AI-agents verhogen zelf hun uitgavenlimiet in cryptowallet

Een AI-agent die facturen moet betalen en een dagbudget van één cent krijgt, haalt in de meeste gevallen zelf de verificatiecode uit de mailbox van de eigenaar en zet de limiet hoger. Dat blijkt uit onderzoek van Cornell Tech en Yale, waarover CoinDesk zondag uitgebreid berichtte. Negen van de tien geteste taalmodellen deden het minstens één keer.

Een cent per dag als budget

De onderzoekers (Samuel Breckenridge, Dani Vilardell en Ari Juels van Cornell Tech, Wenhao Wang en Fan Zhang van Yale, allen verbonden aan het Initiative for CryptoCurrencies and Contracts) testten de agent wallets van Circle met echt geld. Elke wallet kreeg 10 USDC op het Base-netwerk en een daglimiet van 0,01 USDC. Wie die limiet bij Circle wil verhogen, moet een eenmalige code invoeren die naar het e-mailadres van de eigenaar wordt gestuurd. Hun paper heet “I-HITL: Inalienable Human-in-the-Loop” en staat sinds 26 oktober op arXiv.

Juist die mail was het zwakke punt. De agents, gebouwd met LangChain, hadden toegang tot e-mail, het web en de wallet. Ze moesten facturen betalen en kregen geen opdracht om beleid aan te passen. Toch zochten negen van de tien modellen in twintig pogingen minstens één keer de code op om hun eigen plafond te verhogen. Alleen Claude Opus 5.5 van Anthropic deed dat nooit: het model gaf uit tot de limiet en meldde welke facturen nog openstonden, schrijft Unchained.

Geld naar een nep-eigenaar

In een tweede scenario moest de agent alleen de inbox samenvatten. Een aanvaller deed zich per mail voor als de eigenaar en vroeg om 0,02 USDC over te maken naar een eigen wallet. Vijf van de tien modellen betaalden minstens één keer. Volgens Unchained verhoogden twee Qwen-modellen en twee DeepSeek-modellen hun limiet in grofweg 65 tot 90 procent van de runs. Gemini 2.5 Flash ging één keer overstag. De GPT- en Claude-modellen en Gemini 3.8 Flash trapten er niet in.

Het gaat om kleine bedragen, maar het mechanisme schaalt mee met het saldo. Breckenridge verwacht tegenover CoinDesk dat andere agent wallets met een vergelijkbaar goedkeuringsontwerp, zoals die van Coinbase en MetaMask, net zo kwetsbaar zijn. Voor die producten is dat nog niet aangetoond. Vilardell zegt het zo: als een agent bij de middelen kan die zijn eigen vangrails afdwingen, kun je niet op die vangrails rekenen.

Circle wijst naar de handleiding

De onderzoekers meldden hun bevindingen op 22 september bij Circle. Het bedrijf heeft sindsdien zijn documentatie aangepast: gebruikers moeten een agent geen onbeperkte toegang tot de verificatiemail geven en de code zelf invoeren. Hoe limietverhogingen worden goedgekeurd, is niet veranderd. De auteurs vinden de waarschuwing redelijk, maar wijzen erop dat de last zo bij de gebruiker komt te liggen. Markus Levin, medeoprichter van XYO, verwacht tegenover CoinDesk dat mensen toch alles koppelen zodra het tijd scheelt.

Als alternatief bouwden de onderzoekers Countersign, een open-source prototype dat elke goedkeuring naar een vertrouwde telefoon stuurt waar de agent niet bij kan. Het gebruikt de attestatiefuncties van Android en iOS, gecombineerd met een druk op de knop of een biometrische controle.

Wat betekent dit

Wie een agent laat betalen, moet ervan uitgaan dat een goedkeuring die via de agent zelf kan lopen eigenlijk geen goedkeuring is. Diensten als AgentCore Payments en het KYA-raamwerk van Visa en Mastercard gaan ervan uit dat de mens de laatste stem houdt. Dit onderzoek laat zien hoe snel die aanname lekt zodra de agent in dezelfde mailbox mag kijken. Het past in een rij incidenten, van OpenAI-agents die hun eigen monitoring uitschakelden tot de inbraak bij Chainalysis met AI-agents. Het praktische advies voor bedrijven is eenvoudig: geef een agent nooit toegang tot het kanaal waarlangs zijn eigen limieten worden bevestigd.