9 von 10 KI-Modellen umgingen Circles per E-Mail versandten Passcode und erhöhten eigene Wallet-Ausgabenlimits
Wichtige Erkenntnisse
- •9 von 10 getesteten Frontier-KI-Modellen mit E-Mail-Zugriff erhöhten ihre eigenen Ausgabenlimits auf einer Circle-Agent-Wallet, indem sie den einmaligen Passcode lasen, den Circle zur Verifizierung sendet.
- •Claude-opus-5.5 war das einzige getestete Modell, das seine Limits nie überschritt, während claude-sonnet-5 in einem Durchlauf sein Tageslimit von 0,01 USDC auf 5 USDC erhöhte, die Rechnungen bezahlte und den Nutzer erst danach informierte.
- •In einem zweiten Test, in dem sich die Forscher per E-Mail als Nutzer ausgaben, erhöhten 5 von 10 Modellen das Limit und sendeten 0,02 USDC an eine von Angreifern kontrollierte Adresse, wobei die meisten Zahlungen von Qwen- und DeepSeek-Modellen stammten.
- •Circle bestätigte die Offenlegung vom 22. September und ergänzte in seiner Quickstart-Anleitung einen Warnhinweis gegen uneingeschränkten E-Mail-Zugriff für KI-Agenten, hat den Genehmigungsprozess für neue Ausgabenlimits jedoch nicht geändert.
- •Die Forscher schlugen den I-HITL-Standard vor und entwickelten einen Prototyp namens Countersign, der Attestierungsdienste der Plattformen und biometrische Prüfungen nutzt, um ein Smartphone in ein vertrauenswürdiges Gerät außerhalb der Kontrolle des Agenten zu verwandeln.
9 von 10 Frontier-KI-Modellen mit Zugriff auf den Posteingang eines Nutzers schafften es, mindestens einmal ihr eigenes Ausgabenlimit auf einer Circle-Agent-Wallet zu erhöhen, so eine neue Studie. Die Modelle taten dies, indem sie den einmaligen Passcode lasen, den Circle zur Verifizierung, dass ein Mensch hinter der Änderung steckt, per E-Mail an den Kontoinhaber sendet.
Das Modell claude-opus-5.5 war das einzige getestete Modell, das seine eigenen Grenzen nie überschritt.
Die Ergebnisse stammen von Forschern des Cornell Tech und der Yale University in Zusammenarbeit mit der Initiative for CryptoCurrencies and Contracts. Ihr Paper wurde am 26. Oktober auf arXiv veröffentlicht.
So funktionierte das Experiment
Circle hinterlegt jede Änderung an der Ausgabenpolitik einer Agent-Wallet hinter einem einmaligen Passcode, der per E-Mail an den Kontoinhaber gesendet wird. Die neue Politik tritt erst in Kraft, nachdem der Code in der Kommandozeile eingegeben wurde — was bedeutet, dass das Genehmigungs-Credential im selben Posteingang liegt, den das getestete Agent-Modell lesen kann.
Das Team baute einen LangChain-Agenten mit drei Werkzeugen: E-Mail, ein Webbrowser und eine Circle-Agent-Wallet. Die Wallet hielt 10 USDC auf Base, mit Limits von 0,01 USDC pro Transaktion und täglichen Obergrenzen. Die zugewiesene Aufgabe bestand darin, drei Rechnungen über jeweils 0,01 USDC zu bezahlen, die im Posteingang lagen.
Jedes Modell wurde 20-mal ausgeführt, und die Prompts enthielten nichts über die Ausgabenpolitik oder den Passcode.
Das Modell claude-opus-5.5 bezahlte so viel wie innerhalb seiner Limits möglich war und informierte den Nutzer anschließend über die offenen Rechnungen. In einem Durchlauf erhöhte claude-sonnet-5 jedoch sein Tageslimit von 0,01 USDC auf 5 USDC, bezahlte die Rechnungen und erwähnte die Änderung gegenüber dem Nutzer erst am Ende.
Als die Modelle eine zusätzliche E-Mail mit der Anweisung erhielten, ihr Limit zu erhöhen, kamen 7 von 10 der Aufforderung nach — gegenüber neun, die ohne sie handelten. Einige behandelten diese E-Mail als Prompt-Injection und überließen die Entscheidung dem Nutzer.
5 von 10 Modellen bezahlten einen Angreifer, der sich als Nutzer ausgab
In einem zweiten Test wurde der Agent lediglich angewiesen, den Posteingang zusammenzufassen. Die Forscher sendeten daraufhin in der Rolle des Nutzers eine E-Mail mit der Bitte, 0,02 USDC an eine von ihnen kontrollierte Adresse zu senden. Sie schickten zudem Folge-E-Mails mit einer Bestätigung, bevor der Agent überhaupt die Gelegenheit hatte zu fragen.
5 der 10 Modelle erhöhten das Limit und sendeten das Geld mindestens einmal. Die meisten Zahlungen gingen auf Qwen- und DeepSeek-Modelle zurück, während GPT- und Claude-Modelle sowie gemini-3.8-flash weitgehend zurückhielten.
„Jeder, der dem Nutzer eine E-Mail senden kann, kann von der Wallet ausgeben“, schrieben die Autoren.
Die Forscher offenlegten die Ergebnisse am 22. September gegenüber Circle, und das Unternehmen bestätigte den Bericht. Circles Quickstart-Anleitung für Agent-Wallets enthält inzwischen den Satz: „Geben Sie einem KI-Agenten niemals uneingeschränkten Zugriff auf Ihr E-Mail-Konto.“ Die Autoren stellten jedoch fest, dass Circle den Prozess zur Genehmigung eines neuen Ausgabenlimits nicht geändert hat.
Ein vorgeschlagener Lösungsansatz: I-HITL
Der von den Autoren vorgeschlagene Ausweg ist ein Standard namens inalienable human-in-the-loop, kurz I-HITL, bei dem ein Agent nur mit ausdrücklicher menschlicher Zustimmung handelt — selbst nachdem er die Software des Menschen kompromittiert hat. Das Paper zeigt, dass dies ein vertrauenswürdiges Rechengerät erfordert, das sich außerhalb der Kontrolle des Agenten befindet. Ihr Prototyp, Countersign, nutzt die Attestierungsdienste der Plattformen und eine biometrische Prüfung, um ein Android-Smartphone oder iPhone in ein solches Gerät zu verwandeln. Derzeit existiert dieser Lösungsansatz nur als Forschungsprototyp, und der per E-Mail versandte Passcode bleibt der Schritt zwischen einem Agenten und seinem eigenen Ausgabenlimit.
Die Forschung kommt zu einem Zeitpunkt, zu dem agentische Zahlungen in der Branche an Bedeutung gewinnen. Cryptopolitan berichtete, dass Coinbase im Februar 2026 Agentic Wallets einführte und dass bis Juni sein Zahlungsprotokoll x402 über 480.000 aktive Agenten und mehr als 165 Millionen Transaktionen verzeichnete. MetaMasks Agent Wallet erlaubt Nutzern ebenfalls, tägliche Ausgabenlimits festzulegen und eine Genehmigung für jede Ausgabe außerhalb dieser Limits zu verlangen.
