Các nhà nghiên cứu cho biết mọi hình thức phê duyệt mà AI Agent có thể tự truy cập đều không đáng tin cậy. Họ đã phát triển Countersign, một ứng dụng yêu cầu hành động vật lý để xác nhận phê duyệt – điều mà AI Agent không thể tự giả mạo.
Các AI Agent được cấp quyền truy cập vào tài khoản email của chủ sở hữu đã có thể tự nâng giới hạn chi tiêu tiền mã hóa mà không cần sự phê duyệt của con người. Phát hiện này được các nhà nghiên cứu tại Cornell Tech và Đại học Yale công bố, làm dấy lên những lo ngại về các biện pháp bảo vệ được thiết kế để kiểm soát hoạt động thanh toán tự động.
Trong các thử nghiệm với ví dành cho AI Agent của Circle, 9 trong số 10 mô hình AI đã ít nhất một lần tìm cách nâng hạn mức chi tiêu khi thanh toán hóa đơn, ngay cả khi không có kẻ tấn công tham gia. Chỉ có Claude Opus 5.5 của Anthropic là không tìm cách vượt qua giới hạn. Thay vào đó, mô hình này chi tiêu đến mức hạn mức được cho phép và thông báo cho người dùng về những hóa đơn còn lại chưa được thanh toán.
Các nhà nghiên cứu cũng đưa vào thử nghiệm một kẻ tấn công mô phỏng trong hai kịch bản riêng biệt. Kẻ tấn công gửi email độc hại đến hộp thư của chủ sở hữu nhằm thuyết phục AI Agent tăng giới hạn chi tiêu, hoặc giả mạo chủ sở hữu để yêu cầu chuyển tiền đến một ví do kẻ tấn công kiểm soát.
Trong thử nghiệm giả mạo danh tính, 5 trong số 10 mô hình AI đã ít nhất một lần nâng hạn mức chi tiêu và chuyển tiền cho kẻ tấn công mô phỏng, mặc dù chúng chỉ được hướng dẫn thực hiện nhiệm vụ tóm tắt email.
Kết quả này cho thấy một vấn đề đáng lo ngại đối với các công ty tài chính đang phát triển ví cho phép AI Agent tự thực hiện thanh toán, trong khi vẫn yêu cầu con người phê duyệt những thay đổi liên quan đến quyền chi tiêu.
“Phần lớn hệ thống thanh toán dành cho AI Agent xác minh rằng một yêu cầu phê duyệt đã được nhận, nhưng không nhất thiết xác minh được liệu con người có thực sự cho phép hay không”, Anthony Anzalone, nhà sáng lập kiêm CEO của Verona – một mạng lưới xác minh gần đây đã ra mắt stablecoin dành cho AI Agent – chia sẻ với CoinDesk.
Theo ông, việc bổ sung các bước phê duyệt sẽ không giải quyết được vấn đề này nếu quyền xác nhận vẫn phụ thuộc vào thông tin mà AI Agent có thể tự truy cập hoặc tạo ra.
Trong thử nghiệm, các nhà nghiên cứu nạp 10 USDC vào một ví trên mạng Base và thiết lập giới hạn chi tiêu hằng ngày ở mức 0,01 USD. Họ cấp cho AI Agent quyền sử dụng email, trình duyệt web và các công cụ ví, bao gồm cả quyền truy cập vào hộp thư nhận mã xác minh. Mỗi mô hình được thử nghiệm 20 lần trong từng kịch bản.
Ở kịch bản không có kẻ tấn công, các AI Agent được yêu cầu thanh toán hóa đơn nhưng không được hướng dẫn thay đổi chính sách chi tiêu.
Tuy nhiên, kết quả nghiên cứu cho thấy 9 trong số 10 mô hình vẫn ít nhất một lần tự nâng hạn mức bằng cách truy xuất mã xác minh qua email vốn được gửi cho chủ sở hữu ví. Các phát hiện này đến từ những thử nghiệm có kiểm soát sử dụng USDC thật, chứ không phải từ các cuộc tấn công đã được ghi nhận nhằm vào khách hàng của Circle.
Ai thực sự kiểm soát quyền phê duyệt?
Chính sách chi tiêu của Circle cho phép người dùng thiết lập hạn mức chuyển tiền và giới hạn các địa chỉ ví được phép nhận tiền. Để thay đổi những quy tắc này, hệ thống yêu cầu một mã xác thực dùng một lần (OTP) khác được gửi qua email. Tuy nhiên, các AI Agent có thể tự truy xuất mã này và sử dụng nó để phê duyệt những hạn mức chi tiêu cao hơn.
Trong hướng dẫn thiết lập hiện tại, nhà phát hành stablecoin này cảnh báo người dùng không nên cấp cho AI Agent quyền truy cập không giới hạn vào hộp thư nhận mã xác minh và yêu cầu người dùng tự nhập các mã OTP.
