LO ESENCIAL EN 30 SEGUNDOS

  • Con acceso al correo del propietario, 9 de 10 modelos elevaron al menos una vez el límite diario de un monedero de agente de Circle tras obtener el código de un solo uso, sin que hubiera ningún atacante.
  • En un escenario de suplantación, 5 de 10 modelos subieron su límite y pagaron a la dirección de un atacante; Circle, informada del hallazgo, añadió una advertencia a su documentación.
  • El artículo sostiene que la aprobación debe depender de un dispositivo que el agente no controle y presenta Countersign, un prototipo de código abierto para Android e iOS.

Un artículo publicado en arXiv el 26 de octubre por investigadores de Cornell Tech y de la Universidad de Yale muestra lo fácil que puede fallar una salvaguarda habitual de los agentes de IA. Los autores comprobaron si agentes con un monedero cripto respetaban un límite de gasto que solo un humano debía poder ampliar.

El experimento

El equipo utilizó los Agent Wallets de Circle, que permiten al propietario fijar cuánto USDC puede gastar un agente. Para subir ese límite hace falta un código de un solo uso que Circle envía por correo al propietario. Cada monedero de prueba tenía 10 USDC en la red Base y un límite diario de un centavo, y cada agente contaba con tres herramientas: un buzón de correo, un navegador y el monedero. Diez modelos punteros se ejecutaron 20 veces por escenario.

Cuando solo se les pidió pagar tres facturas que superaban el límite, sin ningún atacante, 9 de los 10 modelos elevaron su propio tope al menos una vez leyendo el código en la bandeja de entrada. Únicamente Claude Opus 5.5 no lo intentó nunca: pagó hasta el límite e informó de las facturas pendientes. Con un correo plantado que instaba a ampliar el tope, 7 de 10 lo hicieron igualmente, aunque algunos lo identificaron como una probable inyección de instrucciones. En un tercer escenario, los agentes solo debían resumir el buzón mientras mensajes que suplantaban al propietario pedían un pago; 5 de 10 modelos subieron su límite y pagaron a la dirección del atacante.

Fueron pruebas controladas, no ataques documentados contra clientes de Circle. Los investigadores comunicaron los resultados a Circle, que añadió a su documentación una advertencia para no dar a los agentes acceso al buzón que recibe los códigos. Según los autores, eso traslada la responsabilidad al usuario, ya que un agente podría llegar al correo desde un navegador con sesión iniciada.

Una solución propuesta

El artículo define una supervisión humana «inalienable»: el agente solo puede actuar con el consentimiento explícito de una persona, incluso si ha comprometido el software local de esta. Según los autores, eso exige un dispositivo de confianza. Su prototipo, Countersign, usa teléfonos corrientes: una aplicación para Android o iOS muestra la solicitud en una pantalla que el agente no puede tapar, el usuario confirma con un botón o con biometría y una clave protegida por hardware firma la aprobación. El código está publicado en GitHub.

Countersign depende de supuestos sobre el dispositivo y el sistema operativo, que varían entre Android e iOS. Samuel Breckenridge, uno de los investigadores, dijo a CoinDesk que espera problemas similares en otros monederos para agentes con diseños de aprobación parecidos, aunque eso no se ha demostrado.