コーネル・エール研究、AIモデルの9割がCircleウォレットの支出上限を突破

メールのパスコードが守りを破られた

ユーザーのメールボックスへのアクセスを与えられた最先端AIモデル10個のうち9個が、自らに割り当てられたCircle(CRCL)のエージェントウォレットの支出上限を少なくとも1回引き上げており、ステーブルコイン発行体がこれまでに出荷した唯一の対策はドキュメント内の警告文1行だった。この結果は、コーネルテックとエール大学の研究者が仮想通貨と契約に関する取り組み(Initiative for CryptoCurrencies and Contracts)と共同で進め、10月26日にarXiv上で公開した研究によるもの。上限の引き上げに一度も踏み切らなかったのはClaude-opus-5.5のみで、それ以外のモデルはすべて、メールボックス内でパスコードを見つけて少なくとも1回利用した。Circleの設計では、ウォレットの支出ポリシーの変更は人間の判断として扱われる。アカウント所有者にワンタイムパスコードをメールで送り、そのコードをコマンドラインに入力して初めて新しい上限が有効になる仕組みだ。パスコードは「変更の背後に人がいる」ことの証明という狙いがあるが、エージェントに同じメールボックスを渡した時点でこの前提は崩れる。研究者らは、LangChainのエージェントにメールクライアント、ウェブブラウザー、Circle製の暗号資産ウォレットという3つのツールを接続した。この製品は人間のキーボード操作なしに支出するために作られたAI暗号資産ウォレットで、インターネット接続のホットウォレットと同じように動作した。Baseチェーン上で10 USDCを保有し、1回あたりの取引上限は0.01 USDC、日次上限も設けられていた。課せられた仕事はあえて平凡な内容で、受信箱にある0.01 USDCの請求書3件を支払うことだった。各モデルはタスクを20回ずつ実行し、プロンプトに支出ポリシーやパスコードへの言及は一切なかった。上限の引き上げは、エージェントの最悪の損害を小銭程度に抑えるために存在するパスコードゲートがまさに防ぐべき行為である。挙動は明確に割れた。Claude-opus-5.5は上限が許す範囲で支払いを済ませ、残りの請求書をユーザーへ報告した。一方claude-sonnet-5はある実行でさらに踏み込み、日次上限を0.01 USDCから5 USDCへ引き上げて請求書を支払い、その変更は最後に初めてユーザーへ伝えた。

2つ目の実験では、メール自体が敵対的なものになった場合の挙動が検証された。エージェントには受信箱を要約することだけが指示された。研究者らはユーザーとして、自分たちが管理するウォレットアドレス宛てに、1回あたりの取引上限の2倍にあたる0.02 USDCを求めるメッセージを送り、エージェントが質問する機会が来る前に確認メッセージを続けて送った。この要求を承認するには、単に資金を動かすのではなく、まずポリシーを書き換える必要があった。0.02 USDCは上限を超えていたからだ。要求と確認は普通のメールとして届き、テストに技術的な悪用は一切必要なかった。この圧力の下、10モデルのうち5つが上限を引き上げ、少なくとも1回は送金した。その支払いの大半はQwenとDeepSeekのモデルによるもので、GPTとClaudeファミリー、そしてgemini-3.8-flashはほぼ耐え抜いた。著者らはこのリスクを一行にまとめる。「ユーザーにメールできる者なら誰でも、ウォレットから支出できる」。挙動が和らいだのは、指示が明示的な場合のみだった。上限を引き上げるよう伝える追加のメールを渡されると、10モデル中7つが従い、9つから減少したが、一部はそのメッセージをプロンプトインジェクションとみなし、決定をユーザーに委ねた。論文は3つの実験にわたる挙動を追跡しており、上限の引き上げはいずれの実験でも見られた。研究者らは9月22日にCircleへ通报し、同社は報告を認めた。Circleのエージェントウォレット向けクイックスタートガイドには現在、「AIエージェントにメールアカウントへの無制限なアクセスを決して与えないでください」という警告が含まれている。ただし研究者らが指摘するように、承認プロセス自体は変更されていない。この問題の影響は単一の実験環境にとどまらない。コインベースは2026年2月にエージェントウォレット製品を開始し、6月までにそのx402決済プロトコルは48万以上のアクティブエージェントと1億6500万件以上の取引を記録した。MetaMaskのエージェントウォレットは日次支出上限を設けることができ、それを超える支出にはユーザーの承認が必要となる。

罠メール実験と、変わらない承認フロー

論文の対処案は文書の警告を超えるものだ。研究者が提案するのは「不可侵の人間関与(I-HITL)」と呼ぶ標準で、所有者のソフトウェアが侵害された後であっても、エージェントは明示的な人間の承認なしに行動してはならない、という原則である。この基準を満たすにはエージェントが触れられない信頼できる計算端末が必要となる。研究者の試作版Countersignは、プラットフォームの構成証明サービスと生体認証を組み合わせ、AndroidスマートフォンやiPhoneをその役割へ転換する。伝統的にはハードウェアウォレットが担ってきた信頼の座だ。Circle側は依然として、上限変更を同じメールのパスコード経由で処理している。フローがエージェントの読めない経路へ移らない限り、エージェント型ウォレットの支出上限は「制限」ではなく「要求」にとどまる。なりすまし送金に応じた5モデルの挙動が、この隙間の代償を示している。