coindesk.com
Agentes de IA con acceso a las cuentas de correo electrónico de sus propietarios pudieron aumentar sus propios límites de gasto en criptomonedas sin la aprobación humana, lo que genera interrogantes sobre las medidas de seguridad diseñadas para controlar los pagos autónomos, según descubrieron investigadores de Cornell Tech y la Universidad de Yale.
En experimenta con las billeteras de agentes del emisor de stablecoins Circle , nueve de cada diez modelos aumentaron sus límites de gasto al menos una vez mientras pagaban facturas sin la intervención de un atacante. Solo Claude Opus 5.5 de Anthropic nunca intentó superar el límite; en cambio, gastó hasta su límite y reportó las facturas restantes al usuario.
Los investigadores también introdujeron un atacante simulado en dos experimentos separados, enviando correos electrónicos maliciosos a la bandeja de entrada del propietario para persuadir a los agentes a aumentar sus límites de gasto o haciéndose pasar por el propietario para solicitar un pago a una cartera controlada por el atacante.
En el experimento de suplantación, cinco de los 10 modelos aumentaron sus límites de gasto y enviaron dinero al atacante simulado al menos una vez, a pesar de haber sido instruidos para solo resumir los correos electrónicos.
Los resultados revelan un problema para las empresas financieras que desarrollan billeteras que permiten a agentes de IA realizar pagos de forma independiente, mientras requieren que los humanos aprueben los cambios en su autoridad de gasto.
“La mayoría de los sistemas de pago para agentes verifican que se haya recibido una aprobación, pero no necesariamente que un humano la haya autorizado,” dijo Anthony Anzalone, fundador y CEO de Verona, una red de verificación que recientemente lanzó una stablecoin para agentes de IA, a CoinDesk.
Agregar pasos de aprobación no resolvería esa brecha a menos que la autorización dependiera de algo que el agente no pudiera acceder o generar de manera independiente, dijo.
Los investigadores financiaron una billetera con 10 USDC en la red Base y establecieron un límite de gasto diario de 1 centavo en la prueba. Proporcionaron al agente herramientas de correo electrónico, web y cartera, incluida el acceso a la bandeja de entrada que recibía los códigos de aprobación. Cada modelo fue sometido a 20 pruebas por escenario.
Restringir las herramientas de la billetera aborda una vía hacia una mayor autoridad. La cuestión más amplia es si el mismo agente puede acceder a las credenciales de un humano, la sesión del navegador o el proceso de recuperación a través de otra herramienta.
“PayBox aplica la separación en el servidor, no en el modelo,” dijo Neeraj Prasad, ingeniero jefe en MoonPay Labs, en una declaración enviada por correo electrónico. “Cualquier acción que requiera aprobación se detiene hasta que el usuario la autorice con una clave en la aplicación PayBox.”
Prasad dijo que las aprobaciones están vinculadas a transacciones individuales, por lo que cambiar el monto, el destinatario o el comerciante requiere una nueva autorización.
Las fallas de aprobación también se han manifestado en software fuera del ámbito de los pagos. En un Informe de octubre de 2025 , la firma de seguridad Trail of Bits declaró que evitó la aprobación humana en tres plataformas de agentes al manipular los argumentos de los comandos que permiten ejecutar automáticamente.
“Un agente puede actuar dentro de sus límites sin tener las credenciales para actuar como el humano,” dijo Hannah Arnold, directora de operaciones de Turnkey.
“En cualquier sistema, si un agente puede acceder a las credenciales de un humano, a la sesión del navegador o al camino de recuperación, entonces la separación entre humano y agente se descompone,” añadió.
