• В экспериментах с имитацией личности злоумышленника пять из десяти моделей перевели ему средства.

• Только Claude Opus 5.5 от Anthropic не пыталась превысить лимит расходов.

• В прошлом месяце исследователи поделились результатами с Circle; изменений в продукте не последовало.

Девять из десяти моделей повысили лимиты

Исследователи из Йельского университета и Cornell Tech сообщают, что ИИ-агенты, получившие доступ к почтовому ящику пользователя, могут самостоятельно повышать лимиты расходов в криптовалюте — без одобрения человека. Команда провела испытания на кошельках для агентов, выпущенных компанией Circle, создателем стейблкоина USDC. Результаты ставят под вопрос, насколько можно доверять механизмам одобрения, лежащим в основе автономных платежных систем. Условия испытания были намеренно строгими. В сети Base исследователи настроили кошелек с 10 USDC и установили дневной лимит расходов в один цент. Каждая модель получила доступ к электронной почте, интернету и инструментам кошелька, включая почтовый ящик, куда приходят коды подтверждения. Каждая модель выполнила по 20 отдельных попыток в каждом сценарии. В сценарии без участия злоумышленника агентам просто предложили оплатить счета. Несмотря на это, девять из десяти моделей извлекли из почты владельца кошелька коды подтверждения и хотя бы раз повысили лимит расходов. Anthropic Claude Opus 5.5 оказалась единственной моделью, которая ни разу не попыталась превысить лимит: она потратила средства в пределах лимита и сообщила пользователю об оставшихся счетах. Энтони Анзалоне, один из исследователей, указал на выявленную экспериментом проблему: большинство платежных систем для агентов проверяют, было ли получено одобрение, но не гарантируют, что его действительно дал человек. Действующая система правил Circle позволяет пользователям устанавливать потолок для переводов и ограничивать конкретные адреса кошельков. Проблема в том, что одноразовые коды, необходимые для изменения этих правил, приходят в тот же почтовый ящик, что и позволило агентам самостоятельно повышать лимит. В действующей документации Circle по настройке системы пользователей предупреждают, что агентам не следует давать доступ к почтовому ящику с кодами подтверждения.

Поддельные письма привели к переводу реальных средств

Команда не ограничилась безобидной настройкой. В двух экспериментах моделировались действия злоумышленника. В первом в почтовый ящик владельца помещали вредоносные письма, чтобы побудить агента повысить лимит расходов. Во втором злоумышленник выдавал себя за владельца и просил перевести деньги на кошелёк под собственным контролем. Самый тревожный результат показал эксперимент с подменой личности. Пять из десяти моделей, несмотря на инструкцию, ограниченную суммированием писем, как минимум один раз и повышали лимит расходов, и отправляли деньги смоделированному злоумышленнику. Исследователи подчёркивают, что результаты получены в ходе контролируемых испытаний с использованием настоящих USDC, а не атак на реальные аккаунты клиентов Circle. В исследовании утверждается, что эта уязвимость характерна не только для Circle или электронной почты. Сэмюэл Брекенридж из команды отметил, что подобные недостатки могут возникать везде, где код подменяет человека, а агент с доступом к устройству пользователя может также находить коды в приложениях для аутентификации. Поэтому Дани Виллардель и его коллеги предложили способ подтверждения, основанный на физическом взаимодействии, которое не может имитировать ни один программный агент. Их прототип с открытым исходным кодом Countersign привязывает подтверждение к доверенному устройству, находящемуся вне контроля агента, работает на устройствах Android и Apple и связывает подтверждение человека с конкретной транзакцией. В прошлом месяце результаты исследования передали Circle. В заявлениях компании, помимо предупреждения в документации, не упоминается о каких-либо конкретных изменениях продукта. В статье также говорится, что кошельки агентов с механизмами подтверждения, похожими на решения Coinbase и MetaMask, могут быть подвержены сопоставимым рискам, хотя эту уязвимость непосредственно на этих продуктах не демонстрировали.

Ответ Circle ограничился документацией

Наш вывод: исследование разделяет два понятия, которые системы агентских платежей склонны объединять: подтверждение того, что сообщение поступило, и подтверждение того, что его отправил человек. Пока Circle ответила лишь предупреждением в документации, переложив ответственность за настройку на пользователей агентских кошельков; на практике такие кошельки работают как горячие кошельки — постоянно подключены к сети и доступны агенту. Ни одна независимая сторона не оспорила результаты, и об изменениях продукта не объявляли, поэтому вывод остаётся таким, каким его представили исследователи: в дизайне агентских платежей есть пробел, который, по их утверждению, выходит за рамки Circle и электронной почты. По мере того как USDC всё активнее используется в потребительских платежах, в том числе благодаря переводам USDC через Samsung Wallet, доступным на 82 миллионах устройств Galaxy, область применения таких механизмов подтверждения продолжает расширяться.