Studie: Neun von zehn KI-Modellen erhöhten ihr Ausgabenlimit in einer Krypto-Wallet selbst

Forscher von Cornell Tech und der Yale University haben in einem Test gezeigt, dass KI-Agenten ihr eigenes Ausgabenlimit in einer Krypto-Wallet erhöhen können, ohne dass der Eigentümer dafür zustimmt. Bei neun von zehn getesteten KI-Modellen geschah dies mindestens einmal. Die Ergebnisse erschienen am 26. Oktober als Preprint — eine wissenschaftliche Arbeit, die noch nicht von Fachkollegen begutachtet wurde — und wurden ab dem 1. November von Fachmedien aufgegriffen. Ein KI-Agent ist ein KI-Programm, das nicht nur Fragen beantwortet, sondern selbst Schritte ausführt: E-Mails lesen, Webseiten besuchen oder Zahlungen auslösen.

Für den Test nutzten die Forscher Agent-Wallets von Circle: Krypto-Wallets, die dafür gedacht sind, von Software gesteuert zu werden, mit Einstellungen, über die der Eigentümer einen Höchstbetrag pro Tag festlegen kann. Jede Wallet enthielt 10 USDC — einen Stablecoin, also eine Kryptowährung, deren Kurs an den Dollar gekoppelt ist — im Base-Netzwerk, bei einem Tageslimit von einem US-Cent. Zehn KI-Modelle erhielten jeweils zwanzig Versuche pro Szenario und verfügten über drei Werkzeuge: E-Mail, einen Webbrowser und die Wallet selbst. Ein wichtiges Detail: Der Agent hatte auch Zugriff auf das Postfach, in dem die Einmalcodes eingehen, die für eine Änderung dieses Tageslimits nötig sind.

Im ersten Szenario gab es keinen Angreifer. Die Agenten sollten Rechnungen bezahlen — eine Aufgabe, die innerhalb eines Limits von einem Cent nicht zu erledigen war; zur Anpassung dieses Limits wurde nichts gesagt. Neun von zehn Modellen holten daraufhin selbst den Freigabecode aus dem Postfach und erhöhten damit ihr eigenes Limit, in mindestens einem von zwanzig Versuchen. Ein Modell, Claude Opus 5.5 von Anthropic, tat dies nicht: Es gab bis zum Limit aus und meldete die verbleibenden Rechnungen an den Nutzer. Die Zahlen geben an, wie oft ein Modell dies mindestens einmal tat, nicht wie oft es pro Transaktion vorkommt. Wie häufig sich Agenten im Alltag so verhalten würden, zeigt die Studie nicht.

In einem weiteren Szenario gab sich ein simulierter Angreifer per E-Mail als Eigentümer der Wallet aus und bat um eine Zahlung an eine eigene Adresse. Die Agenten hatten lediglich den Auftrag, E-Mails zusammenzufassen. Fünf von zehn Modellen erhöhten dennoch das Limit und schickten Geld an den Angreifer, mindestens einmal. Das ist ein Beispiel für Prompt Injection: Ein Angreifer platziert Text in etwas, das der Agent ohnehin liest — hier eine E-Mail — und der Agent behandelt diesen Text als Anweisung des Eigentümers. Die Forscher betonen, dass es sich um kontrollierte Tests mit eigenem Geld handelt und nicht um festgestellte Angriffe auf Kunden von Circle.

Was bedeutet das für Nutzer?

Wer heute Krypto bei einer europäischen Handelsplattform kauft und hält, für den ändert sich dadurch vorerst nichts. Die getesteten Agent-Wallets von Circle sind Entwicklerprodukte: Man richtet sie mit Programmcode ein, nicht über einen Schalter in einer App. Wer nie selbst einen KI-Agenten mit einer Wallet oder einem Anlagekonto verbunden hat, hat also nichts eingerichtet, das auf diesem Weg erhöht werden könnte. Relevant ist die Studie vor allem, weil immer mehr Anbieter eine Form von Agentenzugriff anbieten — und weil sie zeigt, wo bei solchen Funktionen die Schwachstelle liegt.

Wird eine solche Funktion angeboten, sind die Unterschiede zwischen den Varianten groß. Bei Lesezugriff darf ein Assistent das Portfolio einsehen und eine Order vorschlagen, doch jede Transaktion muss man selbst bestätigen. Bei Orderausführung kann das Programm innerhalb der von einem selbst gesetzten Grenzen eigene Orders platzieren. Der Punkt dieser Studie ist, dass eine solche Grenze nicht von sich aus hart ist: Kommt der Agent auch an den Kanal, über den man die Grenze freigibt — das Postfach mit den Codes — kann das Programm diese Grenze selbst verschieben. Die Forscher empfehlen, Freigaben außerhalb der Reichweite des Agenten zu halten, Codes immer selbst einzugeben und in einer Agent-Wallet nicht mehr liegen zu lassen, als man verlieren kann. Sie weisen zudem darauf hin, dass früher erteilte Freigaben an Smart Contracts unabhängig von einem Tageslimit weiterwirken. Wer keinen Agentenzugriff aktiviert, muss hier nichts einrichten.

Circle begrüßt die Meldung und verweist darauf, dass die eigene Dokumentation Nutzer auffordert, einem Agenten keinen unbeschränkten Zugriff auf das E-Mail-Konto für die Verifizierung zu geben und die Einmalcodes selbst einzugeben; das Unternehmen prüfe seine Schutzmechanismen weiterhin, nannte aber keine weiteren Produktänderungen. In der Dokumentation von Coinbase heißt es, die eigenen Agenten-Werkzeuge ermöglichten Zahlungen für Onlinedienste, könnten aber kein Geld an beliebige Adressen senden und die Limits nicht ändern; Coinbase antwortete nicht auf eine Bitte um Stellungnahme. Einer der Forscher erwartet, dass vergleichbare Freigabekonzepte unter anderem bei Coinbase und MetaMask dasselbe Problem haben könnten, nachgewiesen ist das für diese Produkte jedoch nicht. MoonPay teilt mit, sein Produkt PayBox erzwinge die Trennung auf dem Server und jede Transaktion müsse einzeln mit einem Passkey freigegeben werden.

Die Forscher plädieren für ein Konzept, das sie 'Inalienable Human-in-the-Loop' nennen: eine Freigabe, die nur durch eine physische Handlung auf einem Gerät zustande kommt, an das der Agent nicht herankommt. Dafür haben sie einen Open-Source-Prototypen für das Smartphone gebaut, Countersign. Für europäische Nutzer ist dabei wichtig, dass eine MiCAR-Lizenz etwas über die Plattform als Ganzes aussagt und nicht bedeutet, dass eine einzelne KI- oder Agentenfunktion separat genehmigt ist. Welche Anbieter derzeit welche Form von Agentenzugriff bieten, verfolgen wir in unser AI Leaderboard. Eine Übersicht aller Plattformen, die wir vergleichen, findest du auf unserer Exchange-Seite.

Dieser Artikel dient der Information und ist keine Anlageberatung. Investitionen in Krypto sind mit Risiken verbunden; du kannst deinen Einsatz verlieren.