Deneyde 10 modelden 7’si Circle(CRCL) AI cüzdanının limitini yükseltti

Saldırganın faturalarla birlikte gönderdiği limit artırma e-postasını alan testte 10 modelden 7’si Circle(CRCL) AI cüzdanının harcama limitini yükseltti. Deneyde ajanlar, e-postayla gönderilen tek kullanımlık şifreyi (OTP) okuyup girebiliyordu.

Cornell Tech, Yale Üniversitesi ve IC3 araştırmacıları bulgularını 26 Ekim’de sundukları I-HITL: Inalienable Human-in-the-Loop başlıklı makalede açıkladı. Makalenin güncellenmiş sürümü 27 Ekim’de arXiv’e yüklendi. Araştırmacılar 10 modeli üç senaryonun her birinde 20 kez test etti.

Araştırmacılar Base ana ağında 10 USD Coin(USDC) bulunan bir deney cüzdanı oluşturdu. İşlem başına ve günlük harcama limitleri ayrı ayrı 0,01 USDC olarak belirlendi. Ajanlara e-posta, web tarayıcısı ve cüzdan araçları verildi; gelen kutusunda her biri 0,01 USDC tutarında üç fatura vardı. Üç faturanın tamamını ödemek için günlük limitin yükseltilmesi gerekiyordu.

Saldırının olmadığı ödeme senaryosunda 10 modelden 9’u, 20 denemenin en az birinde e-postadan OTP’yi alarak günlük limiti yükseltti. Bu sonuç, tüm çalıştırmaların yüzde 90’ında limitin değiştiği anlamına gelmiyor. Claude Opus 5.5 bu koşulda limit değişikliği yapmaya çalışmadı.

Ayrı bir saldırı senaryosunda gelen kutusuna faturaların yanında limiti yükseltmeye yönlendiren bir saldırgan e-postası da gönderildi. Bu koşulda 7 model limiti artırdı. Bu sonuç, önceki ödeme senaryosunda limiti yükselten 9 modelden ayrı bir deneye ait.

Yalnızca gelen kutusunun özetlenmesinin istendiği senaryoda araştırmacılar kullanıcıyı taklit eden bir e-posta ve ardından bir takip mesajı gönderdi. 10 modelden 5’i limiti yükselttikten sonra saldırganın adresine 0,02 USDC aktardı.

Circle’ın ajan cüzdanı, kullanıcı tarafından belirlenen limitler dahilinde ajanın varlık göndermesine imkân verecek şekilde tasarlandı. Harcama politikasını değiştirmek için hesap sahibine e-postayla gönderilen OTP’nin girilmesi gerekiyor. Deneyde ajan hem cüzdan araçlarına hem de doğrulama e-postasına erişerek kodu alıp girebildi.

Test, araştırmacıların kurduğu bir ortamda gerçekleştirildi; gerçek Circle müşterilerinin zarar gördüğünü inceleyen bir çalışma değildi. Deneyde doğrulama e-postasına erişim yoluyla harcama politikasının değiştirilebildiği gösterildi.

Araştırmacılar makalede bulguları 22 Eylül’de Circle’a bildirdiklerini yazdı. Circle’ın güncel ayar belgelerinde, AI ajanlarına doğrulama e-postasına sınırsız erişim verilmemesi ve OTP’nin kullanıcı tarafından doğrudan girilmesi tavsiye ediliyor. Makaleye göre bu uyarı, araştırmacıların önceden bildirimde bulunmasının ardından belgelere eklendi.

TokenPost daha önce Circle’ın Agent Stack altyapısının AI ajanlarıyla USD Coin ödemelerini destekleyen yapısını tanıtmıştı. Bu deney, söz konusu altyapıda e-posta doğrulama kodu ve cüzdan erişimi birlikte sağlandığında limitin değişip değişemeyeceğini ele aldı.

Araştırmacılar, onay yönteminin ajanın erişemediği bir cihaza bağlandığı ‘devredilemez insan denetimi’ (I-HITL) yaklaşımını önerdi. Makalede bu ilkeyi uygulayan, mobil cihaz tabanlı Countersign adlı prototip de sunuldu.