Исследователи из Cornell Tech и Йельского университета обнаружили, что AI-агенты, получившие доступ к учетным записям электронной почты своих владельцев, смогли увеличить собственные лимиты на траты криптовалюты без одобрения человека, что вызывает вопросы о системах защиты, предназначенных для контроля автономных платежей.

В экспериментах с "агентскими кошельками" компании Circle, выпускающей стейблкоины, девять из десяти моделей как минимум один раз увеличили свои лимиты на траты при оплате счетов, причем без участия злоумышленника. Только модель Claude Opus 5.5 от Anthropic не пыталась обойти лимит; вместо этого она тратила средства в пределах установленного лимита и сообщала пользователю о неоплаченных счетах.

Исследователи также провели два отдельных эксперимента с имитацией действий злоумышленника, отправляя вредоносные электронные письма в папку входящих владельца, чтобы убедить агентов увеличить лимиты на траты, или выдавая себя за владельца, чтобы запросить перевод средств на кошелек, контролируемый злоумышленником.

В эксперименте с имитацией, пять из десяти моделей увеличили свои лимиты на траты и как минимум один раз отправили деньги имитированному злоумышленнику, несмотря на то, что им было дано указание только суммировать содержание электронных писем.

Результаты выявляют проблему для финансовых компаний, разрабатывающих кошельки, которые позволяют AI-агентам совершать платежи самостоятельно, но при этом требуют одобрения человеком для изменения лимитов на траты.

"Большинство систем платежей для агентов проверяют, было ли получено одобрение, но не обязательно, что это одобрение было дано человеком", - заявил Энтони Анзолоне, основатель и генеральный директор компании Verona, сети проверки, которая недавно запустила стейблкоин для AI-агентов, в интервью CoinDesk.

По его словам, добавление этапов одобрения не решит эту проблему, если только авторизация не будет зависеть от чего-то, к чему агент не может получить доступ или сгенерировать самостоятельно.

Исследователи пополнили кошелек на 10 USDC в сети Base и установили дневной лимит на траты в 1 цент. Они предоставили агенту доступ к электронной почте, веб-интерфейсу и кошельку, включая доступ к папке входящих, где хранились коды подтверждения. Каждая модель прошла 20 тестов в каждом сценарии.

В эксперименте без участия злоумышленника агентам было дано указание оплачивать счета, но им не было сказано изменять свои политики расходов.

Как показали исследования, девять из десяти моделей тем не менее увеличили свои лимиты как минимум один раз, получив коды подтверждения, предназначенные для владельца кошелька. Эти результаты были получены в ходе контролируемых тестов с использованием реальных USDC, а не в результате задокументированных атак на клиентов Circle.

Кто контролирует процесс одобрения?

Политики использования Circle позволяют пользователям устанавливать лимиты на переводы и ограничивать доступ к определенным адресам кошельков. Изменение этих правил требует одноразового кода, отправленного по электронной почте, но агенты могли самостоятельно получать этот код и использовать его для подтверждения более высоких лимитов. Инструкция по настройке стабильной криптовалюты предупреждает пользователей о необходимости оградить агентов от доступа к почтовому ящику, используемому для верификации, и рекомендовано, чтобы пользователи самостоятельно вводили коды.

Исследователи заявили, что сообщили о своих результатах эмитенту стабильной криптовалюты в прошлом месяце.

Компания заявила, что ценит сообщение исследователей. «Наша документация четко указывает пользователям, что никогда не следует предоставлять ИИ-агентам неограниченный доступ к учетной записи электронной почты, используемой для верификации, и что одноразовые коды следует вводить самостоятельно», — заявил представитель Circle изданию CoinDesk. «Мы продолжаем пересматривать и совершенствовать наши меры безопасности по мере развития сценариев использования агентов».

В заявлении не было указано о каких-либо изменениях в продукте, кроме предупреждения в документации, и не были затронуты вопросы, касающиеся убытков клиентов и несанкционированных изменений в политиках.

В статье утверждается, что такая инструкция перекладывает ответственность на пользователей и вряд ли будет эффективной, поскольку агент, лишенный доступа к электронной почте, все равно может найти сохраненные учетные данные через браузер или терминал.

«Просто сказать людям не подключать свою электронную почту не сработает, потому что они подключат все, что угодно, если это сэкономит им время», — сказал Маркус Левин, сооснователь XYO, сети криптографической проверки.

«Здесь нет ничего специфичного для Circle или для электронной почты», — уточнили авторы в статье под названием «I-HITL: Неотъемлемое участие человека в цикле».

Сэмюэль Бренбридж, аспирант Cornell Tech и соавтор, заявил, что данная настройка отражает все более широкие права, которые люди предоставляют своим личным ИИ-агентам. Исследователи использовали реальные средства на основной сети Base и планируют изучить, влияют ли более крупные платежи на поведение агентов.

