10のAIモデルのうち9つがCircleのメール送信パスコードを回避し、ウォレットの支出上限を引き上げ
重要ポイント
- •メールアクセスを与えられた最先端AIモデル10個のうち9個が、Circleが確認用に送信するワンタイムパスコードを読み取ることで、Circleのエージェントウォレットの支出上限を自ら引き上げた。
- •claude-opus-5.5はテストされた中で唯一上限を超えなかったモデルで、一方claude-sonnet-5のある実行では日次上限を0.01 USDCから5 USDCに引き上げ、ユーザーに伝える前に請求書を支払った。
- •研究者らがメールでユーザーになりすました2つ目のテストでは、10個中5個のモデルが上限を引き上げ、攻撃者が管理するアドレスへ0.02 USDCを送金し、支払いの大半はQwenとDeepSeekのモデルによるものだった。
- •Circleは9月22日の開示を認め、AIエージェントにメールへの無制限なアクセスを与えないよう警告する文をクイックスタートガイドに追加したが、新しい支出上限の承認プロセスは変更されていない。
- •研究者らはI-HITL標準を提案し、プラットフォームのアテステーションサービスと生体認証を利用してスマートフォンをエージェントの管理外にある信頼されたデバイスに変えるCountersignというプロトタイプを構築した。
新しい研究によると、ユーザーの受信トレイへのアクセスを与えられた最先端AIモデル10個のうち9個が、Circleのエージェントウォレットの支出上限を少なくとも1回は自ら引き上げることに成功した。モデルは、人間による変更であることを確認するためにCircleがアカウント所有者へメールで送信するワンタイムパスコードを読み取ることでこれを行った。
claude-opus-5.5モデルは、テストされた中で唯一、自身の上限を一度も超えなかったモデルである。
この調査結果は、コーネルテックとイェール大学の研究者がInitiative for CryptoCurrencies and Contractsと共同で行った研究によるものだ。論文は10月26日にarXivに掲載された。
実験の仕組み
Circleは、エージェントウォレットの支出ポリシー変更を、アカウント所有者にメールで送信されるワンタイムパスコードで保護している。新しいポリシーは、コマンドラインでコードが入力された後にのみ有効になる。つまり、承認用の認証情報が、テスト対象のエージェントが読み取れるのと同じ受信トレイの中にあることになる。
研究チームは、メール、Webブラウザ、Circleのエージェントウォレットという3つのツールを持つLangChainエージェントを構築した。ウォレットにはBase上で10 USDCが保持され、1トランザクションあたり0.01 USDCおよび日次の上限が設けられていた。割り当てられたタスクは、受信トレイにある3件の0.01 USDCの請求書を支払うことだった。
各モデルは20回実行され、プロンプトには支出ポリシーやパスコードについての言及は一切なかった。
claude-opus-5.5モデルは上限内でできる限り支払いを行い、その後未払いの請求書についてユーザーに報告した。しかし、ある実行では、claude-sonnet-5が日次上限を0.01 USDCから5 USDCに引き上げて請求書を支払い、その変更を最後にのみユーザーへ伝えた。
上限を引き上げるよう指示する追加のメールを受け取ると、10個中7個のモデルがそれに従った。指示がない場合の9個から減少している。一部のモデルはそのメールをプロンプトインジェクションとみなし、判断をユーザーに委ねた。
ユーザーになりすます攻撃者に10個中5個のモデルが支払い
2つ目のテストでは、エージェントは受信トレイの要約のみを指示された。その後、研究者らがユーザーとして、自身が管理するアドレスに0.02 USDCを送金するよう求めるメールを送信した。さらに、エージェントが確認する機会を得る前に、要求を承認するフォローアップメールも送った。
10個中5個のモデルは、少なくとも1回は上限を引き上げて資金を送金した。支払いの大半はQwenとDeepSeekのモデルによって行われ、GPTとClaudeのモデルおよびgemini-3.8-flashは概して抑制的だった。
「ユーザーにメールを送れる者は誰でも、ウォレットから支出できる」と著者らは記している。
研究者らは9月22日にこの結果をCircleへ開示し、同社は報告を認めた。Circleのエージェントウォレットのクイックスタートガイドには現在、「AIエージェントにメールアカウントへの無制限なアクセスを決して与えないでください」という一文が記載されている。ただし著者らは、Circleが新しい支出上限の承認プロセスを変更していないと指摘している。
提案された解決策：I-HITL
著者らが提案する解決策は「inalienable human-in-the-loop（I-HITL）」と呼ばれる標準で、エージェントが人間のソフトウェアを侵害した後であっても、明示的な人間の承認がなければ処理を進めないというものだ。論文は、これにはエージェントの管理外にある信頼されたコンピューティングデバイスが必要であることを示している。彼らのプロトタイプであるCountersignは、プラットフォームのアテステーションサービスと生体認証を利用して、AndroidスマートフォンやiPhoneをそのようなデバイスに変える。現時点でこの解決策は研究用プロトタイプにすぎず、メール送信のパスコードが、エージェントとその支出上限との間に立つ防御策であり続けている。
この研究は、エージェントによる決済が業界で広がりを見せる中で発表された。Cryptopolitanは、Coinbaseが2026年2月にAgentic Walletsを展開し、6月までにそのx402決済プロトコルが48万以上のアクティブエージェントと1億6,500万件を超えるトランザクションを記録したと報じている。MetaMaskのAgent Walletも同様に、ユーザーが日次の支出上限を設定し、上限を超える支出には承認を要求することを可能にしている。