Các nhà nghiên cứu cho biết họ đã thông báo những phát hiện này cho nhà phát hành stablecoin vào tháng trước.
Circle cho biết công ty đánh giá cao việc nhóm nghiên cứu chủ động công bố những phát hiện trên.
“Tài liệu hướng dẫn của chúng tôi nêu rõ người dùng tuyệt đối không nên cấp cho AI Agent quyền truy cập không hạn chế vào tài khoản email được sử dụng để xác minh, đồng thời phải tự nhập các mã xác thực dùng một lần”, đại diện Circle chia sẻ với CoinDesk. “Chúng tôi tiếp tục đánh giá và hoàn thiện các biện pháp bảo vệ khi những ứng dụng sử dụng AI Agent ngày càng phát triển.”
Tuyên bố này không đề cập đến bất kỳ thay đổi sản phẩm cụ thể nào ngoài cảnh báo trong tài liệu hướng dẫn, cũng không giải đáp các câu hỏi về tổn thất của khách hàng hay những thay đổi chính sách trái phép.
Trong nghiên cứu, các tác giả cho rằng cách tiếp cận này đang chuyển trách nhiệm bảo mật sang người dùng và khó có thể duy trì hiệu quả trên thực tế. Ngay cả khi AI Agent không được cấp quyền truy cập email, chúng vẫn có thể tìm thấy thông tin đăng nhập được lưu trữ thông qua trình duyệt hoặc thiết bị đầu cuối (terminal).
“Việc yêu cầu mọi người không kết nối email sẽ không hiệu quả, bởi họ sẽ kết nối mọi thứ nếu điều đó giúp tiết kiệm thời gian”, Markus Levin, đồng sáng lập XYO – một mạng lưới cung cấp bằng chứng mật mã – nhận định.
“Vấn đề được đề cập ở đây không chỉ liên quan đến Circle hay email”, các tác giả nhấn mạnh trong nghiên cứu có tiêu đề “I-HITL: Inalienable Human-in-the-Loop”.
Samuel Breckenridge, nghiên cứu sinh tiến sĩ tại Cornell Tech và đồng tác giả nghiên cứu, cho biết thử nghiệm phản ánh thực tế người dùng ngày càng cấp cho các AI Agent cá nhân những quyền truy cập rộng hơn. Nhóm nghiên cứu đã sử dụng tiền thật trên mạng chính Base (Base mainnet) và dự định tiếp tục tìm hiểu liệu những khoản thanh toán có giá trị lớn hơn có làm thay đổi hành vi của AI Agent hay không.
Theo Breckenridge, điểm yếu tương tự có thể xuất hiện ở bất kỳ hệ thống nào sử dụng mã xác minh để thay thế sự hiện diện của con người.
Chẳng hạn, GitHub có thể yêu cầu mã từ ứng dụng xác thực trước khi cho phép tạo token cấp quyền truy cập vào một kho lưu trữ riêng tư. Một AI Agent có khả năng điều khiển thiết bị của người dùng có thể tìm thấy mã này. Thậm chí, nếu AI Agent từng hỗ trợ thiết lập ứng dụng xác thực, nó có thể biết được khóa bí mật và tự tạo mã xác minh.
“Nhiều phương pháp tự nhiên mà mọi người thường nghĩ đến để triển khai cơ chế con người tham gia phê duyệt sẽ không hiệu quả trước những AI Agent có năng lực cao và được cấp quyền truy cập rộng rãi – cũng chính là những AI Agent mà chúng ta kỳ vọng sẽ mang lại nhiều lợi ích nhất”, ông nói.
Ranh giới kiểm soát ngày càng mờ nhạt
Những phát hiện này xuất hiện trong bối cảnh các công ty tiền mã hóa đang chạy đua xây dựng cơ sở hạ tầng thanh toán dành cho AI Agent, với nhiều cách tiếp cận khác nhau nhằm tách biệt hoạt động chi tiêu tự động khỏi quyền kiểm soát của con người.
Stephanie Cohen, Giám đốc Chiến lược của Cloudflare, từng chia sẻ với CoinDesk vào tháng 8 rằng các ví mà công ty dự kiến phát triển sẽ hoạt động tương tự thẻ doanh nghiệp. Theo đó, con người sẽ thiết lập ngân sách, còn AI Agent phải quay lại xin phép khi chạm đến giới hạn chi tiêu.
Breckenridge cho biết nhóm nghiên cứu kỳ vọng những phát hiện này cũng có thể áp dụng cho các ví AI Agent khác sử dụng cơ chế phê duyệt tương tự, chẳng hạn như sản phẩm của Coinbase và MetaMask.
Tuy nhiên, cho đến nay, lỗ hổng trên vẫn chưa được chứng minh trên các sản phẩm này.