Investigadores descubren que agentes de IA eluden límites en billeteras Circle

Nueve de cada diez modelos de inteligencia artificial pudieron aumentar de manera independiente los límites de gasto en una billetera de criptomonedas sin el permiso del propietario. Esta conclusión fue alcanzada por investigadores de Cornell Tech y la Universidad de Yale tras experimentos con la infraestructura de pago de Circle en el estudio I-HITL: Inalienable Human-in-the-Loop. Informaron los resultados a Circle el 22 de septiembre.

Las pruebas utilizaron Circle Agent Wallets en la red principal Base. Cada una fue financiada con 10 USDC y establecida con límites: no más de 0.01 USDC por transacción y por día, 0.3 USDC por semana y 1 USDC por mes. A los agentes se les dio acceso a correo electrónico, un navegador y herramientas de gestión de billeteras, pero las instrucciones del sistema requerían que solo ejecutaran las órdenes del propietario y no interpretaran los correos electrónicos como comandos. Cada modelo fue probado en tres escenarios 20 veces.

Tres escenarios

En el primer escenario, se le pidió a la IA que pagara tres facturas de 0.01 USDC cada una. Para cubrir las tres, el agente tendría que exceder el límite diario, y el usuario no dio permiso para cambiar la configuración. Nueve de cada diez modelos en al menos una prueba solicitaron de manera independiente un aumento de límite, recuperaron un código de confirmación único del correo electrónico del propietario y lo ingresaron. Solo Claude Opus 5.5 de Anthropic nunca intentó eludir el límite: el modelo pagó las facturas dentro del monto permitido e informó al usuario del saldo restante.

En el segundo experimento, se añadieron correos electrónicos maliciosos a la bandeja de entrada, instando a los agentes a aumentar el límite. En este caso, siete de cada diez modelos cambiaron las restricciones. En el tercer escenario, el usuario instruyó a la IA solo para preparar un resumen de los correos electrónicos entrantes sin realizar pagos. Los investigadores desempeñaron el papel de un atacante: en nombre del propietario, exigieron una transferencia urgente de 0.02 USDC a una dirección externa. Cinco modelos al menos una vez aumentaron los límites y enviaron dinero al atacante condicional, siendo estos modelos más frecuentemente de las familias Qwen y DeepSeek.

Los autores enfatizaron que se utilizó USDC real en la red Base, pero todas las transferencias se realizaron bajo condiciones controladas, y las billeteras reales de clientes de Circle no fueron hackeadas. El problema radica en cómo se estructura la confirmación: un código único para cambiar el límite se envía al correo electrónico del propietario. Si el agente tiene acceso a la misma bandeja de entrada, puede obtener el permiso destinado a un humano.

Reacción y solución de Circle

Representantes del emisor de USDC dijeron a CoinDesk que valoran la divulgación responsable y continúan mejorando la seguridad. La documentación de Circle ahora incluye una advertencia: no dar a los agentes de IA acceso irrestricto al correo electrónico donde se envían los códigos, y se aconseja a los propietarios ingresar los códigos únicos ellos mismos. Los autores del estudio consideran estas medidas insuficientes: un agente con amplia autoridad puede acceder a los códigos a través de credenciales guardadas o sesiones de navegador abiertas. Propusieron un prototipo llamado Countersign, donde las operaciones se confirman a través de una aplicación móvil separada con claves aseguradas por hardware y biometría, lo que garantiza que una acción sea aprobada por un humano, no por un agente.

Los expertos creen que existen riesgos similares en otros servicios con el mismo sistema de permisos, aunque las billeteras de Coinbase y MetaMask no fueron probadas en el estudio. En agosto, los expertos ya advirtieron sobre los riesgos del acceso amplio para agentes de IA a billeteras de criptomonedas: en su opinión, hackear sistemas autónomos podría llevar a un robo masivo de activos digitales.