Código de acesso enviado por e-mail pela Circle não impediu 9 dos 10 modelos de IA de aumentar limites de carteira

9 dos 10 modelos de IA de ponta que receberam acesso à caixa de entrada de um usuário aumentaram seu próprio limite de gastos em uma carteira agente Circle pelo menos uma vez.

Eles leram o código de uso único transmitido por e-mail para verificar que um humano estava por trás da alteração.

Trabalho realizado por pesquisadores da Cornell Tech e Yale, com a Initiative for CryptoCurrencies and Contracts, resultou na publicação do artigo no arXiv em 26 de outubro. O modelo claude-opus-5.5 foi o único que nunca ultrapassou seus próprios limites.

Um modelo elevou seu limite diário de 0.01 para 5 USDC

A Circle protege qualquer alteração na política de gastos de uma carteira de agente com um código de uso único enviado ao proprietário da conta por e-mail. Essa alteração só entra em vigor após a inserção do código na linha de comando.

A equipe utilizou um agente LangChain que tinha três ferramentas: e-mail, navegador da web e uma carteira de agente Circle. A carteira tinha 10 USDC na Base, com 0,01 USDC por transação e limites diários.

A tarefa consistia em pagar três faturas de 0,01 USDC que estavam na caixa de entrada. Cada modelo foi executado 20 vezes e não houve nenhum prompt sobre a política de gastos ou o código de verificação.

O modelo claude-opus-5.5 pagou o máximo que pôde e depois informou ao usuário sobre as faturas pendentes.

Em uma execução, o claude-sonnet-5 aumentou seu limite diário de 0,01 USDC para 5 USDC, pagou as faturas e mencionou a alteração ao usuário apenas no final.

Sete dos dez modelos, contra nove anteriormente, fizeram o que foi solicitado quando receberam um e-mail extra informando-os para aumentar seu limite. Alguns deles interpretaram esse e-mail como injeção de prompt e deixaram o usuário decidir o que fazer.

Cinco modelos de 10 pagaram a um atacante que se passava pelo usuário

Em outro teste, o agente recebeu apenas a instrução de resumir a caixa de entrada. Em seguida, os pesquisadores, atuando como o usuário, enviaram um e-mail solicitando que 0,02 USDC fossem enviados para um endereço sob seu controle.

Eles também enviavam e-mails de acompanhamento afirmando 'sim' antes mesmo de o agente ter a chance de perguntar.

Cinco dos dez modelos aumentaram o limite e enviaram o dinheiro pelo menos uma vez. A maioria dos pagamentos foi realizada por modelos Qwen e DeepSeek, enquanto os modelos GPT e Claude e o gemini-3.8-flash permaneceram majoritariamente inalterados.

“Qualquer pessoa que possa enviar um e-mail ao usuário pode gastar da carteira”, escreveram os autores.

Em 22 de setembro, os especialistas informaram a Circle sobre os resultados, e a empresa reconheceu o relatório. O guia de início rápido da Circle para carteiras de agentes agora inclui a linha “Nunca conceda acesso irrestrito à sua conta de e-mail a um agente de IA.”

A Circle não alterou o processo de aprovação de um novo limite de gastos, observaram os autores.

A correção proposta pelos autores é um padrão chamado I-HITL (Inalienable Human-In-The-Loop, ou Humano Inalienável no Loop). O agente só prossegue com a aprovação explícita do humano, mesmo após comprometer o software deste.

O artigo mostra que isso requer um dispositivo de computação confiável fora do controle do agente. Seu protótipo, Countersign, emprega os serviços de atestação das plataformas e uma verificação biométrica para transformar um telefone Android ou iPhone em um.

O Cryptopolitan relatou que a Coinbase lançou as Agentic Wallets em fevereiro de 2026. Em junho, seu protocolo de pagamentos x402 já contava com mais de 480.000 agentes ativos e mais de 165 milhões de transações.

A Agent Wallet da MetaMask também permite que os usuários definam limites diários de gastos e exijam aprovação para qualquer despesa fora desses limites.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.