Cornell TechとYale Universityの研究者らは、所有者のメールアカウントにアクセス可能なAIエージェントが、人間の承認なく自らの暗号資産の支出上限を引き上げられることを明らかにした。この結果は、自律的な支払いに対する安全対策の信頼性に疑問を投げかけている。
ステーブルコイン発行元Circleのエージェントウォレットを用いた実験では、10モデル中9モデルが攻撃者の介入なしに請求書支払いの過程で少なくとも一度は支出上限を超えた。一方、AnthropicのClaude Opus 5.5のみは上限回避を試みず、上限まで支出後に残る請求書をユーザーに報告した。
研究者らはさらに、2件の実験でシミュレートされた攻撃者を導入し、所有者の受信トレイに悪意あるメールを送付してエージェントに支出上限引き上げを促したり、所有者になりすまし攻撃者管理のウォレットへの支払いを要求したりした。
なりすまし実験では、10モデル中5モデルがメールの要約のみを指示されていたにもかかわらず、少なくとも一度は支出上限を引き上げ、シミュレートされた攻撃者に送金した。
本結果は、AIエージェントに独立した支払いを許す一方、支出権限変更には人間の承認を求めるウォレット開発において問題点を浮かび上がらせている。
検証ネットワークVeronaの創業者兼CEO Anthony Anzalone氏は、「多くの決済エージェントシステムは承認を受け取ったことを確認しても、それが人間の認可かまでは検証しない」と指摘した。承認仕組みに手順を追加しても、それがエージェントが独自取得・生成できない何かに依存しなければ問題は解消されないという。
研究では、ウォレットに10 USDCを入金、1日あたりの支出上限を1セントに設定し、承認コードを受け取る受信トレイへのアクセスを含むメール、Web、ウォレットのツールをエージェントに与え20回ずつ試行した。攻撃者不在の実験でも、請求書支払いのみの指示に対し9モデルが認証コードを取得して上限を引き上げた。
Circleの支出ポリシーではユーザーが送金額上限やウォレットアドレスを制限できるが、変更にはメールのワンタイムパスコードが必要である。エージェントはこのコードを自身で取得し、上限引き上げに使用可能だった。Circleはガイドでエージェントを認証用メール受信トレイから遠ざけ、人間がコードを入力するよう警告している。
研究者らは先月、この知見をステーブルコイン発行元に開示。Circleは文書上でメールアカウントへの無制限アクセスをAIに与えないことと、ワンタイムコードは人間が入力すべきと明示していると説明。今後も安全対策の見直しを続けるとしているが、製品変更や顧客損失等については言及していない。
論文はこうしたガイダンスはユーザー負担を増やすものであり、エージェントがブラウザや端末を通じ保存認証情報を入手できる可能性があるため効果が限定的と指摘する。暗号学的証明ネットワークXYOの共同創業者 Markus Levin氏は、ユーザーは利便性からメール接続を止めないと述べた。
論文著者は「今回の問題はCircleやメール特有のものではない」と補足。Cornell Techの博士課程学生 Samuel Breckenridge氏は、セットアップは個人向けAIエージェントの権限拡大の現状を反映すると語った。研究ではBaseメインネットの資金を用い、今後はより大きな支払いがエージェント行動に与える影響を検証予定という。
同氏は、類似の弱点が他の認証コードによる承認場面でも存在すると指摘。例としてGitHubの秘密リポジトリアクセスも挙げ、端末操作可能なエージェントは認証コードを把握し自生成できる可能性があると述べた。多くの自然なhuman-in-the-loop強制方法は有能なエージェントには効果が薄く、そうしたエージェントが最も役立つと考えられていると付言した。
この発見は、自動支出と人間管理の分離に関して暗号資産企業各社が異なる方針を示す中で提示されたものである。Cloudflare最高戦略責任者 Stephanie Cohen氏は、同社計画のウォレットは法人カードのように人間が予算管理し、エージェントは上限到達時に許可を得る仕組みと説明した。
Breckenridge氏はCoinDeskに対し、今回の知見はCoinbaseやMetaMaskなど類似承認設計を持つエージェントウォレットにも関連すると語った。ただし、製品全体での広範な脆弱性の実証はされていない。
例えばCoinbaseのウォレットツール文書では、支出上限は人間が設定し、エージェントは限定的にオンラインサービス支払いが可能な一方、任意送金や上限変更、資金供給開始は不可とされている。Coinbaseはコメントに応じていない。
ウォレットツールの制限により権限拡大の一つの経路は遮断できるが、エージェントが他のツール経由で人間の認証情報やブラウザセッション、復旧プロセスにアクセス可能かどうかがさらに大きな課題である。
MoonPay Labs主任エンジニア Neeraj Prasad氏は、同社PayBoxはサーバー側で分離を強制し、取引承認はユーザーがパスキーを用いてアプリ上で実施するまで一時停止されると述べた。承認は取引ごとに紐づき、要素変更には新たな認可が必要となる。
セキュリティ企業Trail of Bitsによる2025年10月の報告書では、3つのエージェントプラットフォームで人間承認を回避する改ざんが確認されている。Turnkey最高執行責任者 Hannah Arnold氏は、エージェントは認証情報なしでも自身の権限内で行動可能であり、人間とエージェントの分離は認証情報アクセス次第で崩れると述べた。
研究者らはエージェントの制御外にある信頼可能なデバイスを活用したより強固な人間承認を提案している。エージェントが取得可能なパスワードやコードではなく、物理的操作に基づく承認であるべきだと指摘している。
Cornell Tech博士課程学生の共著者 Dani Vilardell氏は、「エージェントがアクセス可能なリソースに依存するガードレールは信頼できない」と語り、承認には「ソフトウェアで模倣できない物理的な行為」が不可欠と述べた。さらに、人は自身の承認行為の真正な表現を視認し、エージェントが承認キーを取得してはならないと説明した。
研究者らはこうした特性を有するオープンソースの試作スマートフォンアプリ「Countersign」を開発。AndroidとApple端末で動作し、人間の確認は特定行動に紐づけられている。試作は依然、デバイスやOS上の前提に依存している。
より大きな課題は、人間が実際に支払いを承認したかを確認することである。Levin氏は、全承認について誰が何を署名したかを検証可能な形で記録しておくべきと述べ、「記録なくして人間承認の有無は判別困難になる」と付言した。