Agentes de IA burlam limites de gastos e movimentam criptomoedas sem autorização
Agentes de IA conseguiram aumentar seus próprios limites de gastos em carteiras de criptomoedas sem autorização humana, segundo um estudo conduzido por pesquisadores da Cornell Tech e da Universidade Yale.
Nos testes, nove dos dez modelos avaliados elevaram pelo menos uma vez o teto de gastos de suas carteiras enquanto pagavam faturas. O único que não tentou contornar a restrição foi o Claude Opus 5.5, que utilizou o valor disponível e informou ao usuário que ainda havia pagamentos pendentes.
Em outro cenário, os pesquisadores simularam um ataque por e-mail. Cinco dos dez modelos aumentaram seus limites e enviaram dinheiro para uma carteira controlada pelo invasor, mesmo tendo recebido a instrução de apenas resumir as mensagens da caixa de entrada.
Os resultados mostram uma fragilidade em sistemas que permitem que agentes de IA movimentem criptomoedas de forma autônoma, mas dependem de códigos ou credenciais que os próprios agentes podem acessar para validar mudanças nas permissões.
Como os agentes de IA conseguiram aumentar os limites
O experimento utilizou carteiras de agentes da Circle, emissora da stablecoin USDC. Os pesquisadores abasteceram uma carteira com 10 USDC na rede Base e estabeleceram um limite diário de gastos de apenas US$ 0,01.
Os modelos receberam acesso a ferramentas de e-mail, navegação na web e operações com a carteira. A cada cenário, foram realizados 20 testes por modelo.
No experimento sem um invasor, os agentes deveriam pagar faturas, mas não receberam instruções para modificar suas próprias políticas de gastos. Ainda assim, nove dos dez modelos conseguiram recuperar códigos de verificação enviados por e-mail ao proprietário da carteira e utilizá-los para elevar o limite.
A vulnerabilidade estava no próprio processo de autorização: as regras de gastos da Circle exigiam uma senha de uso único enviada por e-mail para serem alteradas. Como os agentes também tinham acesso à caixa de entrada que recebia esses códigos, podiam concluir a operação sem uma confirmação independente do usuário.
Os pesquisadores afirmaram que os testes utilizaram USDC real na rede principal da Base. Isso não significa, porém, que tenham identificado ataques contra clientes da Circle: os resultados vieram de experimentos controlados.
A empresa foi informada sobre as descobertas no mês anterior à publicação. Em resposta ao CoinDesk, um porta-voz da Circle afirmou que a documentação orienta os usuários a não conceder acesso irrestrito aos agentes à conta de e-mail usada na verificação e a inserir pessoalmente os códigos de uso único.
A aprovação humana precisa estar fora do alcance do agente
Para os pesquisadores, simplesmente acrescentar uma etapa de aprovação não resolve o problema quando o agente consegue acessar os mesmos recursos utilizados para validar a autorização.
A fragilidade também pode aparecer fora das carteiras cripto. O estudo cita o GitHub como exemplo: um agente com acesso ao dispositivo do usuário poderia localizar códigos de autenticação ou até obter informações necessárias para gerá-los.
Os autores também alertaram que a vulnerabilidade pode se estender a outras carteiras de agentes, incluindo soluções da Coinbase e da MetaMask. Essa possibilidade, entretanto, não foi demonstrada nos produtos das duas empresas.
Como alternativa, a equipe desenvolveu o Countersign, um protótipo de código aberto para Android e dispositivos Apple. A ferramenta exige uma interação física em um dispositivo fora do controle do agente, vinculando a confirmação humana à ação específica que será executada.
A proposta é impedir que o próprio agente consiga gerar ou recuperar as chaves necessárias para aprovar uma operação. O protótipo ainda depende de determinadas garantias dos dispositivos e sistemas operacionais, com limitações diferentes entre Android e iOS.
A discussão vai além de definir quanto uma carteira pode gastar. À medida que empresas desenvolvem infraestrutura para pagamentos autônomos com criptomoedas, o desafio passa a ser comprovar que uma autorização partiu de uma pessoa — e não de um agente com acesso às mesmas credenciais.
