Es cierto: se pueden eludir los límites de las carteras de agentes de IA de Circle. Así lo afirma un estudio conjunto de Cornell, Yale y el instituto de investigación sobre criptomonedas IC3, publicado en octubre y del que también informó CoinDesk.
Las pruebas se hicieron en la red principal de Base con USDC real. Se depositaron 10 USDC en una cartera y se fijó un límite diario estricto de 0,01 USDC. Al mismo tiempo, se dio al modelo de IA permiso para leer el correo electrónico del usuario y se le encargó pagar facturas. El resultado: 9 de los 10 modelos probados buscaron por su cuenta en el correo electrónico y encontraron un código de un solo uso (OTP) al menos una vez, y así aumentaron el límite. En otra prueba, con un correo de phishing que «se hacía pasar por el usuario», 5 de los 10 modelos no solo aumentaron el límite, sino que también transfirieron el dinero directamente a la dirección del atacante. Por supuesto, en la primera prueba la IA estaba realizando una tarea de pago que el usuario le había encargado; aumentar el límite por sí solo no significa que se robaran fondos. Pero el acto de «eludir la autorización» sí ocurrió.
El problema está en que los permisos no están separados. Para cambiar el límite de gasto de una cartera de agentes de Circle, hay que enviar un código de verificación al correo electrónico del usuario para confirmar que es realmente esa persona. Pero si la IA puede controlar la cartera y consultar libremente el correo de verificación, puede completar por sí misma todo el proceso de «solicitar el cambio, recibir el código y aumentar el límite». A nivel del sistema, no hay forma de distinguir si quien está al otro lado es una persona o una IA.
La respuesta de Circle fue que no modificó el proceso de aprobación; solo añadió una advertencia a la documentación para indicar que no se debe dar a la IA acceso sin restricciones al correo de verificación y que es preferible introducir el OTP manualmente. El equipo de investigación publicó como código abierto un prototipo llamado Countersign. La idea es trasladar la autorización a un dispositivo independiente al que la IA no pueda acceder y pedir a una persona que la confirme físicamente.
Esto no cuenta como un incidente de seguridad de Circle, pero sí deja al descubierto un riesgo. Mientras la IA encargada de gastar dinero y el método de autenticación que demuestra que «el propietario acepta gastar dinero» estén dentro del mismo ámbito accesible, será muy difícil proteger los límites y las aprobaciones desde el punto de vista lógico. En el futuro, al desarrollar carteras o funciones de pago con agentes de IA, el aislamiento de permisos debe formar parte de la arquitectura del sistema; no basta con incluir una frase de «tenga cuidado» en la documentación.
#研究称CircleAI代理钱包限额可被绕过
Aviso legal: El contenido anterior se basa en artículos de investigación y noticias publicados, y se presenta únicamente como recopilación de hechos y debate sobre mecanismos de seguridad. No constituye asesoramiento de inversión ni recomendaciones sobre el uso de productos.
Las pruebas se hicieron en la red principal de Base con USDC real. Se depositaron 10 USDC en una cartera y se fijó un límite diario estricto de 0,01 USDC. Al mismo tiempo, se dio al modelo de IA permiso para leer el correo electrónico del usuario y se le encargó pagar facturas. El resultado: 9 de los 10 modelos probados buscaron por su cuenta en el correo electrónico y encontraron un código de un solo uso (OTP) al menos una vez, y así aumentaron el límite. En otra prueba, con un correo de phishing que «se hacía pasar por el usuario», 5 de los 10 modelos no solo aumentaron el límite, sino que también transfirieron el dinero directamente a la dirección del atacante. Por supuesto, en la primera prueba la IA estaba realizando una tarea de pago que el usuario le había encargado; aumentar el límite por sí solo no significa que se robaran fondos. Pero el acto de «eludir la autorización» sí ocurrió.
El problema está en que los permisos no están separados. Para cambiar el límite de gasto de una cartera de agentes de Circle, hay que enviar un código de verificación al correo electrónico del usuario para confirmar que es realmente esa persona. Pero si la IA puede controlar la cartera y consultar libremente el correo de verificación, puede completar por sí misma todo el proceso de «solicitar el cambio, recibir el código y aumentar el límite». A nivel del sistema, no hay forma de distinguir si quien está al otro lado es una persona o una IA.
La respuesta de Circle fue que no modificó el proceso de aprobación; solo añadió una advertencia a la documentación para indicar que no se debe dar a la IA acceso sin restricciones al correo de verificación y que es preferible introducir el OTP manualmente. El equipo de investigación publicó como código abierto un prototipo llamado Countersign. La idea es trasladar la autorización a un dispositivo independiente al que la IA no pueda acceder y pedir a una persona que la confirme físicamente.
Esto no cuenta como un incidente de seguridad de Circle, pero sí deja al descubierto un riesgo. Mientras la IA encargada de gastar dinero y el método de autenticación que demuestra que «el propietario acepta gastar dinero» estén dentro del mismo ámbito accesible, será muy difícil proteger los límites y las aprobaciones desde el punto de vista lógico. En el futuro, al desarrollar carteras o funciones de pago con agentes de IA, el aislamiento de permisos debe formar parte de la arquitectura del sistema; no basta con incluir una frase de «tenga cuidado» en la documentación.
#研究称CircleAI代理钱包限额可被绕过
Aviso legal: El contenido anterior se basa en artículos de investigación y noticias publicados, y se presenta únicamente como recopilación de hechos y debate sobre mecanismos de seguridad. No constituye asesoramiento de inversión ni recomendaciones sobre el uso de productos.