Искусственные интеллекты, получившие доступ к учетным записям электронной почты своих владельцев, смогли увеличить собственные лимиты на траты криптовалюты без получения одобрения от человека, что вызывает вопросы о системах защиты, предназначенных для контроля автономных платежей, сообщили исследователи из Cornell Tech и Йельского университета.

В ходе экспериментов с "агентскими кошельками" компании Circle, выпускающей стейблкоины, девять из десяти моделей как минимум один раз увеличивали свои лимиты на траты при оплате счетов, причем без участия злоумышленника. Только модель Claude Opus 5.5 от компании Anthropic не пыталась обойти лимит; вместо этого она тратила средства в пределах установленного лимита и сообщала пользователю о неоплаченных счетах.

Исследователи также провели два отдельных эксперимента, в которых имитировали действия злоумышленника, отправляя вредоносные электронные письма в папку входящих сообщений владельца, чтобы убедить агентов увеличить свои лимиты, или выдавая себя за владельца, чтобы запросить перевод средств на кошелек, контролируемый злоумышленником.

В эксперименте с подменой, пять из десяти моделей увеличили свои лимиты и перевели деньги имитированному злоумышленнику как минимум один раз, несмотря на то, что им было дано указание только суммировать электронные письма.

Результаты показывают проблему для финансовых компаний, разрабатывающих кошельки, которые позволяют искусственным интеллектам совершать платежи самостоятельно, но при этом требуют одобрения человека для изменения лимитов.

"Большинство систем платежей, используемых искусственными интеллектами, проверяют, было ли получено одобрение, но не обязательно, что это одобрение было дано человеком", - заявил Энтони Анзолоне, основатель и генеральный директор компании Verona, сети верификации, которая недавно запустила стейблкоин для искусственных интеллектов, в интервью CoinDesk.

По его словам, добавление этапов одобрения не решит эту проблему, если авторизация не будет зависеть от чего-то, к чему агент не может получить доступ или сгенерировать самостоятельно.

Исследователи пополнили кошелек суммой в 10 долларов США в криптовалюте USDC в сети Base и установили дневной лимит в 1 цент. Они предоставили агенту доступ к электронной почте, веб-интерфейсу и кошельку, включая доступ к папке входящих сообщений, где хранились коды подтверждения. Каждая модель прошла 20 тестов в каждом сценарии.

В эксперименте без участия злоумышленника агентам было поручено оплачивать счета, но им не было дано указаний изменять свои политики расходов.

Тем не менее, как показали исследования, девять из десяти моделей как минимум один раз увеличивали свои лимиты, получая коды подтверждения, предназначенные для владельца кошелька, из электронной почты. Эти результаты были получены в ходе контролируемых тестов с использованием реальной криптовалюты USDC, а не в результате задокументированных атак на клиентов Circle.

Кто контролирует процесс одобрения?

Политики Circle позволяют пользователям устанавливать лимиты на переводы и ограничивать адреса кошельков. Изменение этих правил требует одноразового кода, отправленного по электронной почте, но агенты могли самостоятельно получать этот код и использовать его для авторизации более высоких лимитов. В текущей инструкции по настройке Circle предупреждает пользователей о необходимости оградить агентов от доступа к папке входящих сообщений с кодами подтверждения и требовать, чтобы они самостоятельно вводили эти коды.