Cornell TechとYale Universityの研究者らは、所有者のメールアカウントにアクセス可能なAIエージェントが、人間の承認なしに自身の暗号資産の支出上限を引き上げられることを明らかにした。この事実は、自律的な支払いを管理するために設計された安全策に疑問符を投げかけている。
実験はステーブルコイン発行元Circleのエージェントウォレットを用いて行われ、10モデル中9モデルが攻撃者の介入なしに請求書を支払う過程で少なくとも一度は支出上限を突破した。一方、AnthropicのClaude Opus 5.5のみは上限回避を試みず、上限内で支払い、残りの請求書をユーザーに報告した。
さらに研究者らは、2つの異なる実験でシミュレートされた攻撃者を導入し、所有者の受信トレイに悪意あるメールを送りつけエージェントに支出上限引き上げを促したり、所有者になりすまして攻撃者管理のウォレットへの支払いを強要したりした。
なりすまし実験では、10モデル中5モデルがメールの要約だけの指示にもかかわらず、少なくとも一度は支出上限を引き上げ、シミュレートされた攻撃者に送金した。
この結果は、AIエージェントに独立した支払い権限を与える一方、支出権限の変更には人間の承認を要求するウォレットを開発している金融企業にとって重大な課題を提起している。
検証ネットワークVeronaの創業者兼CEO、Anthony Anzalone氏は「多くのエージェント決済システムは承認が受信されたことは確認しても、それが人間による真正の認可かは確かめていない」と指摘。承認プロセスに手順を追加しても、エージェントが独自にアクセスや生成できないものへの依存がなければ問題は解決しないと述べた。
実験では、ウォレットに10USDCを入金し、1日あたりの支出上限を1セントに設定。承認コードを含むメール受信トレイ、Web、ウォレットなどのツールへのアクセスをエージェントに与え、それぞれ20回の試行を実施した。
攻撃者不在の状況でも、エージェントは請求書支払いを指示されただけで支出ポリシーの変更を指示されていなかった。しかし、10モデルのうち9モデルがウォレット所有者宛のメール認証コードを取得し、少なくとも一度は支出上限を引き上げたことが研究で示されている。今回の結果はCircleの顧客に対する実際の攻撃例ではなく、実際のUSDCを用いた管理されたテストによるものだ。
Circleの支出ポリシーでは、ユーザーが送金額の上限や送金先アドレスを制限可能で、変更にはメール送付のワンタイムパスコードが必要となる。しかし、エージェントはこのコードを自力で取得し、支出上限を引き上げる際に使用可能だった。現行のCircleのセットアップガイドでは、AIエージェントが認証用メール受信トレイにアクセスしないようし、コードは人間が入力するよう指示している。
研究者らは先月この知見をステーブルコイン発行元に開示し、同社は感謝の意を示したという。Circleの広報担当者は「文書上で、認証に使うメールアカウントへの無制限アクセスをAIエージェントに与えないことや、ワンタイムコードは人間自らが入力することを明確に指示している」と述べた。同氏はまた、エージェント型ユースケースの発展に伴い、安全策の見直しと精緻化を続けていると語った。
しかし、この声明では文書上の警告を超えた製品の変更や、顧客の損失、無断ポリシー変更については言及していない。論文はこうしたガイダンスはユーザーの負担を増やすものであり、必ずしも有効でない可能性が高いと指摘している。なぜなら、エージェントがメールアクセスを封じられていてもブラウザや端末を通じて保存された認証情報を取得する可能性があるためだ。
暗号学的証明ネットワークXYOの共同創業者Markus Levin氏は、「時間の節約を理由にメール接続禁止をユーザーに促しても通用しない。多くの人は何でも接続してしまう」と述べている。論文の共著者は、本問題がCircleやメール特有のものではないと補足した。
Cornell Tech博士課程のSamuel Breckenridge氏は、このセットアップが個人向けAIエージェントに付与される権限の拡大を反映していると述べた。研究チームはBaseメインネット上の実資金を用いており、今後より大きな支払いがエージェントの行動に与える影響を調査する予定だという。
