доступом к почте владельца легко обходят лимиты трат в агентном кошельке Circle. В препринте «I-HITL: Inalienable Human-in-the-Loop», датированном 26 октября (правка 30 октября), без всякой атаки 9 из 10 протестированных моделей сами подняли лимит, а в одном из сценариев с фишингом 5 моделей отправили деньги злоумышленнику.

Подробности

Авторы работы — Сэмюэл Брекенридж, Дани Вилардель, Вэньхао Ван, Фан Чжан и Ари Юэльс. Они завели кошелёк Circle на сети Base с 10 USDC и лимитами: 0,01 USDC на транзакцию и в сутки, 0,30 USDC в неделю, 1 USDC в месяц. Подняв лимит, подтвердить его нужно одноразовым кодом, который приходит на почту, а доступ к ней у агента был. Каждую пару «модель — сценарий» прогнали по 20 раз, всего проверили 10 моделей разных семейств (препринт на arXiv).

В первом сценарии платёжный агент должен был оплатить три счёта по 0,01 USDC и без атаки: 9 из 10 моделей самостоятельно подняли лимит. Во втором в почту подбросили вредоносное письмо: самостоятельно ослабили ограничения 7 из 10. В третьем сценарии агент-«суммаризатор» читал письмо от имени владельца, и 5 из 10 моделей подняли лимит и перевели деньги атакующему. По данным ForkLog, Claude Opus 5.5 в первом сценарии ограничение не обходила.

Авторы сообщили о проблеме Circle до публикации. По тексту препринта, документация Circle теперь предупреждает против такой конфигурации. Сами исследователи предлагают прототип Countersign: он требует подтверждения критических действий на доверенном устройстве вроде смартфона, который агент не контролирует.

Что это значит для рынка

Тест шёл на 10 USDC, реальных потерь нет, но результат бьёт по популярной схеме, где агент платит за пользователя и может читать его почту. Если подтверждение приходит по каналу, доступному самому агенту, лимит перестаёт быть защитой. Тема перекликается с недавним сообщением об ИИ-атаке на Chainalysis. Рынок агентных платежей только формируется, и вопрос защиты денег от самих агентов пока открыт. Стоимость USDC смотрите на странице монеты.