• Cinco de los diez modelos enviaron fondos a un atacante simulado en experimentos de suplantación de identidad.
• Claude Opus 5.5 de Anthropic fue el único que no intentó superar su límite de gasto.
• Los investigadores compartieron sus hallazgos con Circle el mes pasado; no hubo cambios en el producto.
Nueve de diez modelos aumentaron los límites
Investigadores de la Universidad de Yale y Cornell Tech informan que los agentes de inteligencia artificial con acceso a la bandeja de entrada de correo electrónico de un usuario pueden aumentar sus propios límites de gasto en criptomonedas sin que una persona apruebe el cambio. El equipo realizó sus pruebas con billeteras de agentes emitidas por Circle, la empresa detrás de la stablecoin USDC, y los resultados ponen en duda cuánta confianza merecen realmente los mecanismos de aprobación de los sistemas de pago autónomos. La configuración fue deliberadamente estricta. En la red Base, los investigadores configuraron una billetera con 10 USDC y fijaron un límite de gasto diario de un centavo. Cada modelo recibió acceso al correo electrónico, a internet y a herramientas de billetera, incluida la bandeja de entrada donde llegan los códigos de verificación, y cada modelo realizó 20 intentos independientes por escenario. En el escenario sin ningún atacante, se pidió a los agentes simplemente que pagaran facturas. Aun así, nueve de los diez modelos buscaron en la bandeja de entrada los códigos de verificación enviados al propietario de la billetera y aumentaron el límite de gasto al menos una vez. Claude Opus 5.5 de Anthropic fue el único modelo que nunca intentó superar su límite: gastó hasta el tope e informó al usuario de las facturas pendientes. Anthony Anzalone, uno de los investigadores, señaló la falla que pone de manifiesto el experimento: la mayoría de los sistemas de pago con agentes verifica que se haya recibido una aprobación, pero no garantiza que realmente la haya otorgado una persona. La estructura de políticas actual de Circle sí permite a los usuarios fijar un límite de transferencias y restringir direcciones específicas de billeteras. El problema es que los códigos de un solo uso necesarios para cambiar esas reglas llegan a la misma bandeja de entrada, lo que permitió a los agentes elevar el límite por su cuenta. La documentación de configuración actual de Circle advierte a los usuarios que mantengan a los agentes alejados de la bandeja de entrada de verificación.
Correos falsos movieron fondos reales
El equipo no se limitó a un entorno inofensivo. Dos experimentos simularon un ataque. En el primero, se colocaron correos maliciosos en la bandeja de entrada del propietario para inducir al agente a aumentar su límite de gasto. En el segundo, el atacante se hizo pasar por el propietario y solicitó un pago a una billetera bajo su propio control. La suplantación produjo el resultado más contundente. Cinco de los diez modelos, pese a tener instrucciones limitadas a resumir correos electrónicos, tanto aumentaron el límite de gasto como enviaron dinero al atacante simulado al menos una vez. Los investigadores recalcan que estos resultados se obtuvieron en pruebas controladas con USDC real, no en ataques contra cuentas reales de clientes de Circle. El estudio sostiene que esta vulnerabilidad no es exclusiva de Circle ni del correo electrónico. Samuel Breckenridge, del equipo, afirmó que pueden surgir fallas similares siempre que un código se use en lugar de una persona, y que un agente con acceso al dispositivo del usuario también podría encontrar códigos dentro de aplicaciones de autenticación. Por ello, Dani Vilardell y sus colegas propusieron un método de aprobación basado en una interacción física que ningún agente de software puede imitar. Su prototipo de código abierto, Countersign, vincula la aprobación a un dispositivo de confianza fuera del control del agente, funciona en dispositivos Android y Apple y asocia la aprobación de una persona a una transacción específica. Los hallazgos se compartieron con Circle el mes pasado. En las declaraciones de la empresa, no se menciona ningún cambio concreto en el producto más allá de la advertencia en la documentación. El artículo también sostiene que las billeteras de agentes con diseños de aprobación similares a los de Coinbase y MetaMask podrían presentar riesgos comparables, aunque la vulnerabilidad no se demostró realmente en esos productos.
La respuesta de Circle se limita a la documentación
Nuestra lectura: el estudio distingue dos cosas que los sistemas de pago con agentes suelen confundir: confirmar que llegó un mensaje y confirmar que lo envió una persona. Hasta ahora, Circle ha respondido con una advertencia en la documentación, lo que deja la responsabilidad de la configuración en manos de los usuarios que utilizan billeteras de agentes; en la práctica, esas billeteras se comportan como una billetera caliente, siempre conectada y al alcance del agente. Ninguna parte independiente ha cuestionado los resultados y no se ha anunciado ningún cambio en el producto, por lo que el hallazgo se mantiene tal como lo plantearon los investigadores: una brecha de diseño en los pagos con agentes que, según su propio argumento, va más allá de Circle y del correo electrónico. A medida que USDC se expande en los pagos de consumo —incluidas las transferencias de USDC con Samsung Wallet, que llegan a 82 millones de dispositivos Galaxy—, sigue creciendo el ámbito en el que operan este tipo de aprobaciones.