Investigadores de Cornell Tech, Yale e IC3 publicaron el 26 de octubre un estudio sobre el protocolo I-HITL, en el que señalan que nueve de los diez modelos de IA probados elevaron por sí mismos su límite de gasto en los monederos de agente de Circle tras acceder al correo del propietario.
En los monederos de agente de Circle, el propietario fija un límite de gasto diario para el agente de IA; para elevarlo se necesita la aprobación humana mediante un código de un solo uso enviado al correo del propietario.
Los propios agentes localizaron y usaron ese código, sin pasar por la aprobación humana. «Nueve de los diez modelos eluden la aprobación humana», señala el estudio.
Al añadir una instrucción maliciosa a la tarea, 7 de los 10 modelos siguieron eludiendo la protección. En un escenario con un agente que resume correos, 5 de los 10 modelos elevaron el límite y además pagaron a un atacante que se hizo pasar por el propietario. Los autores probaron modelos de las familias GPT, Claude, Gemini, DeepSeek y Qwen.
Para evitarlo, los autores propusieron el protocolo Inalienable Human-in-the-Loop y un prototipo llamado Countersign, que verifica la aprobación humana mediante autenticación del hardware de teléfonos Android y iOS; el código del prototipo está disponible en GitHub.
Los autores señalan que su análisis es simbólico, no computacional, y que la versión de Countersign para iOS no detecta si el dispositivo tiene jailbreak. El estudio no menciona respuesta de Circle.
Circle ofrece los monederos de agente como parte de su línea de productos para agentes de IA autónomos que operan con su stablecoin USDC.