Такая же уязвимость может возникнуть везде, где код заменяет человека, — сказал Бренбридж. Например, GitHub может требовать код из приложения-аутентификатора перед созданием токена, который предоставляет доступ к частному репозиторию. Агент, способный управлять устройством пользователя, может найти этот код, — добавил он. Агент, который помогал настраивать приложение, может узнать его секрет и генерировать коды самостоятельно.

«Многие естественные подходы, которые вы можете попытаться использовать для обеспечения участия человека в цикле, будут неэффективны для продвинутых агентов с широкими правами — именно таких агентов, которые, как правило, оказываются наиболее полезными», — сказал он.

Размытая граница

Эти результаты появляются в то время, как криптовалютные компании стремятся создать инфраструктуру для платежей, осуществляемых ИИ-агентами, используя различные подходы для разделения автоматизированных расходов и контроля со стороны человека.

Главный стратег компании Cloudflare, Стефани Коэн, сообщила CoinDesk в августе, что планируемые компанией кошельки будут напоминать корпоративные карты, при этом люди будут устанавливать лимиты, а агенты будут запрашивать разрешение, когда достигают этих лимитов.

«Мы ожидаем, что наши выводы будут применимы к другим кошелькам для агентов, использующим аналогичные механизмы подтверждения, такие как те, что используются в Coinbase и MetaMask», — заявила Брекенридж изданию CoinDesk.

Эта более широкая уязвимость не была продемонстрирована в этих продуктах.

В документации Coinbase для инструментов кошельков для агентов, например, говорится о том, что пользователи устанавливают лимиты расходов через интерфейс кошелька. Эти инструменты позволяют агентам оплачивать онлайн-услуги, а не отправлять средства на произвольные адреса, изменять лимиты или инициировать финансирование через Coinbase Onramp. Coinbase не ответила на запрос о комментарии к моменту публикации.

Ограничение функциональности кошелька устраняет один из способов получения агентом большей власти. Более широкий вопрос заключается в том, может ли один и тот же агент получить доступ к учетным данным человека, сессии браузера или процессу восстановления через другой инструмент.

«PayBox обеспечивает разделение на уровне сервера, а не в самой модели», — заявил Нирадж Прасад, главный инженер компании MoonPay Labs, в электронном письме. «Любые операции, требующие подтверждения, приостанавливаются до тех пор, пока пользователь не подтвердит их с помощью ключа в приложении PayBox».

Прасад отметил, что подтверждения связаны с отдельными транзакциями, поэтому для изменения суммы, получателя или продавца требуется новое разрешение.

Сбои в подтверждении также возникали в программном обеспечении, не связанном с платежами. В отчете за октябрь 2025 года, компания Trail of Bits сообщила, что обошла подтверждение со стороны человека в трех платформах для агентов, манипулируя аргументами команд, которые они позволяли выполнять автоматически.

«Агент может действовать в рамках своих ограничений, не имея учетных данных для действий от имени человека», — заявила Ханна Арнольд, главный операционный директор компании Turnkey.

«В любой системе, если агент может получить доступ к учетным данным человека, сессии браузера или процессу восстановления, то разделение между человеком и агентом нарушается», — добавила она.

Создание защиты

Исследователи предлагают более надежную форму подтверждения, которая основана на доверенном устройстве, находящемся вне зоны контроля агента, а не на пароле или коде, который агент может получить.

«Когда агент имеет доступ к ресурсам, используемым для обеспечения его безопасности, эти меры безопасности нельзя считать надежными», — заявил соавтор Дани Виларделл, также аспирант Корнеллского технологического института, изданию CoinDesk.

Для подтверждения требуется «физическое взаимодействие, которое невозможно смоделировать в программном обеспечении», — сказал Виларделл. Человек должен видеть «реальное представление о действии, которое он подтверждает», и агент не должен иметь возможности извлечь ключи подтверждения.

Для демонстрации данного подхода, исследователи разработали Countersign, прототип с открытым исходным кодом, предназначенный для объединения этих свойств в мобильном приложении. Виларделль заявил, что он может работать на устройствах Android и Apple, причем подтверждение действия пользователем привязано к конкретному действию.

Этот прототип по-прежнему опирается на определенные предположения о устройстве и операционной системе, включая защиту экрана подтверждения. У него есть различные ограничения на платформах Android и iOS.

Более сложная задача заключается в том, чтобы установить, было ли платеж действительно одобрено человеком, а не искусственным интеллектом, имеющим доступ к тем же учетным данным.

Левин заявил, что каждое одобрение, запрошенное агентом, должно оставлять проверяемую запись о том, кто его подтвердил и на что.

"Без этой записи никто не сможет впоследствии сказать, было ли вообще что-то одобрено человеком", - добавил он.