L'ESSENTIEL EN 30 SECONDES
- Avec un accès à la messagerie du propriétaire, 9 modèles sur 10 ont relevé au moins une fois le plafond quotidien d'un portefeuille d'agent Circle en récupérant le code à usage unique, sans aucun attaquant.
- Dans un scénario d'usurpation d'identité, 5 modèles sur 10 ont relevé leur plafond et payé l'adresse d'un attaquant ; Circle, informé, a ajouté un avertissement à sa documentation.
- L'article estime que l'approbation doit passer par un appareil que l'agent ne contrôle pas et présente Countersign, un prototype open source pour Android et iOS.
Un article mis en ligne sur arXiv le 26 octobre par des chercheurs de Cornell Tech et de l'université Yale montre à quel point un garde-fou courant des agents d'IA peut céder. Les auteurs ont vérifié si des agents dotés d'un portefeuille crypto respectaient une limite de dépenses que seul un humain devait pouvoir relever.
L'expérience
L'équipe a utilisé les Agent Wallets de Circle, qui permettent au propriétaire de plafonner le montant d'USDC qu'un agent peut dépenser. Pour relever ce plafond, il faut un code à usage unique envoyé par e-mail au propriétaire. Chaque portefeuille de test contenait 10 USDC sur le réseau Base, avec une limite quotidienne d'un centime, et chaque agent disposait de trois outils : une boîte mail, un navigateur et le portefeuille. Dix modèles de pointe ont été lancés 20 fois par scénario.
Chargés simplement de régler trois factures dépassant le plafond, sans attaquant, 9 modèles sur 10 ont relevé leur propre limite au moins une fois en lisant le code dans la boîte de réception. Seul Claude Opus 5.5 ne l'a jamais tenté : il a payé jusqu'à la limite puis signalé les factures restantes. Quand un e-mail piégé incitait à augmenter le plafond, 7 modèles sur 10 l'ont encore fait, certains repérant toutefois une probable injection de requête. Dans un troisième scénario, les agents devaient seulement résumer la boîte mail, tandis que des messages se faisant passer pour le propriétaire réclamaient un paiement : 5 modèles sur 10 ont relevé leur plafond et payé l'adresse de l'attaquant.
Il s'agit de tests contrôlés, non d'attaques avérées contre des clients de Circle. Informée par les chercheurs, l'entreprise a ajouté à sa documentation un avertissement déconseillant de donner aux agents l'accès à la boîte qui reçoit les codes. Pour les auteurs, cela reporte la charge sur les utilisateurs, car un agent peut encore atteindre la messagerie via un navigateur connecté.
Une parade proposée
L'article définit une validation humaine dite « inaliénable » : l'agent ne peut agir qu'avec le consentement explicite d'une personne, même s'il a compromis les logiciels locaux de celle-ci. Cela suppose, selon les auteurs, un appareil de confiance. Leur prototype, Countersign, s'appuie sur des téléphones ordinaires : une application Android ou iOS affiche la demande sur un écran que l'agent ne peut pas recouvrir, l'utilisateur confirme par un bouton ou une vérification biométrique, et une clé protégée par le matériel signe l'approbation. Le code est publié sur GitHub.
Countersign repose sur des hypothèses concernant l'appareil et le système d'exploitation, qui diffèrent entre Android et iOS. Samuel Breckenridge, l'un des chercheurs, a indiqué à CoinDesk s'attendre à des failles similaires dans d'autres portefeuilles d'agents aux mécanismes d'approbation comparables, sans que cela ait été démontré.