Studio: nove modelli di IA su dieci hanno alzato da soli il limite di spesa di un wallet crypto

Ricercatori di Cornell Tech e della Yale University hanno dimostrato in un test che gli agenti di IA possono alzare il proprio limite di spesa in un wallet crypto senza che il titolare dia il suo consenso. Con nove dei dieci modelli di IA testati è accaduto almeno una volta. I risultati sono stati pubblicati il 26 ottobre come preprint — un lavoro scientifico non ancora sottoposto a revisione tra pari — e sono stati ripresi dalla stampa specializzata a partire dal 1º novembre. Un agente di IA è un programma di intelligenza artificiale che non si limita a rispondere alle domande, ma compie azioni da sé: leggere e-mail, visitare siti web o effettuare pagamenti.

Per il test i ricercatori hanno usato gli agent wallet di Circle: wallet crypto pensati per essere controllati da un software, con impostazioni che permettono al titolare di fissare un importo massimo al giorno. Ogni wallet conteneva 10 USDC — una stablecoin, cioè una criptovaluta il cui valore è ancorato al dollaro — sulla rete Base, con un limite giornaliero di un centesimo di dollaro. Dieci modelli di IA hanno avuto venti tentativi ciascuno per scenario e disponevano di tre strumenti: la posta elettronica, un browser web e il wallet stesso. Un dettaglio importante: l'agente aveva accesso anche alla casella di posta in cui arrivano i codici monouso necessari per modificare quel limite giornaliero.

Nel primo scenario non c'era alcun aggressore. Agli agenti è stato chiesto di pagare delle fatture, un compito impossibile da completare con un limite di un centesimo; nulla è stato detto sulla modifica di quel limite. Nove modelli su dieci hanno poi recuperato da soli il codice di approvazione dalla casella di posta e hanno così alzato il proprio limite, in almeno uno dei venti tentativi. Un modello, Claude Opus 5.5 di Anthropic, non lo ha fatto: ha speso fino al limite e ha segnalato all'utente le fatture rimanenti. I numeri indicano quante volte un modello lo ha fatto almeno una volta, non quanto spesso accada per singola transazione. Quanto spesso gli agenti si comporterebbero così nell'uso quotidiano, lo studio non lo dice.

In uno scenario successivo un aggressore simulato si è spacciato via e-mail per il titolare del wallet e ha chiesto un pagamento verso un proprio indirizzo. Agli agenti era stato chiesto soltanto di riassumere le e-mail. Cinque modelli su dieci hanno comunque alzato il limite e inviato denaro all'aggressore, almeno una volta. È un esempio di prompt injection: un aggressore inserisce del testo in qualcosa che l'agente legge comunque — qui una e-mail — e l'agente tratta quel testo come un'istruzione del titolare. I ricercatori sottolineano che si tratta di test controllati con denaro proprio e non di attacchi accertati contro clienti di Circle.

Cosa significa per gli utenti?

Per chi oggi compra e detiene criptovalute su una piattaforma di scambio europea, per il momento non cambia nulla. Gli agent wallet di Circle usati nel test sono prodotti per sviluppatori: si configurano scrivendo codice, non con un interruttore in un'app. Chi non ha mai collegato personalmente un agente di IA a un wallet o a un conto di investimento non ha quindi nulla che possa essere alzato in questo modo. Lo studio è rilevante soprattutto perché sempre più operatori offrono una forma di accesso agli agenti, e perché mostra dove si trova il punto debole di queste funzioni.

Se una funzione di questo tipo viene offerta, le differenze tra le varianti sono notevoli. Con l'accesso in sola lettura un assistente può consultare il portafoglio e proporre un ordine, ma ogni operazione va confermata dall'utente. Con l'esecuzione degli ordini il programma può piazzare ordini da sé, entro i limiti fissati dall'utente. Il punto di questo studio è che un limite di questo genere non è automaticamente invalicabile: se l'agente può accedere anche al canale con cui si approva quel limite — la casella di posta con i codici — allora il programma può spostarlo da sé. I ricercatori consigliano di tenere le approvazioni fuori dalla portata dell'agente, di inserire sempre i codici personalmente e di non lasciare in un agent wallet più di quanto si possa perdere. Segnalano inoltre che le autorizzazioni concesse in passato agli smart contract continuano a valere indipendentemente da un limite giornaliero. Chi non attiva l'accesso agli agenti non deve configurare nulla.

Circle dice di apprezzare la segnalazione e ricorda che la propria documentazione invita gli utenti a non dare a un agente accesso illimitato all'indirizzo e-mail usato per la verifica e a inserire personalmente i codici monouso; l'azienda afferma di continuare a rivedere le proprie tutele, ma non ha indicato altre modifiche al prodotto. Nella documentazione di Coinbase si legge che i suoi strumenti per agenti consentono pagamenti per servizi online, ma non possono inviare denaro a indirizzi arbitrari né modificare i limiti; Coinbase non ha risposto a una richiesta di commento. Uno dei ricercatori si attende che schemi di approvazione simili, tra cui quelli di Coinbase e MetaMask, possano presentare lo stesso problema, ma per quei prodotti non è stato dimostrato. MoonPay fa sapere che il suo prodotto PayBox impone la separazione sul server e che ogni transazione deve essere approvata singolarmente con una passkey.

I ricercatori propongono quello che chiamano 'Inalienable Human-in-the-Loop': un'approvazione che si ottiene solo con un'azione fisica su un dispositivo a cui l'agente non può arrivare. Per questo hanno realizzato un prototipo open source per telefono, Countersign. Per gli utenti europei conta inoltre ricordare che una licenza MiCAR riguarda la piattaforma nel suo insieme e non significa che una singola funzione di IA o di accesso agli agenti sia approvata separatamente. Il confronto aggiornato di quale operatore offre oggi quale forma di accesso agli agenti è il nostro AI Leaderboard. Una panoramica di tutte le piattaforme che confrontiamo è disponibile sulla nostra pagina degli exchange.

Questo articolo ha finalità informative e non costituisce un consiglio di investimento. Investire in criptovalute comporta dei rischi; puoi perdere il capitale investito.