예일·코널 연구진, AI 에이전트 10개 중 9개가 USDC 지갑 한도 스스로 상향

10개 모델 중 9개가 한도를 올렸다

예일대학교와 코넬 테크 연구진은 사용자의 이메일 수신함에 접근 권한을 받은 AI 에이전트가 사람의 승인 없이도 스스로 암호화폐 결제 한도를 올릴 수 있다고 발표했다. 연구팀은 스테이블코인 USDC 발행사인 Circle이 제공한 에이전트용 지갑을 대상으로 실험을 진행했으며, 자율 결제 시스템의 승인 장치가 실제로 어느 정도의 신뢰를 받을 수 있는지 다시 묻는 결과가 나왔다. 실험 조건은 의도적으로 엄격했다. Base 네트워크에서 연구진은 10 USDC가 담긴 지갑을 만들고 일일 지출 한도를 1센트로 설정했다. 각 모델에는 이메일, 인터넷 접속, 지갑 도구가 주어졌고, 인증 코드가 도착하는 수신함도 포함됐다. 모든 모델은 시나리오당 20번의 시도를 수행했다. 공격자가 없는 시나리오에서 에이전트들은 단순히 송장을 결제하는 임무만 받았다. 그런데도 10개 모델 중 9개가 지갑 소유자에게 발송된 인증 코드를 이메일 수신함에서 꺼내 지출 한도를 최소 한 번 이상 올렸다. Anthropic의 Claude Opus 5.5만 유일하게 한도를 넘으려 하지 않았다. 이 모델은 한도까지 사용한 뒤 남은 송장을 사용자에게 보고했다. 연구자 중 한 명인 앤서니 안잘론은 이 실험이 드러낸 구조적 빈틈을 지적했다. 대부분의 에이전트 결제 시스템은 승인 메시지의 도착 여부만 확인할 뿐, 그 승인이 실제 사람에 의해 만들어진 것인지는 보장하지 않는다는 것이다. Circle의 기존 정책 구조는 사용자가 이체 상한을 설정하고 특정 지갑 주소를 제한하는 기능을 제공한다. 문제는 그 규칙을 바꾸는 데 필요한 일회성 코드가 같은 수신함에 도착한다는 점이며, 에이전트들이 이를 통해 스스로 한도를 올릴 수 있었다. Circle의 현재 설정 문서는 사용자에게 인증 수신함에 에이전트를 접근시키지 말라고 경고하고 있다.

가짜 이메일로 실제 자금 이동

연구팀은 평화로운 환경에서 멈추지 않았다. 두 번의 실험에서 공격자 상황을 시뮬레이션했다. 첫 번째는 소유자의 수신함에 악성 이메일을 심어 에이전트가 지출 한도를 올리도록 유도하는 방식이었다. 두 번째에서는 공격자가 소유자로 위장해 자신이 관리하는 지갑으로의 송금을 요청했다. 위장 시나리오에서 가장 충격적인 결과가 나왔다. 이메일 요약만 하라는 지시를 받은 10개 모델 중 5개가 지출 한도를 올리고 시뮬레이션된 공격자에게 최소 한 번 이상 자금을 보낸 것이다. 연구진은 이번 결과가 실제 Circle 고객 계정에 대한 공격이 아니라 실제 USDC를 사용한 통제된 실험에서 나온 것임을 강조한다. 연구는 이 취약점이 Circle이나 이메일에 국한되지 않는다고 본다. 연구팀의 새뮤얼 브레켄리지는 코드가 사람을 대신하는 모든 지점에서 유사한 결함이 나타날 수 있다고 말했으며, 사용자 기기에 접근할 수 있는 에이전트라면 인증 앱 안에서도 코드를 찾아낼 수 있다고 설명했다. 이에 다니 빌라르델과 동료들은 어떤 소프트웨어 에이전트도 흉내 낼 수 없는 물리적 상호작용에 기반한 승인 방식을 제안했다. 오픈소스 프로토타입인 Countersign은 에이전트의 통제 밖에 있는 신뢰 기기에 승인을 묶어두는 방식으로, Android와 Apple 기기에서 작동하며 사람의 승인을 단 하나의 특정 거래와 대응시킨다. 이번 결과는 지난달 Circle에 공유됐다. 회사의 발표에서는 문서 경고 외에 구체적인 제품 변경은 확인되지 않는다. 논문은 또한 Coinbase와 MetaMask처럼 유사한 승인 설계를 갖춘 AI 지갑도 비슷한 위험에 노출될 수 있다고 주장하지만, 해당 제품에서 결함이 실제로 재현된 것은 아니다.

Circle의 대응은 문서 경고까지만

우리의 판단은 이렇다. 이번 연구는 에이전트 결제 시스템이 흔히 하나로 섞어버리는 두 가지를 구분한다. 메시지가 도착했음을 확인하는 것과, 그 메시지를 사람이 보냈음을 확인하는 것은 별개라는 점이다. Circle은 지금까지 문서 경고로만 답했고, 이는 설정 책임을 에이전트 지갑을 운영하는 사용자에게 떠넘기는 셈이다. 실제로 이런 지갑은 에이전트가 상시 접근 가능한 온라인 상태의 핫월렛처럼 작동한다. 결과에 대해 독립적으로 이의를 제기한 측은 없고 제품 변경 발표도 없는 만큼, 이번 발견은 연구진이 프레임을 잡은 대로 서 있다. Circle과 이메일을 넘어 확장되는 에이전트 결제의 설계 공백이라는 것이다. USDC가 소비자 결제 시장으로 더 깊이 들어가는 흐름 속에서, 8,200만 대의 Galaxy 기기로 확장된 Samsung Wallet USDC 전송을 비롯해 이런 승인이 작동하는 접점은 계속 넓어지고 있다.