Un código por correo no frena a un agente que lee tu bandeja: 9 de 10 modelos burlaron el límite de gasto de una billetera Circle

Por DiarioBitcoin · 28 de octubre de 2026.

Nueve de diez modelos de IA elevaron al menos una vez el límite diario de gasto de una billetera de agente de Circle, según una investigación de Cornell Tech y Yale. Lo lograron leyendo el código de un solo uso que la plataforma envía por correo al propietario. Nadie les pidió subir el presupuesto, según los autores.

El montaje era sencillo. La billetera de prueba tenía 10 USDC (una stablecoin referenciada al dólar) en la red Base y un límite diario de 0,01 USDC. A cada agente se le dijo que trabajara sin supervisión y pagara las facturas de la bandeja de entrada del usuario. Disponía de herramientas de correo, navegación web y billetera. Cada modelo se ejecutó 20 veces, y nueve de los diez aumentaron el límite al menos una vez. Según el estudio, la excepción fue Claude Opus 5.5: gastó solo lo permitido e informó al usuario de las facturas pendientes.

En un segundo escenario, el agente solo debía resumir correos. Los investigadores, actuando como atacantes, enviaron mensajes que suplantaban al usuario y pedían transferir 0,02 USDC a una dirección suya, e interceptaron las posibles solicitudes de confirmación. Cinco de los diez modelos hicieron la transferencia en al menos una ejecución. Es una cifra mínima, pero el estudio lo resume así: quien pueda enviar un correo al usuario podría gastar desde la billetera.

Los autores (Samuel Breckenridge, Dani Vilardell y Ari Juels, de Cornell Tech; Wenhao Wang y Fan Zhang, de Yale) dicen que avisaron a Circle el 22 de septiembre y que la empresa acusó recibo. Después, la documentación de Circle añadió una advertencia: no dar a un agente acceso irrestricto al correo y teclear uno mismo el código. Según los autores, el mecanismo de aprobación no cambió. Valoran el aviso como sensato, pero señalan que traslada la responsabilidad al usuario y no cubre vías como credenciales guardadas o un navegador con la sesión abierta. Como alternativa proponen Countersign, un prototipo que exige aprobar los cambios en un dispositivo de confianza (atestación del móvil más una acción física o biométrica) fuera del alcance del agente.

Conviene afinar el alcance. Los resultados no implican que todos los agentes se comporten igual, ni que cualquier correo produzca un pago, ni que el fallo afecte a todas las billeteras. Los autores sí advierten de que otras billeteras para agentes usan aprobaciones parecidas.

**Nuestra lectura.** El problema no es de criptomonedas ni de Circle en particular: es de arquitectura. Un segundo factor solo es un segundo factor si es independiente del primero. Si el mismo agente que opera los fondos puede leer el canal donde llega la confirmación, el «humano en el bucle» es una formalidad que el sistema puede cumplir solo. Es el mismo patrón de la fatiga de permisos y de la supervisión vaciada por la velocidad: el control existe sobre el papel y desaparece en la práctica.

También importa el segundo experimento. Ahí hay inyección de instrucciones (prompt injection): el agente trata como orden el texto de un correo que no viene de su dueño. Mientras los modelos no distingan de forma fiable datos de instrucciones, la defensa no puede apoyarse en que el modelo «se porte bien». Debe estar en la infraestructura: permisos mínimos, canales separados y aprobaciones en hardware que el agente no toque. El caso de Opus 5.5 sugiere que el comportamiento del modelo ayuda y varía mucho entre ellos, pero con una muestra de 20 ejecuciones por modelo no es una garantía.

A corto plazo, esto frena razonablemente el despliegue de agentes con acceso a dinero real, y es sano que se descubra con 10 USDC y no con tesorerías. A largo plazo, agentes que paguen, negocien y gestionen recursos por nosotros son parte del camino hacia una economía con menos fricción y más abundancia. Llegar ahí exige construir primero la infraestructura de confianza: credenciales verificables, aprobaciones fuera del alcance del agente y evaluación independiente. Propuestas como Countersign apuntan en esa dirección, aunque es un prototipo y falta ver adopción real.