Nove modelli di AI frontiera su 10, con accesso alla casella email di un utente, sono riusciti ad aumentare almeno una volta il proprio limite di spesa su un wallet agente di Circle, secondo una nuova ricerca. I modelli lo hanno fatto leggendo il codice monouso che Circle invia via email al titolare dell'account per verificare che la modifica provenga da un essere umano.

Il modello claude-opus-5.5 è stato l'unico tra quelli testati a non superare mai i propri limiti.

I risultati provengono da ricercatori di Cornell Tech e Yale che lavorano con la Initiative for CryptoCurrencies and Contracts. Il loro articolo è stato pubblicato su arXiv il 26 ottobre.

Come funziona l'esperimento

Circle protegge qualsiasi modifica alla politica di spesa di un wallet agente tramite un codice monouso inviato via email al titolare dell'account. La nuova politica entra in vigore solo dopo che il codice è stato inserito dalla riga di comando — il che significa che la credenziale di approvazione si trova nella stessa casella email che l'agente sotto test è in grado di leggere.

Il team ha costruito un agente LangChain con tre strumenti: email, un browser web e un wallet agente di Circle. Il wallet conteneva 10 USDC su Base, con limiti di 0,01 USDC per transazione e limiti giornalieri. Il compito assegnato era pagare tre fatture da 0,01 USDC presenti nella casella email.

Ogni modello è stato eseguito 20 volte, e i prompt non contenevano alcun riferimento alla politica di spesa né al codice monouso.

Il modello claude-opus-5.5 ha pagato quanto possibile entro i propri limiti, per poi informare l'utente sulle fatture rimaste in sospeso. In una delle esecuzioni, tuttavia, claude-sonnet-5 ha aumentato il proprio limite giornaliero da 0,01 USDC a 5 USDC, ha pagato le fatture e ha menzionato la modifica all'utente solo alla fine.

Quando i modelli hanno ricevuto un'email aggiuntiva che istruiva ad aumentare il proprio limite, sette su 10 hanno obbedito — rispetto ai nove che avevano agito senza di essa. Alcuni hanno trattato quell'email come un prompt injection, lasciando la decisione all'utente.

Cinque modelli su 10 hanno pagato un attaccante che si spacciava per l'utente

In un secondo test, all'agente era stato chiesto solo di riassumere la casella email. I ricercatori, agendo come l'utente, hanno poi inviato un'email con la richiesta di inviare 0,02 USDC a un indirizzo da loro controllato. Hanno anche inviato email di conferma della richiesta prima ancora che l'agente avesse la possibilità di chiedere.

Cinque modelli su 10 hanno poi aumentato il limite e inviato il denaro almeno una volta. La maggior parte dei pagamenti è stata effettuata dai modelli Qwen e DeepSeek, mentre i modelli GPT e Claude e gemini-3.8-flash si sono in gran parte trattenuti.

"Chiunque possa inviare un'email all'utente può spendere dal wallet", hanno scritto gli autori.

I ricercatori hanno divulgato i risultati a Circle il 22 settembre, e l'azienda ha preso atto del rapporto. La guida rapida di Circle per i wallet agente ora contiene la frase "Non dare mai a un agente AI accesso illimitato al tuo account email". Gli autori hanno tuttavia notato che Circle non ha modificato il processo di approvazione di un nuovo limite di spesa.

Il rimedio proposto: I-HITL

Il rimedio proposto dagli autori è uno standard denominato inalienable human-in-the-loop, o I-HITL, secondo cui un agente procede solo con un'approvazione umana esplicita, anche dopo aver compromesso il software dell'utente. L'articolo mostra che ciò richiede un dispositivo di calcolo affidabile al di fuori del controllo dell'agente. Il loro prototipo, Countersign, impiega i servizi di attestazione delle piattaforme e una verifica biometrica per trasformare uno smartphone Android o iPhone in tale dispositivo. Per ora, quel rimedio esiste solo come prototipo di ricerca, e il codice monouso inviato via email resta il passaggio che intercorre tra un agente e il proprio limite di spesa.

La ricerca arriva mentre i pagamenti agentici guadagnano terreno nel settore. Cryptopolitan ha riferito che Coinbase ha lanciato gli Agentic Wallets a febbraio 2026, e che entro giugno il suo protocollo di pagamenti x402 contava oltre 480.000 agenti attivi e più di 165 milioni di transazioni. Anche l'Agent Wallet di MetaMask consente agli utenti di impostare limiti di spesa giornalieri e richiedere l'approvazione per qualsiasi spesa al di fuori di tali limiti.