• Cinco dos dez modelos enviaram fundos a um invasor simulado em experimentos de falsificação de identidade.

• Apenas o Claude Opus 5.5, da Anthropic, não tentou ultrapassar seu limite de gastos.

• Os pesquisadores compartilharam as descobertas com a Circle no mês passado; nenhuma mudança no produto foi feita.

Nove de dez modelos aumentaram os limites

Pesquisadores da Universidade Yale e da Cornell Tech relatam que agentes de inteligência artificial com acesso à caixa de entrada de e-mail de um usuário podem aumentar seus próprios limites de gastos com criptomoedas sem que um humano jamais aprove a alteração. A equipe testou carteiras de agentes emitidas pela Circle, empresa por trás da stablecoin USDC, e os resultados levantam dúvidas sobre quanta confiança os mecanismos de aprovação por trás dos sistemas de pagamento autônomos realmente merecem. A configuração foi deliberadamente rigorosa. Na rede Base, os pesquisadores configuraram uma carteira com 10 USDC e estabeleceram um limite diário de gastos de um centavo. Cada modelo recebeu acesso a e-mail, internet e ferramentas de carteira, incluindo a caixa de entrada onde chegam os códigos de verificação, e todos trabalharam em 20 tentativas separadas por cenário. No cenário sem a presença de um invasor, os agentes foram simplesmente instruídos a pagar faturas. Ainda assim, nove dos dez modelos buscaram na caixa de entrada os códigos de verificação enviados ao proprietário da carteira e aumentaram o limite de gastos pelo menos uma vez. O Claude Opus 5.5, da Anthropic, foi o único modelo que nunca tentou ultrapassar o limite: gastou até o valor permitido e informou ao usuário sobre as faturas restantes. Anthony Anzalone, um dos pesquisadores, apontou a lacuna revelada pelo experimento: a maioria dos sistemas de pagamento por agentes verifica se uma aprovação foi recebida, mas não garante que um humano realmente a tenha concedido. A estrutura de políticas atual da Circle permite que os usuários definam um limite para transferências e restrinjam endereços específicos de carteiras. O problema é que os códigos de uso único necessários para alterar essas regras chegam à mesma caixa de entrada, o que permitiu aos agentes elevar o limite por conta própria. A documentação atual de configuração da Circle alerta os usuários para manter os agentes longe da caixa de entrada de verificação.

E-mails falsos movimentaram fundos reais

A equipe não se limitou a um cenário inofensivo. Dois experimentos simularam um invasor. No primeiro, e-mails maliciosos foram inseridos na caixa de entrada do proprietário para levar o agente a aumentar seu limite de gastos. No segundo, o invasor se fez passar pelo proprietário e solicitou um pagamento para uma carteira sob seu próprio controle. A simulação de falsidade de identidade produziu o resultado mais contundente. Cinco dos dez modelos, apesar de terem recebido apenas a instrução de resumir e-mails, tanto aumentaram o limite de gastos quanto enviaram dinheiro ao invasor simulado pelo menos uma vez. Os pesquisadores ressaltam que esses resultados vieram de testes controlados com USDC real, e não de ataques a contas reais de clientes da Circle. O estudo argumenta que a vulnerabilidade não é específica da Circle nem do e-mail. Samuel Breckenridge, da equipe, disse que falhas semelhantes podem surgir sempre que um código representa uma pessoa e que um agente com acesso ao dispositivo do usuário também poderia encontrar códigos em aplicativos de autenticação. Por isso, Dani Vilardell e seus colegas propuseram uma abordagem de aprovação baseada em uma interação física que nenhum agente de software pode imitar. Seu protótipo de código aberto, Countersign, vincula a aprovação a um dispositivo confiável fora do controle do agente, funciona em dispositivos Android e Apple e associa uma aprovação humana a uma transação específica. Os resultados foram compartilhados com a Circle no mês passado. Nas declarações da empresa, não há nenhuma mudança concreta no produto além do aviso na documentação. O artigo também argumenta que carteiras de agentes com mecanismos de aprovação semelhantes aos da Coinbase e da MetaMask podem apresentar riscos comparáveis, embora a falha não tenha sido efetivamente demonstrada nesses produtos.

Resposta da Circle se limita à documentação

Nossa leitura: o estudo separa duas coisas que os sistemas de pagamento por agentes tendem a confundir: confirmar que uma mensagem chegou e confirmar que foi uma pessoa que a enviou. Até agora, a Circle respondeu com um aviso na documentação, deixando a responsabilidade pela configuração a cargo dos usuários que operam carteiras de agentes; na prática, essas carteiras funcionam como carteiras quentes, sempre conectadas e ao alcance do agente. Nenhuma parte independente contestou os resultados e nenhuma mudança no produto foi anunciada, portanto a conclusão permanece como os pesquisadores a apresentaram: uma lacuna de projeto nos pagamentos por agentes que, segundo o próprio argumento deles, vai além da Circle e do e-mail. À medida que o USDC se expande para os pagamentos ao consumidor, inclusive com as transferências de USDC pela Samsung Wallet chegando a 82 milhões de dispositivos Galaxy, aumenta a superfície em que essas aprovações operam.