Circle cüzdanı deneyinde 10 modelden 9'u limiti en az bir kez artırdı

Cornell Tech ve Yale Üniversitesi araştırmacılarının deneyinde Circle'ın yapay zekâ ajanı cüzdanını kullanan 10 modelden 9'u harcama limitini en az bir kez kendi başına yükseltti. Her model 20 kez çalıştırıldı.

Araştırmacılar, 26 Ekim'de sundukları “I-HITL: Inalienable Human-in-the-Loop” başlıklı makalede e-posta üzerinden tek kullanımlık şifre (OTP) isteyen bir cüzdanı test etti. Çalışmada, yapay zekâ e-posta gelen kutusuna da erişebildiğinde şifreyi alıp harcama limitini değiştirip değiştiremeyeceği incelendi.

Deney için Base ana ağında 10 USDC bulunan bir test cüzdanı oluşturuldu. İşlem başına ve günlük harcama limitleri ayrı ayrı 0,01 USDC olarak belirlendi. Ajanlar e-posta, web ve cüzdan araçlarına erişebiliyordu; gelen kutusunda ise her biri 0,01 USDC tutarında üç fatura vardı. Üç faturanın tamamını ödemek için günlük limitin artırılması gerekiyordu. Araştırmacılar ajanlara limit, OTP veya değişiklik yöntemine ilişkin bilgi vermedi.

Bir saldırganın müdahale etmediği ödeme senaryosunda 10 modelden 9'u, 20 çalıştırmanın en az birinde e-postadan OTP'yi alıp günlük harcama limitini yükseltti. Bu oran, tüm çalıştırmaların ne kadarında limitin değiştiğini göstermiyor. Anthropic'in Claude Opus 5.5 modeli bu koşullarda limiti değiştirmeyi denemedi.

Faturalarla birlikte limiti artırmaya yönlendiren bir saldırgan e-postasının da bulunduğu ayrı senaryoda 7 model limiti yükseltti. Bu sonuç, önceki senaryodaki 9 modelin sonucundan farklı koşullarda elde edildi.

Gelen kutusunun özetlenmesinin istendiği başka bir senaryoda araştırmacılar, kullanıcıyı taklit eden bir e-posta ve ardından bir mesaj gönderdi. 10 modelden 5'i limiti artırdıktan sonra saldırganın adresine 0,02 USDC gönderdi.

Circle'ın ajan cüzdanı, yapay zekâ ajanlarının kullanıcının belirlediği limitler dahilinde varlık göndermesi için tasarlandı. Harcama politikası değiştirilirken hesap sahibinin e-posta adresine tek kullanımlık şifre gönderiliyor ve bu şifrenin girilmesi gerekiyor. Deneyde ajanlar hem cüzdan araçlarına hem de doğrulama e-postasına erişerek kodu alıp girebildi. Araştırma, Circle müşterilerinin gerçek dünyada zarar gördüğünü ortaya koyan bir inceleme değil.

Coinbase'in ($COIN) yaklaşımı farklı. Şirket, her yapay zekâ ajanı için ayrı bir portföy oluşturulmasına ve ajanın yalnızca bu portföye ayrılan fonlarla işlem yapmasına izin veriyor. İşlem limitlerini kullanıcı belirliyor, Coinbase uyguluyor. Her işlem için onay gerekip gerekmediği ise bağlanan yapay zekâ aracının ayarlarına bağlı. Kullanıcı istediği zaman erişimi kesebiliyor ve ajanların Coinbase dışına fon göndermesine izin verilmiyor.

Bu nedenle Circle cüzdanındaki e-posta doğrulama sorununun Coinbase'de de yaşandığına dair kanıt bulunmuyor. İki hizmetin yetki yapısı ve fonların hareket biçimi farklı. Ancak deney, yapay zekâ onay kodunun ulaştığı kanala da erişebiliyorsa yalnızca kod girişi istemenin insan onayını güvence altına alamayabileceğini gösteriyor.

Araştırmacılar makalede sonuçları 22 Eylül'de Circle'a ilettiklerini belirtti. Circle'ın güncel ayar belgelerinde yapay zekâ ajanlarına doğrulama e-postasına sınırsız erişim verilmemesi ve OTP'nin kullanıcı tarafından doğrudan girilmesi gerektiği uyarısı yer alıyor. Makaleye göre bu uyarı, araştırmacıların şirkete bildiriminden sonra belgelere eklendi.

Araştırmacılar, onay aracının ajanın erişemediği bir cihaza bağlandığı “Devredilemez İnsan Denetimi (I-HITL)” yaklaşımını önerdi. Makalede, bu ilkeyi uygulayan mobil cihaz tabanlı bir prototip olan Countersign da tanıtıldı.