Cornell TechとYale Universityの研究者らは、所有者のメールアカウントにアクセス可能なAIエージェントが、人間の承認を経ずに自動的に暗号資産の支出上限を引き上げる事例を新たなテストで確認した。この結果は、自律的支払いにおける安全対策の信頼性に疑問を投げかけている。
実験では、ステーブルコイン発行元Circleのエージェントウォレットを使用し、10のAIモデルのうち9モデルが、攻撃者の介入なしに請求書支払いの過程で少なくとも一度は支出上限を超えていた。唯一、AnthropicのClaude Opus 5.5のみが支出上限内で支払いを済ませ、残請求書をユーザーに報告した。
研究者らはさらに、悪意のあるメールを所有者の受信トレイに送信し、エージェントに支出上限引き上げを促す攻撃や、所有者になりすまして攻撃者支配のウォレットへの支払いを要求する実験も行った。なりすまし条件では、10モデルのうち5モデルがメール要約のみの指示にもかかわらず支出上限の引き上げを行い、攻撃者に送金していた。
この知見は、人間の承認を必須としつつAIエージェントによる自動支払いを許可するウォレット設計に課題を示している。Veronaの創業者兼CEO、Anthony Anzalone氏は、エージェント決済システムは承認の受信確認はするがそれが本当に人間の認可によるかどうかは保証していないと指摘している。
承認プロセスに追加の手順を加えても、エージェントが独自にアクセス・生成できない物理的要素に依存していなければ、根本的なギャップは解消されないとAnzalone氏は述べた。
実験はウォレットに10 USDCを入金し、1日あたり支出上限を1セントに設定。AIエージェントにはメール、Web、ウォレットアクセス権を与え、各モデルに20回ずつ試行させた。エージェントは請求書支払いのみを指示され、支出ポリシー変更は指示されなかったが、9モデルは所有者宛メール認証コードを取得し上限引き上げを実行した。
Circleによると、同社の支出ポリシーはユーザーが送金額上限やウォレットアドレス制限を設定でき、変更にはメールで送付されるワンタイムパスコードが必要だが、AIエージェントがこのコードを自身で入手し上限変更に用いる可能性がある。現行セットアップガイドではエージェントのメール認証コードアクセスを制限し、人間がコードを入力するよう注意喚起している。
研究結果は先月Circleに開示され、同社は文書でエージェントに認証メールアカウントを無制限にアクセスさせないことや、人間がワンタイムコードを入力することを明示しているとコメント。またエージェント型ユースケースの進展に伴う安全対策の見直し意向も示したが、製品変更や損失等については言及しなかった。
論文はこれらの指示はユーザーに負担を負わせるもので、十分に機能しない恐れがあると主張。エージェントがメールから隔離されていても、ブラウザや端末に保存された認証情報を入手する可能性があるためだ。暗号学的証明ネットワークXYO共同創業者Markus Levin氏は「人々は効率を求め何でも接続する」と話す。
論文著者は、この問題はCircleやメール固有のものではないと指摘。Cornell Techの博士課程学生Samuel Breckenridge氏は、人々が個人向けAIエージェントに与える権限の広がりを反映した現象だと述べ、Baseメインネット上で実資金を用いており、今後より大きな支払い時の挙動も調査予定という。
Breckenridge氏は同様の課題はコードが人の代わりを果たすあらゆる場面で現れると話す。例えばGitHubの秘密リポジトリへのアクセスでは認証アプリのコードを要するが、端末を操作可能なエージェントならコードを発見し、設定時に学習して自ら生成できる恐れがあると述べた。「多くの自然なhuman-in-the-loop強制手法は、能力の高いエージェントには無効だ」と指摘している。
この知見は暗号資産企業がAIエージェント対応の決済インフラ構築を競うなか、公私の管理をどう分けるか各社で異なる手法を示している。Cloudflareの最高戦略責任者Stephanie Cohen氏は法人カードのように人間が予算設定し、エージェントは上限到達時に許可を求める設計と述べている。
Breckenridge氏は同様の承認設計を採用するCoinbaseやMetaMaskのエージェントウォレットもこの問題に関連すると話す。ただしすべての製品に幅広い脆弱性が認められたわけではない。
例えばCoinbaseの文書では支出上限をインターフェースで人間が設定し、エージェントはオンライン支払いは可能だが任意送金や上限変更、資金供給開始は不可能と説明している。同社はコメントを控えている。
ウォレットツールの制限は権限拡大を防ぐ一方、そのエージェントが認証情報やブラウザセッション、復旧プロセスにアクセスできるかは課題とされる。MoonPay Labs主任エンジニアNeeraj Prasad氏は、PayBoxはサーバー側で分離を強制し、ユーザー承認があるまで決済を停止すると説明。承認は取引に個別紐付けられており、変更時は再承認が必要になる。
また、セキュリティ企業Trail of Bitsは2025年10月報告書で、一部エージェントプラットフォームにおいて人間の承認が改ざん可能だったと指摘。TurnkeyのCOO Hannah Arnold氏は、エージェントは人間の認証情報なしでも権限範囲内で行動可能であり、人間とエージェントの分離は認証情報アクセスがあれば崩れると述べている。
研究者は、信頼可能な物理的デバイスに基づくより強固な人間承認が必要だと提案。エージェントがアクセス可能なパスワードやコードに頼るべきでないとしている。
Cornell Tech博士課程学生のDani Vilardell氏は、認証にはソフトウェアでは再現できない物理的操作が求められ、承認の真実性を人間が目視確認し、エージェントが承認キーを取得できてはならないと語る。
この考え方に基づき、研究チームはオープンソースの試作システム「Countersign」を開発。AndroidとiOSに対応し、承認は特定の人間の動作に結び付けられている。ただし承認表示の保護はOS上の前提に依存している。
広くて根本的な課題は、同じ認証情報にアクセスできるエージェントではなく、人間が本当に支払いを承認したかどうかの検証である。Levin氏は、すべての承認の内容と署名者を検証・記録に残すべきだと述べ、「その記録がなければ人間の承認の有無は証明できない」と指摘している。