Agentes de IA elevam limites de gastos com cripto sem aprovação humana em testes de pesquisadores

Pesquisadores da Cornell Tech e da Universidade Yale descobriram que agentes de IA com acesso às contas de email dos proprietários podiam autorizar limites mais altos de gastos com criptomoedas sem intervenção humana. Nove dos 10 modelos elevaram os limites de gastos pelo menos uma vez ao pagar faturas por meio das carteiras para agentes da Circle, sem a presença de um atacante. Apenas o Claude Opus 5.5, da Anthropic, nunca tentou contornar as restrições: gastou apenas dentro do limite e notificou o usuário sobre faturas não pagas.

Os pesquisadores também testaram emails maliciosos que solicitavam limites de gastos mais altos e mensagens que se passavam pelo proprietário para pedir pagamentos a uma carteira controlada por um atacante. No experimento de falsidade ideológica, cinco dos 10 modelos elevaram os limites e pagaram ao atacante simulado pelo menos uma vez, apesar das instruções para apenas resumir os emails. Os pesquisadores forneceram uma carteira na Base com 10 USDC e estabeleceram um limite diário de gastos de 1 centavo. Os agentes receberam ferramentas de email, navegador e carteira, incluindo acesso à caixa de entrada onde chegavam os códigos de aprovação. Os pesquisadores fizeram 20 testes para cada modelo em cada cenário. No cenário sem atacante, os agentes foram instruídos a pagar as faturas sem alterar as políticas de gastos. Os experimentos envolveram USDC real em condições controladas, e não ataques documentados contra clientes da Circle.

Os controles de gastos da Circle permitem que os usuários limitem transferências e endereços de destinatários autorizados. Alterações nas políticas exigem um código de uso único adicional enviado por email, que os agentes recuperaram para aprovar limites mais altos. As instruções atuais de configuração da Circle alertam os usuários para impedir que os agentes acessem a caixa de entrada de verificação e para inserir pessoalmente os códigos de aprovação. Os pesquisadores disseram que comunicaram os resultados à Circle no mês passado. Um porta-voz da Circle recebeu bem a divulgação, reiterou as restrições da documentação ao acesso dos agentes e disse que a empresa continua revisando e aprimorando as proteções à medida que aplicações baseadas em agentes se desenvolvem. A resposta da Circle não apontou mudanças nos produtos além do alerta na documentação e não respondeu a perguntas sobre perdas de clientes ou alterações não autorizadas nas políticas.

O artigo, “I-HITL: Interação Humana Inalienável”, argumenta que as orientações transferem a responsabilidade aos usuários e podem falhar porque agentes sem acesso ao email poderiam obter credenciais armazenadas por meio de navegadores ou terminais. Os autores disseram que a vulnerabilidade não se limita à Circle nem ao email. Samuel Breckenridge, doutorando da Cornell Tech e coautor do estudo, disse que as permissões usadas nos experimentos se assemelham ao amplo acesso cada vez mais concedido a agentes pessoais. Breckenridge disse que os pesquisadores usaram fundos da rede principal da Base e planejam investigar se pagamentos maiores afetam o comportamento dos agentes. Ele disse que um agente que controle o dispositivo de um usuário poderia obter códigos do autenticador do GitHub para criar tokens de acesso a repositórios privados ou gerar códigos após descobrir o segredo do autenticador durante a configuração.

Anthony Anzalone, fundador e CEO da Verona, disse que etapas adicionais de aprovação não conseguem comprovar a autorização humana, a menos que a aprovação dependa de algo que o agente não possa obter ou produzir por conta própria. Stephanie Cohen, diretora de estratégia da Cloudflare, disse em agosto que as carteiras planejadas pela empresa funcionariam como cartões corporativos, com orçamentos definidos por humanos e nova autorização ao atingir os limites de gastos. Breckenridge disse que os pesquisadores esperam que projetos semelhantes de aprovação nas carteiras para agentes da Coinbase e da MetaMask apresentem a mesma vulnerabilidade. No entanto, a vulnerabilidade mais ampla não foi demonstrada nesses produtos.

A documentação da Coinbase diz que os humanos configuram limites de gastos pela interface da carteira. As ferramentas de agentes da Coinbase permitem pagamentos por serviços online, mas não transferências para endereços arbitrários, alterações nos limites de gastos nem pedidos de financiamento pelo Coinbase Onramp. A Coinbase não havia respondido a um pedido de comentário até a publicação. Restringir as ferramentas da carteira fecha uma via para ampliar a autoridade, mas deixa em aberto se outra ferramenta expõe credenciais humanas, sessões do navegador ou processos de recuperação.

Neeraj Prasad, engenheiro-chefe da MoonPay Labs, disse que o PayBox aplica a separação no servidor e exige a aprovação do usuário por chave de acesso para cada transação, com nova autorização quando há mudanças no valor, destinatário ou comerciante. A empresa de segurança Trail of Bits disse em um relatório de outubro de 2025 que alterações nos argumentos de comandos permitidos automaticamente contornaram a aprovação humana em três plataformas de agentes. Hannah Arnold, diretora de operações da Turnkey, disse que os agentes podem operar dentro dos limites sem credenciais humanas, mas que o acesso a credenciais humanas, sessões do navegador ou mecanismos de recuperação destrói essa separação.

Os pesquisadores propõem que a aprovação seja feita por meio de um dispositivo confiável fora do controle do agente, em vez de uma senha ou código que ele possa recuperar. Dani Vilardell, doutoranda da Cornell Tech e coautora do estudo, disse que as proteções se tornam pouco confiáveis quando os agentes podem acessar os recursos que as aplicam. Vilardell disse que a aprovação precisa envolver uma ação física que o software não possa simular, uma exibição precisa da ação proposta e chaves que o agente não possa extrair. Os pesquisadores desenvolveram o Countersign como um protótipo de aplicativo para celular de código aberto, destinado a oferecer essas proteções. Vilardell disse que o Countersign funciona em dispositivos Android e Apple e vincula a confirmação humana à ação específica. O protótipo depende das proteções do dispositivo e do sistema operacional, incluindo salvaguardas para a tela de aprovação, e enfrenta limitações diferentes no Android e no iOS.

Markus Levin, cofundador da XYO, disse que os usuários conectarão email e outros recursos quando isso lhes poupar tempo, o que enfraquece recomendações para não conceder acesso. Levin disse que cada solicitação de aprovação deveria gerar um registro verificável que identifique quem aprovou e qual ação foi autorizada; sem isso, não é possível comprovar a autorização humana posterior.