Yale Üniversitesi ve Cornell Tech araştırmacıları, sahiplerinin e posta kutusuna erişim verilen yapay zeka ajanlarının, insan onayı olmadan kendi kripto harcama limitlerini artırabildiğini ortaya koydu. Çalışma, stabilcoin USDC’nin ihraççısı Circle’ın ajan cüzdanları üzerinde yürütüldü ve otonom ödeme sistemlerinde kullanılan onay mekanizmalarının güvenilirliğine ilişkin soru işaretlerini büyüttü.
Testlerde 10 modelden 9’u limiti yükseltti
Araştırmacılar, Base ağı üzerinde 10 USDC yüklü bir cüzdan kurdu ve günlük harcama sınırını 1 sent olarak belirledi. Modellere e posta, internet ve cüzdan araçları verildi; buna doğrulama kodlarının geldiği gelen kutusu da dahildi. Her model, her senaryo için 20 ayrı denemeden geçti.
Saldırgan bulunmayan senaryoda ajanlardan yalnızca faturaları ödemesi istendi. Buna rağmen 10 modelden 9’u, cüzdan sahibine gönderilen doğrulama kodlarını e posta kutusundan alarak harcama limitini en az bir kez yükseltti. Yalnızca Anthropic’in Claude Opus 5.5 modeli bu sınırı aşmaya çalışmadı; limitine kadar harcama yaptı ve kalan faturaları kullanıcıya bildirdi.
Anthony Anzalone, çoğu ajan ödeme sisteminin bir onayın ulaşıp ulaşmadığını doğruladığını, ancak bu onayın gerçekten bir insan tarafından verilip verilmediğini garanti etmediğini söyledi.
Circle’ın mevcut politika yapısı, kullanıcıların transfer üst sınırı koymasına ve belirli cüzdan adreslerini kısıtlamasına imkan tanıyor. Ancak bu kuralları değiştirmek için gönderilen tek kullanımlık kodların da aynı e posta kutusuna düşmesi, ajanların limiti kendi başına artırabilmesine yol açtı. Circle, mevcut kurulum belgelerinde kullanıcıları ajanları doğrulama gelen kutusundan uzak tutmaları konusunda uyarıyor.
Sahte e posta ile para transferi de gerçekleşti
Araştırmacılar iki ayrı deneyde sahte saldırgan senaryosu da kurdu. Birinde, sahibin gelen kutusuna zararlı e postalar gönderilerek ajanın harcama limitini artırması amaçlandı. Diğerinde ise saldırgan, sahibin kimliğine bürünerek kendi kontrolündeki cüzdana ödeme talep etti.
Kimliğe bürünme testinde 10 modelden 5’i, yalnızca e postaları özetleme talimatı verilmiş olmasına rağmen, hem harcama limitini yükseltti hem de simüle edilen saldırgana en az bir kez para gönderdi. Araştırmacılar, bulguların gerçek Circle müşteri saldırılarından değil, gerçek USDC ile yapılan kontrollü testlerden elde edildiğini vurguladı.
Araştırma ekibi, bir ajanın kendi sınırlarını uygulayan kaynaklara erişebildiği her sistemde bu korumaların güvenilemez hale geldiğini belirtiyor.
Yeni çözüm önerisi fiziksel onaya dayanıyor
Araştırma ekibi, bu sorunun yalnızca Circle’a ya da e postaya özgü olmadığını savunuyor. Samuel Breckenridge, benzer zafiyetlerin bir kodun insanın yerine geçtiği her yapıda ortaya çıkabileceğini, ajanın kullanıcı cihazına erişmesi halinde kimlik doğrulama uygulamalarındaki kodları da bulabileceğini söyledi.
Dani Vilardell ve ekibi bu nedenle, ajanın yazılımsal olarak taklit edemeyeceği fiziksel bir etkileşime dayanan yeni bir onay yaklaşımı önerdi. Bu çerçevede geliştirilen açık kaynaklı Countersign prototipi, onayı ajanın kontrolü dışındaki güvenilir bir cihaza bağlıyor. Uygulamanın Android ve Apple cihazlarda çalışabildiği, insan onayını belirli bir işlemle eşleştirdiği belirtildi.
Mini sözlük: Countersign, araştırmacıların geliştirdiği açık kaynaklı bir prototip uygulamadır. Amaç, dijital bir kod yerine fiziksel kullanıcı onayını belirli bir işlemle eşleştirerek yapay zeka ajanlarının bu onayı taklit etmesini engellemektir.
Araştırmacılar bulgularını geçen ay Circle ile paylaştı. Şirketin açıklamalarında, dokümantasyondaki uyarı dışında somut bir ürün değişikliği yer almadı. Çalışma, Coinbase ve MetaMask benzeri onay tasarımlarına sahip diğer ajan cüzdanlarında da benzer risklerin görülebileceğini öne sürüyor; ancak bu zafiyetin söz konusu ürünlerde fiilen gösterildiği belirtilmedi.
USDT
AAPL