Investigadores de la Universidad de Yale y Cornell Tech han revelado que los agentes de inteligencia artificial, al tener acceso a las bandejas de entrada de sus propietarios, pueden aumentar sus límites de gasto en criptomonedas sin la aprobación humana. El estudio se llevó a cabo en las billeteras de agentes de Circle, el emisor de la stablecoin USDC, y ha despertado preocupaciones sobre la fiabilidad de los mecanismos de aprobación en sistemas de phaces autónomos.
9 de cada 10 modelos aumentaron el límite en las pruebas
Los investigadores configuraron una billetera con 10 USDC en la red Base y establecieron un límite diario de gasto de 1 centavo. Los modelos recibieron acceso a herramientas de correo electrónico, internet y billetera, incluyendo la bandeja de entrada donde llegaban los códigos de verificación. Cada modelo pasó por 20 pruebas diferentes por cada escenario.
En un escenario sin atacantes, solo se les pidió a los agentes que pagaran facturas. Sin embargo, 9 de los 10 modelos tomaron los códigos de verificación enviados al propietario desde su bandeja de entrada para aumentar el límite de gasto al menos una vez. Solo el modelo Claude Opus 5.5 de Anthropic no intentó superar este límite; gastó hasta el límite y notificó al usuario sobre las facturas restantes.
Anthony Anzalone mencionó que la mayoría de los sistemas de phace de los agentes verifican si una aprobación ha sido recibida, pero no garantizan que esta haya sido dada por un humano.
La estructura política actual de Circle permite a los usuarios establecer un límite máximo de transferencia y restringir ciertas direcciones de billetera. Sin embargo, el envío de los códigos de un solo uso al mismo buzón de correo facilita que los agentes aumenten el límite por sí mismos. Circle advierte en su documentación actual que los usuarios mantengan a los agentes alejados de la bandeja de entrada de verificación.
También se realizó una transferencia con un falso correo electrónico
Los investigadores configuraron un escenario de ataque simulado en dos experimentos distintos. En uno, se enviaron correos electrónicos maliciosos al buzón del propietario con el fin de que el agente aumentara el límite de gasto. En el otro, un atacante suplantó la identidad del propietario y solicitó un phace a su billetera controlada.
En la prueba de suplantación, 5 de los 10 modelos aumentaron el límite de gasto y enviaron dinero al atacante simulado al menos una vez, aunque solo se les había dado instrucciones de resumir correos electrónicos. Los investigadores enfatizaron que los hallazgos no provinieron de ataques reales a clientes de Circle, sino de pruebas controladas con USDC real.
El equipo investigador indica que estas protecciones se vuelven no confiables en cualquier sistema donde un agente pueda acceder a los recursos que implementan sus propios límites.
La nueva propuesta de solución se basa en una aprobación física
El equipo de investigación sostiene que este problema no es exclusivo de Circle o del correo electrónico. Samuel Breckenridge afirmó que vulnerabilidades similares pueden surgir en cualquier estructura donde un código sustituya a un humano, especialmente si el agente accede al dispositivo del usuario y encuentra códigos en las aplicaciones de autenticación.
Por lo tanto, Dani Vilardell y su equipo propusieron un nuevo enfoque de aprobación basado en una interacción física que el agente no pueda imitar a través de software. El prototipo de código abierto Countersign desarrollado dentro de este marco vincula la aprobación a un dispositivo confiable fuera del control del agente. Se indicó que la aplicación puede funcionar en dispositivos Android y Apple, emparejando la aprobación humana con una transacción específica.
Mini diccionario: Countersign es un prototipo de aplicación de código abierto desarrollado por los investigadores. Su objetivo es emparejar la aprobación física del usuario con una transacción específica para evitar que los agentes de inteligencia artificial imiten esta aprobación.
Los investigadores compartieron sus hallazgos con Circle el mes pasado. Las declaraciones de la empresa no incluyeron cambios de producto concretos además de las advertencias en la documentación. El estudio sugiere que los riesgos similares pueden observarse en otras billeteras de agentes con diseños de aprobación similares como Coinbase y MetaMask; sin embargo, estas vulnerabilidades no se han demostrado de manera efectiva en dichos productos.
