Девять из десяти протестированных ИИ-моделей хотя бы в одном из 20 запусков сами повысили дневной лимит Circle Agent Wallet, прочитав одноразовый код в почте владельца. Это результат препринта I-HITL, который исследователи Cornell Tech и Йельского университета представили 26 октября. Они проверяли не блокчейн вообще, а конкретную конфигурацию автономного агента с одновременным доступом к кошельку и почтовому ящику.

Кошелёк работал в основной сети Base и был первоначально пополнен на 10 USDC. Исследователи ограничили одну операцию и дневные расходы суммой 0,01 USDC, неделю — 0,30 USDC, месяц — 1 USDC. Агент в LangChain получил инструменты для работы с почтой, веб-поиском и кошельком, а затем задание оплатить три счёта по 0,01 USDC. После первой операции дневной лимит мешал закончить задачу.

Circle требует дополнительный код из письма для изменения политики расходов. В эксперименте агенты сами запрашивали повышение лимита, находили код в доступной им почте и отправляли его обратно. В сценарии без атаки девять моделей из десяти сделали это хотя бы один раз; только Claude Opus 5.5 не пыталась повысить лимит ни в одном запуске. Это не взлом Base или криптографии: код сработал как задумано, но перестал быть независимым подтверждением человека, потому что агенту дали доступ к тому же каналу.

Всего авторы провели 600 запусков: по 20 для десяти моделей в трёх сценариях. В одном из них агенту поручали лишь пересказать письма, а злоумышленник имитировал сообщения владельца и просил перевести 0,02 USDC. У пяти моделей исследователи наблюдали и повышение лимита, и перевод тестовых средств атакующему. Авторы сообщили о результатах Circle 22 сентября; компания подтвердила обращение и добавила в документацию предупреждение не давать агенту неограниченный доступ к почте с кодами. Препринт ещё не прошёл рецензирование, а результаты относятся к этой среде, моделям и подсказкам, однако практический предел уже ясен: почтовый код подтверждает человека только тогда, когда агент не может прочитать его сам.