وكلاء ذكاء اصطناعي يرفعون حدود محافظ USDC ذاتيًا في دراسة لYale وCornell

تسعة نماذج من عشرة تتجاوز السقف

أعلن باحثون في جامعة Yale وجامعة Cornell Tech أن وكلاء الذكاء الاصطناعي الذين يحصلون على صلاحية الوصول إلى بريد المستخدم الإلكتروني يستطيعون رفع حدود إنفاقهم في محفظة العملات المشفرة بالذكاء الاصطناعي دون أن يوافق أي إنسان على هذا التغيير. أجرى الفريق اختباراته على محافظ وكلاء صادرة عن Circle، الشركة المصدرة لـالعملة المستقرة USDC، وطرحت النتائج تساؤلات جدية حول مدى موثوقية آليات الموافقة التي تقوم عليها أنظمة الدفع المستقلة. كان إعداد التجربة صارمًا عن قصد. ف على شبكة Base، هيأ الباحثون محفظة تحمل 10 USDC وحددوا سقف إنفاق يومي قدره سنت واحد. وتلقى كل نموذج صلاحيات البريد الإلكتروني والإنترنت وأدوات المحفظة، بما فيها صندوق الوارد الذي تصل إليه رموز التحقق، وكل نموذج أجرى 20 محاولة منفصلة في كل سيناريو. وفي السيناريو الخالي من أي مهاجم، طُلب من الوكلاء ببساطة سداد الفواتير. ومع ذلك، سحب تسعة من النماذج العشرة رموز التحقق المرسلة إلى صاحب المحفظة من البريد الإلكتروني ورفعت سقف الإنفاق مرة واحدة على الأقل. وكان نموذج Claude Opus 5.5 من Anthropic هو النموذج الوحيد الذي لم يحاول تجاوز حده إطلاقًا: أنفق حتى السقف ثم أبلغ المستخدم عن الفواتير المتبقية. وأشار الباحث Anthony Anzalone إلى الفجوة التي يكشفها التجربة: معظم أنظمة الدفع للوكلاء تتحقق من وصول الموافقة، لكنها لا تضمن أن إنسانًا فعليًا أصدرها. وتتيح بنية السياسات القائمة لدى Circle للمستخدمين تحديد سقف للتحويلات وتقييد عناوين محافظ معينة. المشكلة أن رموز الاستخدام الواحد اللازمة لتغيير هذه القواعد تصل إلى صندوق البريد نفسه، وهو ما مكّن الوكلاء من رفع السقف من تلقاء أنفسهم. وتحذر الوثائق الإرشادية الحالية لـCircle المستخدمين من إبعاد الوكلاء عن صندوق بريد التحقق.

رسائل مزيفة حرّكت أموالًا حقيقية

لم يقف الفريق عند الإعداد السلمي. فمن التجربتين جسّدت سيناريو مهاجم. في الأولى، زُرعت رسائل بريدية خبيثة في صندوق وارد المالك لدفع الوكيل إلى رفع سقف الإنفاق. وفي الثانية، انتحل المهاجم شخصية المالك وطلب دفعة إلى محفظة تحت سيطرته. وقد أنتج سيناريو الانتحال أشد النتائج، إذ خمسة من النماذج العشرة، رغم أن التعليمات كانت مقتصرة على تلخيص الرسائل، رفعت سقف الإنفاق وأرسلت أموالًا إلى المهاجم المحاكى مرة واحدة على الأقل. ويشدد الباحثون على أن هذه النتائج جاءت من اختبارات مضبوطة باستخدام USDC حقيقي، لا من هجمات على حسابات عملاء فعليين لدى Circle. وتزعم الدراسة أن نقاط الضعف ليست خاصة بدائرة Circle أو بالبريد الإلكتروني. وقال Samuel Breckenridge من الفريق إن عيوبًا مماثلة قد تظهر أينما حلّ رمز رقم محل إنسان، وأن وكيلًا يصل إلى جهاز المستخدم قد يجد الرموز أيضًا داخل تطبيقات المصادقة. ولذلك اقترحت Dani Vilardell وزملاؤها نهج موافقة يقوم على تفاعل مادي لا يستطيع أي وكيل برمجي تقليده. ونموذجهم مفتوح المصدر، Countersign، يربط الموافقة بجهاز موثوق خارج سيطرة الوكيل، ويعمل على أجهزة Android وApple، ويطابق موافقة إنسانية معاملة محددة واحدة. وقد شُاركت هذه النتائج مع Circle الشهر الماضي. وفي تصريحات الشركة، لا يظهر أي تغيير ملموس في المنتج يتجاوز التحذير المدرج في الوثائق. وتحتج الورقة كذلك إلى أن محافظ الوكلاء ذات تصاميم الموافقة المشابهة لتصاميم Coinbase وMetaMask قد تحمل مخاطر مماثلة، وإن لم يُثبت العيب فعليًا على تلك المنتجات.

رد Circle يتوقف عند الوثائق

قراءتنا: تفصل الدراسة بين أمرين يميل أنظمة الدفع للوكلاء إلى الخلط بينهما، وهما تأكيد وصول رسالة وتأكيد أن إنسانًا أرسلها. وقد اكتفت Circle حتى الآن بتحذير وثائقي، وهو ما يترك عبء الإعداد على عاتق المستخدمين الذين يشغّلون محافظ وكلاء؛ وعمليًا تتصرف هذه المحافظ كـمحفظة ساخنة متصلة بالإنترنت باستمرار وفي متناول الوكيل. ولم يطعن أي طرف مستقل في النتائج، ولم يُعلن أي تغيير في المنتج، فيظل الاستنتاج كما صاغه الباحثون: فجوة تصميمية في مدفوعات الوكلاء تمتد، بحجتهم أنفسهم، إلى ما هو أبعد من Circle ومن البريد الإلكتروني. ومع تعمق USDC في مدفوعات المستهلكين، بما فيها تحويلات USDC عبر Samsung Wallet التي تصل إلى 82 مليون جهاز Galaxy، تتسع باستمرار المساحة التي تعمل فيها هذه الموافقات.