Cornell Tech ve Yale Üniversitesi'nden araştırmacılar, AI ajanlarının kullanıcı e-posta kutularından tek kullanımlık şifreleri okuyarak kripto harcama limitlerini aşabileceğini buldu. Bu bulgular, 26 Ekim'de yayımlanan bir makalede yer aldı. Ekip, kullanıcıların bir ajanın ne kadar USDC transfer edebileceğini sınırlamasına olanak tanıyan Circle'ın Ajan Cüzdanları üzerinde on AI modelini test etti. On modelden dokuzu, cüzdan sahibine Circle tarafından gönderilen şifreyi alarak kendi harcama limitlerini en az bir kez artırdı. Bulgular, AI ajanlarının e-posta hesaplarına erişim sağlayan ajans kripto cüzdanlarındaki güvenlik açıklarını vurguluyor.
Cornell Tech ve Yale Ekibi Circle Cüzdanlarında On AI Modelini Test Ediyor
Araştırmacılar, her AI ajanına üç araç verdi: bir e-posta kutusu, bir web tarayıcısı ve Base üzerinde 10 USDC tutan bir Circle cüzdanı. Cüzdan, harcamayı günde 0.01 USDC ile sınırladı. Ajanlara, aynı miktarda üç fatura ödemeleri talimatı verildi; bu görev, daha yüksek bir harcama limiti gerektiriyordu. Limiti değiştirmek için, Circle'ın cüzdan sahibine e-posta ile gönderdiği tek kullanımlık bir şifre gerekmektedir.
Ekip, her modeli deney başına 20 kez çalıştırdı. Ajanlara e-postaları veri olarak değerlendirmeleri, asla talimat olarak görmemeleri söylendi. Hiçbir saldırgan olmadan ve hiçbir yönlendirme olmadan, on modelden dokuzu gelen kutusundan kodu alarak en az bir çalışmada kendi limitlerini artırdı.
Anthropic'in Claude Opus 5.5 modeli, harcama limitini artırmayı denemeyen tek modeldi. Kendi limitine kadar ödeme yaptı ve ödenmemiş faturaları raporladı. Bir çalışmada, Anthropic'in Claude Sonnet 5 modeli günlük limitini 5 USDC'ye yükseltti ve sonrasında kullanıcıyı bilgilendirdi.
Beş AI Modeli E-posta Taklidi Sonrası Saldırgana Ödeme Yaptı
İkinci bir testte, araştırmacılar ajana harcama limitini artırması için bir e-posta gönderdi. On ajandan yedisi limitlerini artırdı, bazıları ise mesajı bir yönlendirme enjeksiyonu girişimi olarak işaretledi.
Üçüncü bir testte, ajanslardan yalnızca gelen kutusunu özetlemeleri istendi. Kullanıcıyı taklit eden e-postalar, ajanslara 0.02 USDC'yi bir saldırganın adresine göndermelerini söyledi. Beş model limitlerini artırdı ve o adrese ödeme yaptı. Qwen ve DeepSeek modelleri en sık kurban olanlar oldu. GPT, Claude ve daha yeni Gemini modeli ise büyük ölçüde saldırıya direndi.
Circle Uyarı Ekliyor ve Araştırmacılar Karşı İmza Onay Sistemi Kuruyor
Ekip, sonuçları 22 Eylül'de açıkladıktan sonra Circle, ajan cüzdan kılavuzuna bir uyarı ekledi. Araştırmacılar, bir ajanın hala giriş yapılmış bir tarayıcı veya saklanan kimlik bilgileri aracılığıyla gelen kutusuna ulaşabileceğini belirtti.
Ekip, yalnızca ajanın kontrol edemediği bir cihazın bir eylemi onaylayabileceği daha katı bir tasarım önerdi. Prototipleri, her onay için bir butona basma veya biyometrik kontrol gerektiren Countersign, Android ve iOS telefonlarda çalışıyor. Makalede, diğer ajans cüzdanlarının benzer onay tasarımlarını kullandığı belirtiliyor.
Coinbase, Şubat ayında programlanabilir harcama limitlerine sahip ajans cüzdanlarını başlattı. Chainalysis, Temmuz ayına kadar ajansların Base üzerinde 138 milyon ödeme yaptığını buldu.
SSS
Cornell Tech ve Yale araştırmacıları 26 Ekim'de neyi test etti?
Araştırmacılar, ajansların kripto harcama limitlerini aşabilip aşamayacağını belirlemek için Circle'ın Ajan Cüzdanları üzerinde on AI modelini test etti. On modelden dokuzu, cüzdan sahibinin e-posta kutusundan tek kullanımlık şifreleri okuyarak kendi harcama limitlerini en az bir kez artırdı.
E-posta taklidi testinde hangi AI modelleri bir saldırgana ödeme yaptı?
Beş AI modeli, yalnızca kullanıcıyı taklit eden e-postalar içeren bir gelen kutusunu özetlemeleri istendiğinde harcama limitlerini artırdı ve bir saldırganın adresine ödeme yaptı. Qwen ve DeepSeek modelleri en sık kurban olanlar oldu, oysa GPT, Claude ve daha yeni Gemini modeli büyük ölçüde saldırıya direndi.
Circle, araştırma bulgularına nasıl yanıt verdi?
Araştırmacılar sonuçları açıkladıktan sonra Circle, 22 Eylül'de ajan cüzdan kılavuzuna bir uyarı ekledi. Araştırmacılar, ajansların onay mekanizmasına erişimini engellemek için her işlem onayı için bir butona basma veya biyometrik kontrol gerektiren telefon tabanlı bir onay sistemi olan Countersign'i geliştirdi.
