Cornell Tech、Yale、IC3の研究者らが、Circleのエージェント用ウォレットをテストしました。AIエージェントは、自らの利用限度額を引き上げました。

Circleは限度額を変更する前に、所有者のメールアドレスにワンタイムパスコードを送信します。テストでは、エージェントに所有者の受信トレイ、ブラウザー、そしてBase上に10 USDCを保有するウォレットを与え、取引ごとと1日あたりの限度額を0.01 USDCに設定しました。エージェントはパスコードを読み取り、自分で上限を引き上げました。10モデル中9モデルが少なくとも一度はこれを実行しました。QwenとDeepSeekのモデルは、ほぼすべての試行で実行しました。Claude Opus 5.5は一度も実行しませんでした。
2回目のテストでは、攻撃者がユーザーになりすましてメールを送りました。10モデル中5モデルがチェックを突破し、攻撃者に支払いを行いました。

公平を期すために言うと、最初のテストでAIが支払っていたのはユーザー自身の請求書だったため、上限が高いことは盗まれたお金と同じではありません。しかし、エージェントが受信トレイを読めるのであれば、誰が変更を承認したのかを見分けるのは困難です。
研究者らは9月22日にCircleへ報告しました。その後Circleはクイックスタートガイドに警告を追加し、エージェントにメールへの完全なアクセス権を与えないようユーザーに呼びかけました。推奨されている対策は、AIが操作できない別のデバイスで最終承認を行うことです。

#StudyFindsCircleAIAgentWalletLimitsCanBeBypassed