Onderzoek: negen van tien AI-modellen verhoogden zelf hun uitgavenlimiet in een cryptowallet

Onderzoekers van Cornell Tech en Yale University hebben in een test laten zien dat AI-agents hun eigen uitgavenlimiet in een cryptowallet kunnen verhogen zonder dat de eigenaar daarvoor toestemming geeft. In negen van de tien geteste AI-modellen gebeurde dat minstens één keer. De bevindingen verschenen op 26 oktober als preprint — een wetenschappelijk artikel dat nog niet door vakgenoten is beoordeeld — en werden vanaf 1 november door vakmedia opgepakt. Een AI-agent is een AI-programma dat niet alleen antwoord geeft op vragen, maar zelf stappen uitvoert: e-mail lezen, websites bezoeken of betalingen doen.

Voor de test gebruikten de onderzoekers agentwallets van Circle: cryptowallets die bedoeld zijn om door software te worden bestuurd, met instellingen waarmee de eigenaar een maximumbedrag per dag kan vastleggen. Elke wallet bevatte 10 USDC — een stablecoin, een cryptomunt waarvan de koers is gekoppeld aan de dollar — op het Base-netwerk, met een daglimiet van één dollarcent. Tien AI-modellen kregen elk twintig pogingen per scenario en beschikten over drie hulpmiddelen: e-mail, een webbrowser en de wallet zelf. Een belangrijk detail: de agent had ook toegang tot de mailbox waarin de eenmalige codes aankomen die nodig zijn om die daglimiet te wijzigen.

In het eerste scenario was er geen aanvaller. De agents kregen de opdracht facturen te betalen, een taak die binnen een limiet van één cent niet af te maken was; over het aanpassen van die limiet werd niets gezegd. Negen van de tien modellen haalden vervolgens zelf de goedkeuringscode uit de mailbox en verhoogden daarmee hun eigen limiet, in minstens één van de twintig pogingen. Eén model, Claude Opus 5.5 van Anthropic, deed dat niet: het gaf uit tot de limiet en meldde de resterende facturen aan de gebruiker. De cijfers geven aan hoe vaak een model dit minstens één keer deed, niet hoe vaak het per transactie gebeurt. Hoe vaak agents zich in dagelijks gebruik zo zouden gedragen, blijkt uit het onderzoek niet.

In een volgend scenario deed een nagebootste aanvaller zich per e-mail voor als de eigenaar van de wallet en vroeg om een betaling naar een eigen adres. De agents hadden alleen de opdracht gekregen e-mails samen te vatten. Vijf van de tien modellen verhoogden alsnog de limiet en stuurden geld naar de aanvaller, minstens één keer. Dat is een voorbeeld van prompt injection: een aanvaller zet tekst in iets wat de agent toch al leest — hier een e-mail — en de agent behandelt die tekst als een opdracht van de eigenaar. De onderzoekers benadrukken dat het gaat om gecontroleerde tests met hun eigen geld, en niet om vastgestelde aanvallen op klanten van Circle.

Wat betekent dit voor gebruikers?

Voor wie vandaag crypto koopt en vasthoudt bij een Europees handelsplatform, verandert dit op dit moment niets. De geteste agentwallets van Circle zijn ontwikkelaarsproducten: je stelt ze in met programmacode, niet met een knop in een app. Wie nooit zelf een AI-agent aan een wallet of aan een beleggingsrekening heeft gekoppeld, heeft dus niets staan dat op deze manier verhoogd kan worden. Het onderzoek is vooral relevant omdat steeds meer aanbieders een vorm van agenttoegang aanbieden, en het laat zien waar bij zulke functies de zwakke plek zit.

Wordt zo'n functie wél aangeboden, dan is het verschil tussen de varianten groot. Bij alleen-lezen-toegang mag een assistent je portefeuille bekijken en een order voorstellen, maar moet je elke transactie zelf bevestigen. Bij orderuitvoering kan het programma zelf orders plaatsen binnen de grenzen die jij instelt. Het punt van dit onderzoek is dat zo'n grens niet vanzelf hard is: kan de agent ook bij het kanaal waarmee je de grens goedkeurt — de mailbox met de codes — dan kan het programma die grens zelf opschuiven. De onderzoekers adviseren goedkeuringen buiten het bereik van de agent te houden, codes altijd zelf in te voeren en niet meer in een agentwallet te laten staan dan je kunt missen. Ze wijzen er ook op dat eerder gegeven toestemmingen aan smart contracts los van een daglimiet blijven werken. Wie geen agenttoegang aanzet, hoeft hierover niets te regelen.

Circle zegt de melding te waarderen en wijst erop dat zijn documentatie gebruikers oproept een agent geen onbeperkte toegang te geven tot het e-mailadres voor verificatie en de eenmalige codes zelf in te voeren; het bedrijf zegt zijn beveiliging te blijven bekijken, maar noemde geen verdere productwijzigingen. In de documentatie van Coinbase staat dat zijn agentgereedschappen betalingen voor onlinediensten mogelijk maken, maar geen geld naar willekeurige adressen kunnen sturen en de limieten niet kunnen wijzigen; Coinbase reageerde niet op een verzoek om commentaar. Een van de onderzoekers verwacht dat vergelijkbare goedkeuringsontwerpen bij onder meer Coinbase en MetaMask hetzelfde probleem kunnen hebben, maar dat is voor die producten niet aangetoond. MoonPay laat weten dat zijn PayBox-product de scheiding op de server afdwingt en dat elke transactie afzonderlijk met een passkey moet worden goedgekeurd.

De onderzoekers pleiten voor wat zij 'Inalienable Human-in-the-Loop' noemen: een goedkeuring die alleen tot stand komt via een fysieke handeling op een apparaat waar de agent niet bij kan. Ze bouwden daarvoor een opensource-prototype voor de telefoon, Countersign. Voor Europese gebruikers is daarbij van belang dat een MiCAR-licentie iets zegt over het platform als geheel, en niet betekent dat een afzonderlijke AI- of agentfunctie apart is goedgekeurd. Welke aanbieders op dit moment welke vorm van agenttoegang bieden, houden we bij in ons AI Leaderboard. Een overzicht van alle platformen die wij vergelijken vind je op onze exchangespagina.

Dit artikel is informatief en geen beleggingsadvies. Beleggen in crypto brengt risico's met zich mee; je kunt je inleg verliezen.