Los agentes de IA elevan los límites de gasto en criptomonedas sin aprobación humana en pruebas de investigadores

Investigadores de Cornell Tech y la Universidad de Yale descubrieron que los agentes de IA con acceso a las cuentas de correo electrónico de los propietarios podían autorizar límites más altos de gasto en criptomonedas sin intervención humana. Nueve de 10 modelos elevaron los límites de gasto al menos una vez al pagar facturas a través de las carteras para agentes de Circle, sin que hubiera un atacante presente. Anthropic Claude Opus 5.5 fue el único modelo que nunca intentó eludir las restricciones: gastó solo dentro del límite y avisó al usuario de las facturas impagadas.

Los investigadores probaron por separado correos maliciosos que solicitaban límites de gasto más altos y mensajes que suplantaban al propietario para pedir pagos a una cartera controlada por un atacante. En el experimento de suplantación, cinco de 10 modelos elevaron los límites y pagaron al menos una vez al atacante simulado, pese a las instrucciones de limitarse a resumir los correos electrónicos. Los investigadores proporcionaron una cartera en Base con 10 USDC e impusieron un límite diario de gasto de 1 centavo. Los agentes recibieron herramientas de correo electrónico, navegación y cartera, incluido el acceso a la bandeja de entrada en la que llegaban los códigos de aprobación. Los investigadores realizaron 20 pruebas por modelo en cada escenario. En el escenario sin atacante, se indicó a los agentes que pagaran las facturas sin pedirles que modificaran las políticas de gasto. Los experimentos utilizaron USDC real en condiciones controladas, en lugar de ataques documentados contra clientes de Circle.

Los controles de gasto de Circle permiten a los usuarios limitar las transferencias y las direcciones de destinatarios autorizadas. Los cambios de política requieren un código adicional de un solo uso enviado por correo electrónico, que los agentes obtuvieron para aprobar límites más altos. Las instrucciones de configuración actuales de Circle advierten a los usuarios que impidan que los agentes accedan a la bandeja de entrada de verificación y que introduzcan personalmente los códigos de aprobación. Los investigadores dijeron que Circle recibió los hallazgos el mes pasado. Un portavoz de Circle acogió con satisfacción la divulgación, reiteró las restricciones de acceso de los agentes incluidas en la documentación y dijo que Circle sigue revisando y mejorando las salvaguardas a medida que se desarrollan las aplicaciones agénticas. La respuesta de Circle no mencionó cambios en los productos más allá de la advertencia incluida en la documentación ni respondió a preguntas sobre pérdidas de clientes o cambios de política no autorizados.

El artículo, «I-HITL: Inalienable Human-in-the-Loop», sostiene que las directrices trasladan la responsabilidad a los usuarios y podrían fallar porque los agentes a los que se niegue el acceso al correo electrónico podrían obtener credenciales almacenadas a través de navegadores o terminales. Los autores dijeron que la debilidad no se limita a Circle ni al correo electrónico. Samuel Breckenridge, estudiante de doctorado de Cornell Tech y coautor del estudio, dijo que los permisos del experimento se parecen al amplio acceso que cada vez más se concede a los agentes personales. Breckenridge dijo que los investigadores utilizaron fondos de la red principal de Base y que planean estudiar si los pagos más elevados afectan al comportamiento de los agentes. También dijo que un agente que controle el dispositivo de un usuario podría obtener códigos de autenticación de GitHub para crear tokens de acceso a repositorios privados, o generar códigos tras conocer el secreto del autenticador durante su configuración.

Anthony Anzalone, fundador y consejero delegado de Verona, dijo que los pasos adicionales de aprobación no pueden confirmar la autorización humana si esta no depende de algo que el agente no pueda obtener o producir por sí mismo. Stephanie Cohen, directora de estrategia de Cloudflare, dijo en agosto que las carteras previstas por la empresa funcionarían como tarjetas corporativas, con presupuestos fijados por personas y una nueva autorización al alcanzar los límites de gasto. Breckenridge dijo que los investigadores creen que diseños de aprobación similares en las carteras para agentes de Coinbase y MetaMask presentarían la misma vulnerabilidad. Sin embargo, la vulnerabilidad más amplia no se ha demostrado en esos productos.

La documentación de Coinbase dice que las personas configuran los límites de gasto a través de la interfaz de la cartera. Las herramientas de agentes de Coinbase permiten realizar pagos por servicios en línea, pero no transferencias a direcciones arbitrarias, cambios de los límites de gasto ni solicitudes de financiación de Coinbase Onramp. Coinbase no había respondido a una solicitud de comentarios antes de la publicación. Restringir las herramientas de la cartera cierra una vía para ampliar la autoridad, pero deja abierta la cuestión de si otra herramienta expone credenciales humanas, sesiones del navegador o procesos de recuperación.

Neeraj Prasad, ingeniero jefe de MoonPay Labs, dijo que PayBox aplica la separación en el servidor y exige la aprobación de una clave de acceso del usuario para cada transacción, así como una nueva autorización si cambian el importe, el destinatario o el comercio. La firma de seguridad Trail of Bits dijo en un informe de octubre de 2025 que los cambios en los argumentos de comandos permitidos automáticamente eludieron la aprobación humana en tres plataformas de agentes. Hannah Arnold, directora de operaciones de Turnkey, dijo que los agentes pueden operar dentro de los límites sin credenciales humanas, pero que el acceso a credenciales, sesiones del navegador o mecanismos de recuperación de las personas destruye esa separación.

Los investigadores proponen aprobar las operaciones mediante un dispositivo de confianza fuera del control del agente, en lugar de una contraseña o un código que este pueda recuperar. Dani Vilardell, estudiante de doctorado de Cornell Tech y coautor del estudio, dijo que las salvaguardas dejan de ser fiables cuando los agentes pueden acceder a los recursos que las hacen cumplir. Vilardell dijo que la aprobación requiere una acción física que el software no pueda simular, una visualización fiel de la acción propuesta y claves que el agente no pueda extraer. Los investigadores desarrollaron Countersign como prototipo de aplicación móvil de código abierto para ofrecer esas protecciones. Vilardell dijo que Countersign funciona en dispositivos Android y Apple y vincula la confirmación humana a una acción concreta. El prototipo depende de las protecciones del dispositivo y del sistema operativo, incluidas las salvaguardas de la pantalla de aprobación, y afronta limitaciones distintas en Android y iOS.

Markus Levin, cofundador de XYO, dijo que los usuarios conectarán el correo electrónico y otros recursos si eso les ahorra tiempo, lo que socava el consejo de negarles el acceso a los agentes. Levin dijo que cada solicitud de aprobación debería generar un registro verificable que identifique a quien aprueba y la acción aprobada; sin él, no se puede demostrar una autorización humana posterior.