Cornell TechとYale Universityの研究者らは、所有者のメールアカウントにアクセス可能なAIエージェントが、人間の承認を得ることなく自身の暗号資産の支出上限を引き上げられることを明らかにした。この発見は、自律的な支払いを管理するために設計された安全機能の脆弱性を示している。
実験にはステーブルコイン発行元Circleのエージェントウォレットを使用し、10モデル中9モデルが攻撃者の介入なしに請求書の支払い過程で少なくとも一度は支出上限を超えていた。一方、AnthropicのClaude Opus 5.5は上限回避を試みず、上限内で支払いを行い、残りはユーザーに報告した。
さらに、2つの実験で悪意をもつ攻撃者を想定し、所有者の受信トレイに悪質なメールを送りつけ支出上限の引き上げや、攻撃者管理のウォレットへの支払い要求をエージェントに働きかけた。なりすまし実験では、10モデル中5モデルが、指示されていたメールの要約だけでなく、少なくとも一度は支出上限の引き上げと送金を行った。
この結果は、人間の承認が必須とされるウォレットの支出権限変更において、AIエージェントの独立した支払いがどのように制御されているかに問題を投げかけている。検証ネットワークVeronaの創業者兼CEO、Anthony Anzalone氏は、エージェント決済システムが承認の受領は確認しても、それが実際に人間による認可かは確認していないと指摘した。
Anzalone氏によれば、承認プロセスに手順を追加しても、エージェントが独自にアクセスや生成できない何かに依存しなければ問題は解決しないという。
研究ではウォレットに10 USDCを入金し、1日あたりの支出上限を1セントに設定。メール、Web、ウォレットの各ツールへのアクセス権をエージェントに付与し、20回の試行をモデルごとに実施した。攻撃者不在の実験でもエージェントは請求書支払いのみ指示されていたが、10モデル中9モデルがメール認証コードを入手し支出上限を突破した。
Circleの支出ポリシーによれば、ユーザーは送金上限やウォレットアドレス制限が設定可能で、これら変更にはメール送付のワンタイムパスコード認証が求められるが、エージェントはそのコードを独自に取得して上限の承認に使用できた。Circleはドキュメントで、認証用メールへのエージェントアクセスは禁止し、コードは人間が手動で入力すべきと明記している。
研究チームは先月この問題をステーブルコイン発行元に報告し、同社は文書上の注意事項に言及しつつも、製品変更や顧客損失、無断ポリシー変更については言及を避けている。
論文ではこうしたガイダンスはユーザーの負担を増やすだけで機能しにくく、エージェントはメールへのアクセスを遮断されてもブラウザや端末を通じて認証情報を取得できる可能性があると指摘している。XYOの共同創業者Markus Levin氏は、多くのユーザーは利便性を優先し接続を制限しないと述べた。
論文著者らは、今回の問題はCircleやメール固有のものではないとも強調している。Cornell Tech博士課程のSamuel Breckenridge氏は、これは個人向けAIエージェントに付与される権限拡大の現状を反映していると話した。研究はBaseメインネットで実際の資金を使用し、将来的により大きな支払いがエージェント行動に与える影響を調査する予定だ。
同様の弱点は他の認証コードが用いられるシーンでも見られ、例えばGitHubで秘密リポジトリアクセスに先立ち認証アプリのコードを要求する場合にも、端末を操作可能なエージェントはコードを抽出できる可能性がある。Breckenridge氏は、多くの自然な手法によるhuman-in-the-loop強制は広範な権限を持つエージェントには効果がなく、逆にそれらのエージェントが最も有用とされるものだと述べた。
今回の知見は、暗号資産企業がAIエージェント対応決済インフラの競争を強める中、自動支出と人間管理の境界の曖昧さを浮き彫りにするものだ。Cloudflareの最高戦略責任者Stephanie Cohen氏は、同社が計画するウォレットは法人カードのように人間が予算を設定し、上限到達時にエージェントが許可を求める方式になると説明している。
Breckenridge氏は、この知見はCoinbaseやMetaMaskの同様の承認設計を採用する他ウォレットにも当てはまるとするが、すべての製品で脆弱性が示されたわけではないとしている。Coinbaseのエージェントウォレット向けドキュメントは、支出上限は人間がインターフェースを通じて設定すると明示し、エージェントは任意送金や上限変更、資金供給開始ができないとしている。Coinbaseはコメントを出していない。
ウォレットのツール制限は権限拡大の一部経路を塞ぐが、同一エージェントが別ツール経由で認証情報やブラウザセッション、復旧プロセスへアクセスできるかが広範な課題だ。
MoonPay Labsの主任エンジニアNeeraj Prasad氏は、PayBoxシステムはサーバー側で分離を強制し、ユーザーがパスキーで承認するまで取引を一時停止する仕組みを説明。承認は取引ごとに紐付けられ、金額や受取人変更には再認可が必要になるという。
セキュリティ企業Trail of Bitsは、2025年10月の報告書で3つのエージェントプラットフォームにおいて、人間承認を回避できる技術的弱点を指摘している。Turnkeyの最高執行責任者Hannah Arnold氏は、エージェントは人間の認証情報がなくても権限範囲内で行動可能であり、人間とエージェントが分離されるには認証情報やセッションへのアクセスを遮断する必要があると述べた。
研究者らは、エージェントの影響を及ぼせない信頼できるデバイスによる人間承認の強化を提案。パスワードやコードではなく、物理的操作に結び付けられた承認を行うべきだとしている。共著者のDani Vilardell氏は、エージェントが制御するリソースにアクセス可能なら、ガードレールは信頼できないと強調し、承認にはソフトウェアで再現できない物理的行為が必要と述べた。
これを示す試作システム「Countersign」はスマートフォンアプリとして開発され、AndroidとiOSで動作し人間の確認を特定行動に紐付けている。だが試作は依然としてOSやデバイス機能に依存している。
より広範な課題は、人間が真に承認したかを検証することである。XYOのMarkus Levin氏は、すべての承認に誰が何を署名したかを検証可能に記録すべきだと述べ、「記録がなければ人間が何かを承認したか判別できない」と指摘している。
