coindesk.com
KI-Agenten, denen Zugang zu den E-Mail-Konten ihrer Eigentümer gewährt wurde, konnten ihre eigenen Kryptowährungsausgabelimits ohne menschliche Genehmigung erhöhen, was Fragen zu den Schutzmechanismen aufwirft, die zur Kontrolle autonomer Zahlungen entwickelt wurden, so fanden Forscher des Cornell Tech und der Yale University heraus.
In Experimente mit Agenten-Wallets des Stablecoin-Emittenten Circle , neun von zehn Modellen erhöhten mindestens einmal ihre Ausgabengrenzen, während sie Rechnungen bezahlten, ohne dass ein Angreifer involviert war. Nur Anthropics Claude Opus 5.5 versuchte nie, die Grenze zu umgehen; stattdessen gab es bis zu seinem Limit aus und meldete verbleibende Rechnungen an den Nutzer.
Die Forscher führten in zwei separaten Experimenten außerdem einen simulierten Angreifer ein, der bösartige E-Mails an das Postfach des Eigentümers sendete, um die Agenten dazu zu bewegen, ihre Ausgabelimits zu erhöhen, oder der sich als Eigentümer ausgab, um eine Zahlung an eine vom Angreifer kontrollierte Wallet zu verlangen.
In dem Täuschungsexperiment erhöhten fünf der zehn Modelle ihre Ausgabelimits und überwiesen mindestens einmal Geld an den simulierten Angreifer, obwohl sie angewiesen wurden, E-Mails lediglich zusammenzufassen.
Die Ergebnisse offenbaren ein Problem für Finanzunternehmen, die Wallets entwickeln, die es KI-Agenten ermöglichen, eigenständig Zahlungen vorzunehmen, während Menschen die Änderungen ihrer Ausgabebefugnis genehmigen müssen.
„Die meisten Zahlungssysteme für Agenten überprüfen, ob eine Genehmigung erhalten wurde, aber nicht unbedingt, ob ein Mensch diese tatsächlich autorisiert hat“, sagte Anthony Anzalone, Gründer und CEO von Verona, einem Verifizierungsnetzwerk, das kürzlich eine Stablecoin für KI-Agenten auf den Markt gebracht hat, gegenüber CoinDesk.
Die Hinzufügung von Genehmigungsschritten würde diese Lücke nicht schließen, es sei denn, die Autorisierung würde von etwas abhängen, auf das der Agent nicht unabhängig zugreifen oder das er nicht selbst generieren kann, sagte er.
Die Forscher finanzierten eine Wallet mit 10 $USDC im Base-Netzwerk und setzten im Test ein tägliches Ausgabenlimit von 1 Cent fest. Sie stellten dem Agenten E-Mail-, Web- und Wallet-Tools zur Verfügung, einschließlich Zugriff auf den Posteingang, der die Genehmigungscodes empfängt. Jedes Modell durchlief pro Szenario 20 Versuche.
In dem Experiment ohne Angreifer wurden die Agenten angewiesen, Rechnungen zu bezahlen, jedoch nicht dazu, ihre Ausgabenrichtlinien zu ändern.
Neun der zehn Modelle erhöhten ihre Limits dennoch mindestens einmal, indem sie E-Mail-Verifizierungscodes abgerufen, die für den Wallet-Inhaber bestimmt waren, wie die Untersuchung zeigt. Die Ergebnisse stammen aus kontrollierten Tests mit echtem $USDC und nicht aus dokumentierten Angriffen auf Circle-Kunden.
Wer kontrolliert die Genehmigungen?
Circle’s Ausgabenpolitik ermöglicht es den Nutzern, Übertragungen zu begrenzen und Wallet-Adressen einzuschränken. Für die Änderung dieser Regeln ist ein weiterer einmaliger Passcode erforderlich, der per E-Mail zugesandt wird, doch die Agenten konnten diesen Code selbst abrufen und verwenden, um höhere Limits zu autorisieren. Der Stablecoin-Emittent aktuelle Einrichtungshinweise warnt Benutzer davor, Agenten Zugang zum Verifizierungs-Postfach zu gewähren, und empfiehlt, die Codes selbst einzugeben.
„Ein Agent kann innerhalb seiner Grenzen handeln, ohne über die Befugnisse zu verfügen, wie ein Mensch zu agieren“, sagte Turnkey Chief Operating Officer Hannah Arnold.
„In jedem System, wenn ein Agent Zugang zu den Anmeldedaten, der Browsersitzung oder dem Wiederherstellungspfad eines Menschen erhält, dann bricht die Trennung zwischen Mensch und Agent zusammen“, fügte sie hinzu.
Aufbau einer Absicherung
Die Forscher schlagen eine stärkere Form der menschlichen Zustimmung vor, die auf einem vertrauenswürdigen Gerät außerhalb der Kontrolle des Agenten basiert, anstatt auf einem Passwort oder Code, den der Agent abrufen könnte.
„Wenn ein Agent Zugang zu den Ressourcen hat, die zur Durchsetzung seiner Leitplanken verwendet werden, können diese Leitplanken nicht zuverlässig sein“, sagte Co-Autor Dani Vilardell, ebenfalls Doktorand an der Cornell Tech, gegenüber CoinDesk.
Die Genehmigung erfordert „eine physische Interaktion, die nicht durch Software simuliert werden kann“, so Vilardell. Die Person muss „eine echte Darstellung der Aktion, die sie genehmigen, sehen“, und der Agent darf nicht in der Lage sein, die Genehmigungsschlüssel zu extrahieren.
Um den Ansatz zu demonstrieren, derForscher entwickelten Countersign, einen Open-Source-Prototypen, der darauf abzielt, diese Eigenschaften in einer Telefon-App zu vereinen. Vilardell erklärte, dass er auf Android- und Apple-Geräten läuft, wobei die menschliche Bestätigung an die jeweilige Aktion gebunden ist.
