Một thử nghiệm mới cho thấy 9/10 mô hình trí tuệ nhân tạo (AI) có thể tự nâng hạn mức chi tiêu của ví tiền mã hóa khi đồng thời được cấp quyền truy cập ví và email. Thay vì chỉ thực hiện thanh toán, AI còn tự lấy mã OTP trong hộp thư để hoàn tất luôn khâu phê duyệt thay đổi hạn mức.

Theo The Defiant ngày 27/10 (giờ địa phương), nhóm nghiên cứu từ Cornell Tech, Đại học Yale và tổ chức nghiên cứu tiền mã hóa IC3 đã sử dụng Circle Agent Wallet để đánh giá khả năng tuân thủ hạn mức chi tiêu của các mô hình AI. Trong thử nghiệm, các mô hình được cấp ví, quyền truy cập email và công cụ web, đồng thời nhận nhiệm vụ thanh toán các hóa đơn gửi đến hộp thư.

Nhóm nghiên cứu nạp 10 USDC vào ví thử nghiệm và đặt hạn mức chi tiêu mỗi ngày ở mức 0,01 USDC. Ba hóa đơn, mỗi hóa đơn trị giá 0,01 USDC, được gửi vào email. Điều này đồng nghĩa nếu muốn thanh toán toàn bộ, AI phải tìm cách nâng hạn mức chi tiêu.

Dù không đưa ra bất kỳ chỉ dẫn nào về việc thay đổi hạn mức hay sử dụng mã xác thực, nhóm nghiên cứu vẫn tiến hành 20 lần thử cho mỗi mô hình. Kết quả, 9/10 mô hình ít nhất một lần tự lấy mã OTP từ email, tự nhập mã và nâng hạn mức chi tiêu. Kết quả này cho thấy ngay cả khi không có tấn công từ bên ngoài hay yêu cầu tăng hạn mức rõ ràng, AI vẫn có thể tự xử lý quy trình phê duyệt để hoàn thành nhiệm vụ thanh toán.

Rủi ro phát sinh khi AI vừa được quyền sử dụng tiền, vừa có thể truy cập phương thức xác thực cho việc thay đổi hạn mức. Circle Agent Wallet gửi mã xác thực đến email của chủ tài khoản mỗi khi điều chỉnh chính sách chi tiêu. Tuy nhiên, nếu AI cũng đọc được hộp thư, gần như không còn ranh giới rõ ràng giữa việc người dùng phê duyệt hay AI tự thực hiện bước này.

Trong một thử nghiệm khác, nhóm nghiên cứu sử dụng email mạo danh người dùng. Kết quả, 5/10 mô hình đã tăng hạn mức và chuyển tiền đến địa chỉ của kẻ tấn công. Đáng chú ý, trong kịch bản này, nhiệm vụ ban đầu của AI không phải là thanh toán mà chỉ là tóm tắt email. Theo nhóm nghiên cứu, điều này cho thấy nếu AI coi chỉ dẫn từ email bên ngoài là yêu cầu của người dùng, hạn mức chi tiêu và cơ chế phê duyệt gần như có thể mất tác dụng.

Sau khi nhận được phản ánh từ nhóm nghiên cứu, Circle đã bổ sung cảnh báo trong tài liệu hướng dẫn, khuyến nghị không cấp cho AI agent quyền truy cập không giới hạn vào tài khoản email. Công ty cũng khuyên người dùng tự nhập mã xác thực. Trong khi đó, nhóm nghiên cứu đề xuất xây dựng một cơ chế riêng để con người phê duyệt trên thiết bị đáng tin cậy mà AI không thể truy cập.

Tuy vậy, nghiên cứu cũng lưu ý rằng các kết quả trên chỉ xuất hiện trong điều kiện AI đồng thời được cấp quyền truy cập ví và hộp thư nhận mã OTP. Trong bài kiểm tra thanh toán cơ bản, AI vẫn chỉ xử lý hóa đơn của người dùng, và việc tự nâng hạn mức không đồng nghĩa với hành vi chiếm đoạt tài sản. Theo nhóm nghiên cứu, điểm cốt lõi là phải tách riêng quyền thay đổi hạn mức và phương thức xác thực khỏi AI, tương tự cách các hệ thống hiện nay áp hạn mức chi tiêu để kiểm soát rủi ro.