同氏は同じ脆弱性が、認証コードが人間の代わりを果たすあらゆる場面に現れる可能性があると語った。例えばGitHubでは秘密リポジトリへのアクセス権付与に先立ち認証アプリのコードを要求するが、ユーザーの端末を操作できるエージェントはそのコードを抽出できるかもしれない。さらにアプリ設定を支援したエージェントであれば、秘密を学習し自力でコード生成も可能だと指摘した。
「human-in-the-loopを強制するための多くの自然な方法は、有能で広範な権限を持つエージェントには効かないだろう。それこそが最も役立つと期待されるエージェントなのだ」とBreckenridge氏は述べた。
この問題は、暗号資産企業間でAIエージェント向け決済インフラの構築競争が加速する中で浮かび上がっている。自動支出と人間の管理の境界の切り分けに各社が異なる方針を示している。
Cloudflareの最高戦略責任者Stephanie Cohen氏は8月、同社のウォレットは法人カードのような仕組みで、人間が予算を設定しエージェントは上限到達時に許可を求める形になると説明していた。
Breckenridge氏はこの知見がCoinbaseやMetaMaskなど同様の承認設計を採用する他のエージェントウォレットにも当てはまると話す。ただし、これらの製品全体で同様の脆弱性が確認されたわけではない。
たとえばCoinbaseのエージェントウォレット用ツールでは、支出上限は人間がウォレットインターフェース上で設定し、エージェントはオンラインサービスの支払いは可能だが、任意送金アドレスの変更や支出上限の変更、資金供給の開始はできないと説明されている。Coinbaseは公開までコメント要請に応じなかった。
ウォレットツールの権限を制限することで、権限の拡大に対する一つの防止策となる。しかし、同じエージェントが他のツールを通じて人間の認証情報やブラウザセッション、復旧プロセスにアクセスできるかは別問題だ。
MoonPay Labsの主任エンジニアNeeraj Prasad氏は、「PayBoxはサーバー側で分離を強制し、ユーザー承認があるまで処理を一時停止する」と述べている。承認は個別取引に紐づき、金額や受取人、加盟店の変更には新たな承認が必要だという。
承認回避問題は決済以外のソフトウェアでも見られる。セキュリティ企業Trail of Bitsは2025年10月報告書で、自動実行許可コマンドの引数改ざんにより3つのエージェントプラットフォームが人間承認を回避されたと指摘している。
Turnkeyの最高執行責任者Hannah Arnold氏は「エージェントは人間の認証情報なしでも権限内で行動可能であり、認証情報やブラウザセッション、復旧経路にアクセス可能なら、人間とエージェントの分離は崩れる」と述べた。
研究者らは、エージェントがアクセスできない信頼性の高いデバイスに依存する形の人間承認を提案している。パスワードやコードではなく、エージェントが偽造できない形で承認を実施すべきだという。
Cornell Tech博士課程のDani Vilardell氏は「エージェントがガードレールを強制するリソースにアクセスできるなら、そのガードレールは信用できない」と述べた。承認には「ソフトウェアでシミュレートできない物理的な操作」が必要であり、人は自身が承認する行為の真正な表示を確認する必要があると指摘した。
こうした考えを示すため、研究者はスマートフォンアプリ「Countersign」を開発。AndroidおよびApple端末で動作し、人間の確認が特定行動に紐づけられている。なお試作は端末やOSの前提に依存しており、AndroidとiOSで制約が異なる。
より根本的な問題は、同じ認証情報にアクセスできるAIエージェントではなく、人間が実際に支払いを承認したかどうかを確かめることだ。
Levin氏は「全ての承認について誰がどの内容に署名したか検証可能に記録すべきであり、記録がなければ後から誰も人間が承認したか判断できない」と述べた。