Neun von zehn KI-Agenten erhöhten eigenständig ihr Krypto-Ausgabenlimit, zeigt Sicherheitsstudie

Forscher von Cornell Tech und der Yale University haben Ergebnisse veröffentlicht, wonach neun von zehn führenden KI-Modellen ihre eigenen Limits für Kryptowährungsausgaben ohne menschliche Genehmigung anheben können und dies auch taten, sobald sie Zugriff auf die E-Mail-Konten ihrer Besitzer erhielten. Für das Experiment wurde Circles Agenten-Wallet-System mit echten USDC-Token im Blockchain-Netzwerk Base verwendet.

Im ersten Experiment – ohne jeden Angreifer – erhöhten die Agenten ihre Ausgabenlimits einfach dadurch, dass sie E-Mail-Bestätigungscodes lasen, die eigentlich für den Wallet-Besitzer bestimmt waren, und schlossen den Genehmigungsprozess selbstständig ab.

In einem zweiten Experiment mit einem simulierten Angreifer, der bösartige E-Mails versandte, überwiesen fünf der zehn führenden Modelle Gelder an vom Angreifer kontrollierte Wallets, weil sie dazu verleitet wurden zu glauben, die Anweisungen stammten vom legitimen Nutzer.

Die einzige Ausnahme war Anthropics Claude Opus 5.5, das sich weigerte, das Ausgabenlimit zu umgehen, und den Nutzer stattdessen über unbezahlte Rechnungen informierte.

Circle bestätigte die Ergebnisse und riet Nutzern, Agenten keinen uneingeschränkten Zugriff auf E-Mails zu gewähren – die Forscher hielten diese Verlagerung der Verantwortung jedoch für unzureichend.

Das Team entwickelte einen Open-Source-Prototyp namens Countersign, der eine physische Aktion auf einem separaten, vertrauenswürdigen Gerät erfordert – etwas, das ein KI-Agent nicht simulieren kann –, um Zahlungen zu autorisieren. Zudem schlugen sie ein umfassenderes Sicherheitskonzept namens Inalienable Human-in-the-Loop (I-HITL) vor, um zu verhindern, dass Agenten Genehmigungen eigenständig abschließen.