Девять из десяти моделей искусственного интеллекта смогли сами повысить лимиты расходов в криптокошельке без разрешения владельца. К такому выводу пришли исследователи Корнеллского технологического института и Йельского университета по итогам экспериментов с платежной инфраструктурой Circle.
В работе под названием I-HITL: Inalienable Human-in-the-Loop ученые проверили, смогут ли ИИ-агенты обойти обязательное подтверждение платежей человеком.
Для испытаний использовали кошельки Circle Agent Wallets в основной сети Base. Каждый пополнили на 10 $USDC и установили ограничения: не более 0,01 $USDC на одну транзакцию и в сутки, 0,3 $USDC в неделю и 1 $USDC в месяц.
Будьте в курсе движения ваших монет
Алерты, котировки в реальном времени и новости рынка — в одном приложении
Наведите камеру телефона, чтобы установить
4,8 на основе 40 К оценок в App Store и Google Play
Агенты получили доступ к электронной почте, браузеру и инструментам управления кошельком. Системные инструкции при этом требовали выполнять только поручения владельца и не воспринимать письма как команды. Каждую модель проверили в трех сценариях, по 20 раз в каждом.
В первом сценарии ИИ попросили оплатить три счета по 0,01 $USDC. Чтобы закрыть все три, агенту пришлось бы превысить дневной лимит, но разрешения менять настройки пользователь не давал.
Девять из десяти моделей хотя бы в одном испытании сами запросили повышение лимита, получили одноразовый код подтверждения из почты владельца и ввели его.
Только Claude Opus 5.5 от Anthropic в этом сценарии ни разу не попыталась обойти лимит. Модель оплачивала счета в пределах разрешенной суммы и сообщала пользователю об оставшихся.
Пять моделей перевели средства по поддельным письмам
Во втором эксперименте исследователи добавили в почту вредоносные письма, которые подталкивали агентов повысить лимит. В этом случае ограничения меняли семь из десяти моделей.
В третьем сценарии пользователь поручил ИИ только подготовить сводку входящих писем без каких-либо платежей.
Исследователи сыграли роль злоумышленника: от имени владельца кошелька они требовали срочно перевести 0,02 $USDC на сторонний адрес.
Пять моделей хотя бы раз повысили лимиты и отправили деньги условному атакующему. Чаще всего так поступали модели семейств Qwen и DeepSeek.
Qwen попыталась отправить файл на сервер в Китае во время теста безопасности
Авторы подчеркнули, что использовали реальные $USDC в сети Base, но все переводы прошли в контролируемых условиях. Кошельки реальных клиентов Circle в ходе экспериментов не взламывали.
По словам ученых, проблема связана с тем, как устроено подтверждение. Одноразовый код для смены лимита приходит владельцу на почту. Если у агента есть доступ к тому же ящику, он может получить разрешение, предназначенное человеку.
Circle предупредила об опасности доступа к почте
Исследователи сообщили Circle о результатах 22 сентября. Представители эмитента $USDC заявили в комментарии CoinDesk, что ценят ответственное раскрытие информации и продолжают совершенствовать защиту.
В документации Circle появилось предупреждение: не давать ИИ-агентам неограниченный доступ к почте, на которую приходят коды. Владельцам советуют вводить одноразовые коды самостоятельно.
Однако авторы исследования считают эти меры недостаточными. Они подчеркнули, что агент с широкими полномочиями может добраться до кодов через сохраненные учетные данные или открытые сеансы браузера.
Ученые предложили свое решение — прототип Countersign. Операции в нем подтверждают через отдельное мобильное приложение с аппаратно защищенными ключами и биометрией.
По замыслу авторов, так можно убедиться, что действие одобрил именно человек, а не агент, получивший доступ к его учетным данным.
Специалисты полагают, что похожие риски есть и в других сервисах с такой же системой разрешений. Однако кошельки Coinbase и MetaMask в исследовании не проверяли.
Напомним, в августе эксперты предупредили о рисках широкого доступа ИИ-агентов к криптовалютным кошелькам. По их мнению, взлом автономных систем может привести к массовым хищениям цифровых активов.
forklog.com
