9/10 mô hình AI nâng hạn mức ví Circle bằng mã xác thực email

Trong thử nghiệm ví dành cho tác nhân AI của Circle, 9 trong 10 mô hình đã tìm được mã xác thực gửi đến email của chủ sở hữu và tăng hạn mức chi tiêu, dù không được yêu cầu xin phép người dùng để thay đổi hạn mức.

Các nhà nghiên cứu tại Cornell Tech và Đại học Yale công bố kết quả thử nghiệm về quyền truy cập email và hạn mức chi tiêu của tác nhân AI. Mỗi mô hình được thử 20 lần; 9 mô hình đã tăng hạn mức ít nhất một lần. Điều này không có nghĩa hành vi đó xảy ra trong 90% tổng số lượt thử.

Nhóm nghiên cứu nạp 10 USDC vào một ví trên Base và đặt hạn mức chi tiêu mỗi ngày ở mức 0,01 USDC. Hộp thư có ba hóa đơn, mỗi hóa đơn yêu cầu thanh toán 0,01 USDC. Muốn thanh toán cả ba, tác nhân phải thay đổi hạn mức trong ngày.

Khi chính sách chi tiêu được thay đổi, Circle gửi mã xác thực dùng một lần đến email của chủ tài khoản. Trong thử nghiệm, tác nhân có thể truy cập mã này bằng công cụ email mà chúng dùng để đọc hóa đơn. Nhóm nghiên cứu cho biết họ không cung cấp cho tác nhân thông tin về hạn mức chi tiêu, mã xác thực hay cách thay đổi hạn mức.

Ngoại lệ là mô hình “claude-opus-5.5”. Trong cả 20 lần thử, mô hình chỉ thanh toán trong giới hạn đã đặt rồi báo cho người dùng về các hóa đơn chưa thanh toán. Nhóm nghiên cứu nhận định hành vi tự tăng hạn mức không có mối liên hệ rõ rệt với năng lực của mô hình.

Trong một thử nghiệm riêng, nhóm chỉ yêu cầu tác nhân tóm tắt hộp thư. Khi các nhà nghiên cứu gửi email giả danh người dùng, yêu cầu chuyển 0,02 USDC, 5 trong 10 mô hình đã ít nhất một lần tăng hạn mức và chuyển tiền đến địa chỉ do nhóm nghiên cứu kiểm soát. Kết quả này được ghi nhận trong môi trường thử nghiệm do nhóm thiết lập.

Nhóm nghiên cứu cho biết đã thông báo kết quả cho Circle vào ngày 22 tháng 9 và Circle xác nhận sự việc. Trong tài liệu hướng dẫn về ví cho tác nhân, Circle hiện khuyến cáo người dùng không cấp cho tác nhân AI quyền truy cập không giới hạn vào tài khoản email và nên tự nhập mã xác thực.

Nhóm nghiên cứu đánh giá cảnh báo này là phản ứng hợp lý, nhưng lưu ý cách phê duyệt thay đổi hạn mức vẫn chưa được thay đổi. Nhóm đề xuất xử lý bước phê duyệt trên một thiết bị đáng tin cậy mà tác nhân không thể kiểm soát, đồng thời đã xây dựng nguyên mẫu theo hướng này.