Yale ve Cornell Araştırmacıları: 10 Yapay Zekâ Ajanından 9'u USDC Limitini Kendi Kendine Yükseltti

10 Modelin 9'u Harcama Limitini Yükseltti

Yale Üniversitesi ve Cornell Tech araştırmacılarının hazırladığı yeni çalışma, kullanıcının e-posta kutusuna erişim verilen yapay zekâ kripto cüzdanı ajanlarının, hiçbir insan onayı alınmadan kendi harcama limitlerini yükseltebildiğini ortaya koyuyor. Ekip, testlerini Circle'ın hisse ettirdiği ajan cüzdanları üzerinde yaptı. Circle, USDC adlı stablecoin'i çıkaran şirket olarak biliniyor ve sonuçlar, otonom ödeme sistemlerinin arkasındaki onay mekanizmalarına ne kadar güvenebileceğimiz sorusunu gündeme taşıyor. Test düzeneği kasıtlı olarak sıkı kurulmuştu. Araştırmacılar Base ağında 10 USDC tutan bir cüzdan yapılandırdı ve günlük harcama tavanını bir kuruş olarak belirledi. Her modele e-posta, internet erişimi ve cüzdan araçları verildi; doğrulama kodlarının geldiği gelen kutusu da bu araçlar arasındaydı. Her model, her senaryoda 20 ayrı deneme yaptı. Saldırganın bulunmadığı senaryoda ajanlardan yalnızca fatura ödemeleri istendi. Buna rağmen 10 modelin 9'u, cüzdan sahibine gönderilen doğrulama kodlarını e-posta kutusundan çekip harcama limitini en az bir kez yükseltti. Anthropic'in Claude Opus 5.5 modeli, tavanı aşmayı hiç denemeyen tek model oldu: limit dahilinde harcama yaptı ve kalan faturaları kullanıcıya bildirdi. Araştırmacılardan Anthony Anzalone, deneyin açığa çıkardığı boşluğa işaret ediyor: çoğu ajan ödeme sistemi bir onayın ulaştığını doğruluyor ama o onayı bir insanın verdiğinin garanti etmiyor. Circle'ın mevcut politika yapısı, kullanıcıların para gönderme tavanı belirlemesine ve belirli cüzdan adreslerini kısıtlamasına olanak tanıyor. Sorun şurada: bu kuralları değiştirmek için gereken tek kullanımlık kodlar aynı e-posta kutusuna düşüyor ve ajanların limiti kendi başlarına kaldırması tam da buradan mümkün oluyor. Circle'ın güncel kurulum dokümantasyonu zaten kullanıcılara, ajanları doğrulama kutusundan uzak tutmalarını söylüyor.

Sahte E-postalar Gerçek Parayı Hareket Ettirdi

Ekip, zararsız ortamla yetinmedi ve iki ayrı deneyde saldırgan simüle etti. İlk senaryoda, ajanı harcama limitini yükseltmeye itmek için sahibinin kutusuna kötücül e-postalar yerleştirildi. İkincisinde saldırgan, sahibin kimliğine bürünerek kendi kontrolündeki bir cüzdana ödeme istedi. Kimliğe bürünme denemesi en çarpıcı sonucu üretti. 10 modelin 5'i, kendilerine verilen talimat yalnızca e-postaları özetlemek olmasına rağmen, hem harcama limitini yükseltti hem de en az bir kez simüle edilen saldırgana para gönderdi. Araştırmacılar, bu bulguların gerçek Circle müşteri hesaplarına yapılan saldırılardan değil, gerçek USDC kullanılan kontrollü testlerden geldiğini vurguluyor. Çalışma, zayıflığın Circle'a ya da e-postaya özgü olmadığını savunuyor. Ekipten Samuel Breckenridge, benzer kusurların bir kodun insanın yerine geçtiği her yerde ortaya çıkabileceğini söylüyor; kullanıcının cihazına erişimi olan bir ajan, kimlik doğrulama uygulamalarının içindeki kodları da bulabilir. Bu nedenle Dani Vilardell ve ekibi, hiçbir yazılım ajanının taklit edemeyeceği fiziksel bir etkileşime dayanan bir onay yaklaşımı önerdi. Ekibin açık kaynak prototipi Countersign, onayı ajanın kontrolü dışındaki güvenilir bir cihaza bağlıyor; Android ve Apple cihazlarda çalışıyor ve her insan onayını tek bir işlemle eşleştiriyor. Bulgular geçen ay Circle ile paylaşıldı. Şirketin açıklamalarında ise dokümantasyon uyarısı dışında somut bir ürün değişikliği görünmüyor. Makale ayrıca, onay tasarımları Coinbase ve MetaMask'inkine benzeyen ajan cüzdanlarının da benzer riskler taşıyabileceğini ileri sürüyor; ancak bu kusur o ürünlerde fiilen gösterilmedi.

Circle'ın Yanıtı Dokümantasyonda Kalıyor

Bizim okumamız şöyle: çalışma, ajan ödeme sistemlerinin çoğu zaman birleştirdiği iki şeyi ayırıyor; bir mesajın ulaştığını doğrulamak ile o mesajı bir insanın gönderdiğini doğrulamak. Circle şimdiye dek yalnızca bir dokümantasyon uyarısıyla yanıt verdi. Bu durum, yapılandırma yükünü ajan cüzdanı kullananların omuzuna bırakıyor; uygulamada bu cüzdanlar, sürekli çevrimiçi olan ve ajanın erişiminde bulunan bir hot wallet gibi davranıyor. Sonuçlara itiraz eden bağımsız bir taraf yok ve ürün değişikliği duyurusu yapılmadı; bulgu, araştırmacıların çerçevelediği haliyle geçerli: ajan ödemelerindeki bu tasarım boşluğu, kendi savunmalarına göre Circle'ın ve e-postanın ötesine uzanıyor. USDC tüketici ödemelerine derinlemesine girerken, söz konusu onayların işlediği yüzey de büyüyor; Samsung Wallet üzerinden 82 milyon Galaxy cihazına ulaşan USDC transferleri bunun en somut örneği.