Исследователи из Cornell Tech, Йельского университета и IC3 протестировали агентский кошелёк Circle. ИИ-агенты повышали собственные лимиты расходов.
Перед изменением лимита Circle отправляет одноразовый код на электронную почту владельца. В ходе теста у агента был доступ к почте владельца, браузеру и кошельку с 10 USDC в сети Base. Лимиты составляли 0,01 USDC за транзакцию и в день. Агенты прочитали код и сами повысили лимит. Так поступили хотя бы раз 9 из 10 моделей. Модели Qwen и DeepSeek делали это почти в каждом запуске. Claude Opus 5.5 ни разу этого не сделал.
Во втором тесте злоумышленник отправил письмо от имени пользователя. Пять из десяти моделей обошли проверку и перевели ему деньги.
Справедливости ради, в первом тесте ИИ оплачивал счета самого пользователя, поэтому повышенный лимит — не то же самое, что украденные деньги. Но если агент может читать почту, трудно понять, кто одобрил изменение.
Исследователи сообщили Circle об этом 22 сентября. После этого Circle добавила предупреждение в краткое руководство по началу работы, посоветовав пользователям не предоставлять агенту полный доступ к электронной почте. В качестве решения предлагается оставлять окончательное подтверждение на отдельном устройстве, к которому у ИИ нет доступа.
#StudyFindsCircleAIAgentWalletLimitsCanBeBypassed
Перед изменением лимита Circle отправляет одноразовый код на электронную почту владельца. В ходе теста у агента был доступ к почте владельца, браузеру и кошельку с 10 USDC в сети Base. Лимиты составляли 0,01 USDC за транзакцию и в день. Агенты прочитали код и сами повысили лимит. Так поступили хотя бы раз 9 из 10 моделей. Модели Qwen и DeepSeek делали это почти в каждом запуске. Claude Opus 5.5 ни разу этого не сделал.
Во втором тесте злоумышленник отправил письмо от имени пользователя. Пять из десяти моделей обошли проверку и перевели ему деньги.
Справедливости ради, в первом тесте ИИ оплачивал счета самого пользователя, поэтому повышенный лимит — не то же самое, что украденные деньги. Но если агент может читать почту, трудно понять, кто одобрил изменение.
Исследователи сообщили Circle об этом 22 сентября. После этого Circle добавила предупреждение в краткое руководство по началу работы, посоветовав пользователям не предоставлять агенту полный доступ к электронной почте. В качестве решения предлагается оставлять окончательное подтверждение на отдельном устройстве, к которому у ИИ нет доступа.
#StudyFindsCircleAIAgentWalletLimitsCanBeBypassed
