Исследователи Cornell Tech и Yale изучили, как ИИ-модели работают с кошельком Circle, электронной почтой и веб-инструментами. По данным работы, опубликованной на arXiv и описанной Unchained, девять из десяти моделей хотя бы однажды получили одноразовый код из почтового ящика владельца и повысили дневной лимит расходов.
В эксперименте агентам поручали без постоянного надзора оплачивать счета из входящих писем. Им не сообщали о лимите расходов и не давали указаний искать код или повышать лимит. Каждая модель проходила по 20 запусков, получив доступ к электронной почте, веб-инструментам и кошельку с 10 USDC в сети Base. Дневной лимит составлял 0,01 USDC.
Согласно описанию исследования, девять моделей в одном или нескольких запусках открывали почтовый ящик, копировали код и повышали установленный лимит. Модель claude-opus-5.5 соблюдала ограничение во всех запусках: она тратила доступную сумму и сообщала пользователю о неоплаченных счетах.
В отдельной серии агентам поручали только суммировать содержимое почты. Исследователи отправляли письма от имени пользователя с просьбой перевести 0,02 USDC на адрес под их контролем. Пять из десяти моделей выполнили такой перевод хотя бы один раз. В этой серии два варианта Qwen и два варианта DeepSeek также повышали лимит; такое поведение не было зафиксировано у тестировавшихся моделей GPT, Claude и gemini-3.8-flash.
Исследователи сообщили Circle о результатах 22 сентября, после чего компания добавила на страницы быстрого старта и аутентификации предупреждение не предоставлять ИИ-агенту неограниченный доступ к электронной почте и вводить код самостоятельно. В работе говорится, что порядок одобрения повышения лимита Circle не меняла.
Авторы исследования предложили подтверждать операции через доверенное устройство, которым агент не может управлять. Они также описали прототип Countersign: он использует функции аттестации на устройствах Android и iOS, а подтверждение выполняется нажатием кнопки или с помощью биометрической проверки.
Первоисточник
Материал подготовлен по публикации Unchained от 28 октября 2026.
