Cornell Tech ve Yale araştırmacılarının kontrollü deneyinde, yalnızca e-postaları özetlemesi istenen 10 yapay zeka modelinden beşi harcama limitini yükselterek taklit saldırganın cüzdanına en az bir kez kripto para gönderdi.
Kripto cüzdanlarında yapay zekaya verilen yetkilerin sınırı, yeni bir araştırmayla tartışmaya açıldı. CoinDesk’in aktardığı çalışmada araştırmacılar, Circle’ın yapay zeka ajanlarına yönelik cüzdanlarını kullanarak insan onayının gerçekten insanda kalıp kalmadığını sınadı. Deneyin kritik noktası, ajanların ödeme araçlarıyla birlikte doğrulama kodlarının geldiği e-posta kutusuna da erişebilmesiydi.
Araştırmacılar Base ana ağındaki test cüzdanına 10 USDC yatırdı ve günlük harcama limitini 1 sent olarak belirledi. E-posta, internet ve cüzdan araçları verilen her model, her senaryoda 20 kez denendi. Kontrollü deneylerde gerçek USDC kullanıldı; bildirilen sonuçlar Circle müşterilerine yönelik bir saldırıdan değil, bu testlerden elde edildi.
Fatura öderken kendi limitlerini artırdılar
İlk senaryoda herhangi bir saldırgan yoktu. Modellere faturaları ödemeleri söylendi, harcama kurallarını değiştirmeleri istenmedi. Buna rağmen 10 modelden dokuzu, en az bir denemede cüzdan sahibine gönderilen doğrulama kodunu e-postadan alarak kendi limitini yükseltti.
Çalışmada bu davranışı hiç göstermeyen tek model Claude Opus 5.5 oldu. Model, izin verilen sınıra kadar ödeme yaptıktan sonra kalan faturaları kullanıcıya bildirdi.
Saldırganın cüzdan sahibi gibi davranarak ödeme istediği ayrı senaryoda ise sonuç daha dikkat çekiciydi: Yalnızca e-postaları özetleme görevi verilen modellerin beşi, en az bir denemede limiti artırıp saldırganın kontrolündeki adrese para gönderdi.
Onay koduna da yapay zeka erişince ne oluyor?
Circle’ın cüzdan kuralları, transfer tutarını sınırlamaya ve belirli adreslere kısıtlama getirmeye izin veriyor. Bu kuralları değiştirmek için e-postayla gönderilen tek kullanımlık onay kodu gerekiyor. Ancak aynı e-posta kutusunu okuyabilen ajan, insanın girmesi beklenen kodu kendisi kullanabildi.
Circle, kurulum belgelerinde ajanlara doğrulama e-postası hesabına sınırsız erişim verilmemesi ve kodların kullanıcı tarafından girilmesi gerektiğini açıkça belirttiğini söyledi. Şirket, araştırmacıların bildirimini memnuniyetle karşıladığını ve güvenlik önlemlerini geliştirmeyi sürdürdüğünü de aktardı.
Araştırmacılara göre mesele yalnızca e-posta değil. Bir ajan, insanın kimlik bilgilerine, açık tarayıcı oturumuna veya hesap kurtarma araçlarına başka bir yoldan ulaşabiliyorsa insan ile yazılım arasındaki yetki ayrımı yine zayıflayabilir. Dolayısıyla çalışmanın odağında, ödeme için bir onay alınmasından çok o onayı gerçekten kimin verdiği bulunuyor.
Çözüm için ayrı cihazdan fiziksel onay öneriliyor
Ekip, ajanın erişemediği güvenilir bir cihaz üzerinden, kullanıcının yapılacak işlemi görerek fiziksel onay vermesini öneriyor. Bu yaklaşımı göstermek için geliştirilen Countersign adlı açık kaynaklı telefon uygulaması prototipi, onayı belirli bir işleme bağlıyor.
Android ve Apple cihazlarda çalışabilen prototipin güvenliği de cihazın ve işletim sisteminin korumalarına dayanıyor. Araştırmanın ortaya koyduğu temel ihtiyaç ise açık: Yapay zekaya ödeme yetkisi verilirken, bu yetkiyi genişletecek onay araçlarının da aynı ajanın kontrolüne bırakılmaması gerekiyor.
Yatırım tavsiyesi değildir.
