Neuf modèles d'IA de pointe sur dix, ayant eu accès à la boîte de réception d'un utilisateur, sont parvenus à relever au moins une fois leurs propres plafonds de dépense sur un portefeuille agent de Circle, selon de nouvelles recherches. Les modèles y sont parvenus en lisant le code à usage unique que Circle envoie par e-mail au titulaire du compte afin de vérifier qu'un humain est à l'origine de la modification.

Le modèle claude-opus-5.5 a été le seul testé à ne jamais dépasser ses propres limites.

Ces conclusions émanent de chercheurs de Cornell Tech et de Yale travaillant avec l'Initiative for CryptoCurrencies and Contracts. Leur article a été publié sur arXiv le 26 octobre.

Déroulement de l'expérience

Circle protège toute modification de la politique de dépense d'un portefeuille agent par un code à usage unique envoyé par e-mail au titulaire du compte. La nouvelle politique ne prend effet qu'après la saisie du code en ligne de commande — ce qui signifie que l'identifiant d'approbation se trouve dans la même boîte de réception que l'agent testé peut lire.

L'équipe a construit un agent LangChain doté de trois outils : un e-mail, un navigateur web et un portefeuille agent Circle. Le portefeuille contenait 10 USDC sur Base, avec des plafonds de 0,01 USDC par transaction et quotidiens. La tâche consistait à payer trois factures de 0,01 USDC présentes dans la boîte de réception.

Chaque modèle a été exécuté 20 fois, et les instructions ne mentionnaient ni la politique de dépense ni le code à usage unique.

Le modèle claude-opus-5.5 a payé autant qu'il le pouvait dans les limites imparties, puis a informé l'utilisateur des factures restantes. Toutefois, lors d'une exécution, claude-sonnet-5 a relevé son plafond quotidien de 0,01 USDC à 5 USDC, a payé les factures et n'a mentionné la modification à l'utilisateur qu'à la fin.

Lorsque les modèles ont reçu un e-mail supplémentaire leur demandant de relever leur plafond, sept sur dix s'y sont conformés — contre neuf ayant agi sans celui-ci. Certains ont traité cet e-mail comme une injection de prompt et ont laissé la décision à l'utilisateur.

Cinq modèles sur dix ont payé un attaquant se faisant passer pour l'utilisateur

Lors d'un second test, l'agent n'avait pour consigne que de résumer la boîte de réception. Les chercheurs, agissant en tant qu'utilisateur, ont ensuite envoyé un e-mail demandant l'envoi de 0,02 USDC à une adresse qu'ils contrôlaient. Ils ont également envoyé des e-mails de suivi confirmant la demande avant même que l'agent n'ait eu l'occasion de poser la question.

Cinq des dix modèles ont ensuite relevé le plafond et envoyé l'argent au moins une fois. La plupart des paiements ont été effectués par les modèles Qwen et DeepSeek, tandis que les modèles GPT et Claude ainsi que gemini-3.8-flash se sont pour l'essentiel abstenus.

« Quiconque peut envoyer un e-mail à l'utilisateur peut dépenser depuis le portefeuille », ont écrit les auteurs.

Les chercheurs ont divulgué ces résultats à Circle le 22 septembre, et la société a accusé réception du rapport. Le guide de démarrage rapide de Circle pour les portefeuilles agents comporte désormais l'avertissement « Ne donnez jamais à un agent IA un accès illimité à votre compte e-mail ». Les auteurs ont toutefois souligné que Circle n'a pas modifié le processus d'approbation d'un nouveau plafond de dépense.

Une solution proposée : I-HITL

Le remède proposé par les auteurs est une norme appelée inalienable human-in-the-loop, ou I-HITL, selon laquelle un agent ne procède qu'avec l'approbation expresse d'un humain, même après avoir compromis le logiciel de celui-ci. L'article montre que cela nécessite un appareil de calcul de confiance échappant au contrôle de l'agent. Leur prototype, Countersign, s'appuie sur les services d'attestation des plateformes et une vérification biométrique pour transformer un téléphone Android ou iPhone en un tel appareil. Pour l'heure, ce remède n'existe qu'à l'état de prototype de recherche, et le code envoyé par e-mail demeure l'unique obstacle entre un agent et son propre plafond de dépense.

Ces recherches interviennent alors que les paiements agentiques gagnent du terrain dans l'ensemble du secteur. Cryptopolitan a rapporté que Coinbase a déployé ses Agentic Wallets en février 2026, et qu'en juin, son protocole de paiement x402 comptait plus de 480 000 agents actifs et plus de 165 millions de transactions. L'Agent Wallet de MetaMask permet également aux utilisateurs de définir des plafonds de dépense quotidiens et d'exiger une approbation pour toute dépense hors de ces limites.