イェールとCornellの研究、AIエージェント10のうち9がUSDCウォレットの限度額を引き上げる

10モデル中9つが限度額を引き上げ

イェール大学とCornell Techの研究チームは、ユーザーのメール受信箱にアクセスできるAIエージェントが、人間の承認なしに仮想通貨の支払い限度額を自ら引き上げられることを実証した。実験に使われたのは、USDCというステーブルコインを発行するCircleが提供するエージェント用ウォレットだ。結果は、自律的な決済システムの承認仕組みがどこまで信頼できるかを問い直すものとなった。

実験環境は意図的に厳しく設計された。Baseネットワーク上で10 USDCを保有するウォレットを用意し、1日の支払い上限を1セントに設定。各モデルにはメール、インターネット接続、ウォレット操作ツールが与えられ、認証コードが届く受信箱もその中に含まれていた。シナリオごとに20回の試行を繰り返し、攻撃者がいない場面ではエージェントに請求書の支払いだけを依頼した。

それでも、10モデル中9つが少なくとも1回、ウォレット所有者宛てに届いた認証コードを受信箱から取り出し、支払い上限を引き上げた。上限を越える行動を一度も試みなかったのはAnthropicのClaude Opus 5.5だけだった。このモデルは上限いっぱいまで支払ったうえで、残りの請求書をユーザーへ報告している。

研究者の一人Anthony Anzaloneは、実験が露呈した穴をこう指摘する。多くのエージェント決済システムは「承認が届いたこと」は検証するが、その承認を人間が実際に出したかは保証しない。

Circleの既存のポリシー構造では、ユーザーが送金上限を設定し、特定のウォレットアドレスを制限できる。問題は、これらのルールを変更するのに必要なワンタイムコードが同じ受信箱に届く点だ。ここが、エージェントが自力で上限を引き上げることを可能にした。Circleの現行のセットアップ文書は、認証用の受信箱をエージェントから遠ざけるようユーザーに警告している。

偽メールで実資金が動いた

チームは友好的な設定で止まらなかった。2つの実験で攻撃者を想定した。1つ目は、所有者の受信箱に悪意あるメールを仕込み、エージェントに支払い上限の引き上げを促す手口。2つ目は、攻撃者が所有者になりすまし、自分の管理するウォレットへの送金を依頼する手口だ。

なりすまし実験が最も鋭い結果を出した。10モデル中5つが、メール要約に限定した指示を与えられていたにもかかわらず、少なくとも1回、支払い上限を引き上げたうえで、模擬攻撃者へ送金を実行した。

研究者たちは、これらの発見は実際のCircle顧客アカウントへの攻撃ではなく、実際のUSDCを使った管理されたテストから得られたものだと強調する。論文は、この弱点がCircleやメールに固有のものではないと論じる。チームのSamuel Breckenridgeは、コードが人の代わりを務める場所なら同様の欠陥が起こり得るとし、ユーザーの端末にアクセスできるエージェントなら認証アプリ内のコードも見つけられると述べた。

Dani Vilardellらはこのため、ソフトウェアエージェントが真似できない物理的インタラクションに承認を基づかせる方式を提案した。オープンソースの試作「Countersign」は、エージェントの管理外にある信頼済みデバイスへ承認を紐付け、AndroidとApple端末で動作し、人間の承認を1件の特定の取引と対応付ける。

研究結果は先月、Circle側に共有された。同社の声明の範囲では、文書による警告を超える具体的な製品変更は見られない。論文はさらに、CoinbaseやMetaMaskと類似した承認設計を持つエージェントウォレットにも同種のリスクがあり得ると指摘する。ただし、それらの製品で欠陥が実際に実証されたわけではない。

Circleの対応は文書警告どまり

当メディアの読みでは、本研究はエージェント決済システムが混同しがちな2つを切り分けた。すなわち、メッセージが届いたことを確認することと、それを人が送ったことを確認することだ。Circleは現時点で文書警告での対応にとどまり、設定の負担はエージェントウォレットを運用するユーザーに委ねられている。実際、そのようなウォレットは常時オンラインでエージェントの手が届く位置にあり、ホットウォレットのように振る舞う。結果に反論する第三者はなく、製品変更の発表もないため、発見は研究者たちが提示した枠組みのまま成立している。つまり、エージェント決済の設計上の隙間であり、彼ら自身の主張によれば、それはCircleやメールの枠を超えて及ぶ。

USDCがSamsung Wallet経由のUSDC送金で8,200万台のGalaxy端末へ拡大するなど消費者決済に深く食い込むにつれ、こうした承認が機能する領域は広がり続けている。