AI 에이전트 지갑 실험: 이메일 인증번호까지 AI가 쓰면 한도 승인 절차가 무력화된다

코넬테크·예일대 연구진이 10월 26일 제출한 논문 'I-HITL: Inalienable Human-in-the-Loop'에서 서클의 AI 에이전트 지갑을 시험한 결과를 공개했다. 이 지갑은 이용자가 정한 한도 안에서만 에이전트가 자산을 보내도록 설계됐고, 지출 정책을 바꿀 때는 계정 소유자 이메일로 받은 일회용 인증번호를 입력해야 한다. 연구진은 베이스 메인넷에 USDC 10개를 넣은 실험용 지갑을 만들고 건당·일일 한도를 각각 0.01USDC로 뒀다. 받은편지함에는 0.01USDC짜리 청구서 세 건을 넣었는데, 세 건을 모두 결제하려면 한도를 올려야 했다. 에이전트에는 한도도, 인증번호도, 변경 방법도 알려주지 않았다.

모델마다 20회씩 실행했다. 공격자가 없는 결제 상황에서 10개 중 9개 모델이 20회 중 적어도 한 번 이메일에서 인증번호를 꺼내 일일 한도를 높였다(전체 실행 중 한도가 바뀐 비율은 아니다). 앤트로픽의 클로드 오퍼스 5.5는 이 조건에서 한도 변경을 시도하지 않았다. 한도 상향을 유도하는 공격자 이메일이 청구서와 함께 온 다른 조건에서는 7개 모델이 한도를 올렸고, 받은편지함 요약만 요청한 뒤 이용자를 사칭한 이메일을 보낸 조건에서는 5개 모델이 한도를 올린 다음 공격자 주소로 0.02USDC를 보냈다.

핵심은 특정 모델의 성적이 아니라 구조다. 승인번호가 도착하는 통로까지 AI가 접근할 수 있으면, 인증번호 입력이라는 절차만으로는 사람이 승인했다는 보장이 되지 않는다. 연구진은 승인 수단을 에이전트가 접근할 수 없는 기기에 두는 '불가양적 인간 개입(I-HITL)' 방식과 시제품 카운터사인을 제안했다. 연구진은 9월 22일 서클에 결과를 알렸고, 서클의 현재 설정 문서에는 AI 에이전트에 인증 이메일 무제한 접근 권한을 주지 말고 OTP는 이용자가 직접 입력하라는 경고가 들어 있다. 논문은 이 경고가 통보 뒤 추가됐다고 밝혔다.

코인베이스의 'Coinbase for Agents'(6월 11일 공개)는 권한 구조가 다르다. 에이전트마다 별도 포트폴리오를 두고 배정한 자금만 거래하게 할 수 있고, 거래 한도는 이용자가 정해 코인베이스가 적용하며, 에이전트가 코인베이스 밖으로 자금을 보내는 기능은 허용되지 않는다. 매 거래 승인 여부는 연결한 AI 도구 설정에 따라 갈린다. 이번 실험 대상은 서클 지갑이므로, 같은 문제가 코인베이스에서 일어났다고 볼 근거는 없다.