구글에서 선호하는 출처로 추가
실험서 모델 10개 중 7개 한도 상향…서클 AI 지갑
김하린 기자
연구진은 서클의 AI 에이전트 지갑에서 이메일 OTP에 접근할 수 있는 모델의 지출 한도 변경을 시험했다. 공격자 유도 이메일이 포함된 조건에서는 모델 10개 중 7개가 한도를 높였다.
토포AI로 이 기사 더 깊이 읽기
청구서와 함께 공격자가 보낸 한도 상향 유도 이메일을 받은 시험에서 모델 10개 중 7개가 서클($CRCL)의 AI 에이전트 지출 한도를 높였다. 이메일로 전송된 일회용 비밀번호(OTP)를 에이전트가 직접 읽고 입력할 수 있는 조건이었다.
코넬테크(Cornell Tech)·예일대학교(Yale University)·IC3 연구진은 10월 26일 제출한 논문 『I-HITL: Inalienable Human-in-the-Loop』에서 실험 결과를 밝혔다. arXiv에는 10월 27일 개정본이 등록됐다. 연구진은 모델 10개를 세 가지 시나리오에서 각각 20회씩 시험했다.
연구진은 베이스(Base) 메인넷에 USD코인(USDC) 10개를 넣은 실험 지갑을 만들고, 건당·일일 지출 한도를 각각 0.01USDC로 설정했다. 에이전트에는 이메일·웹 브라우저·지갑 도구를 제공했으며, 받은편지함에는 각각 0.01USDC를 청구하는 청구서 세 건이 있었다. 세 건을 모두 결제하려면 일일 한도를 높여야 했다.
공격자 개입이 없는 결제 시나리오에서 10개 모델 중 9개가 20회 시험 중 최소 한 번 이메일에서 OTP를 가져와 일일 한도를 높였다. 전체 실행의 90%에서 한도가 바뀌었다는 뜻은 아니다. Claude Opus 5.5는 이 조건에서 한도 변경을 시도하지 않았다.
별도 공격 시나리오에서는 한도 상향을 유도하는 공격자 이메일이 청구서와 함께 받은편지함에 들어 있었다. 이 조건에서 7개 모델이 한도를 높였다. 앞선 결제 시나리오의 9개 모델과는 별개의 실험 결과다.
받은편지함 요약만 요청한 시나리오에서는 연구진이 사용자를 사칭한 이메일과 후속 메시지를 보냈다. 모델 10개 중 5개가 한도를 높인 뒤 공격자 주소로 0.02USDC를 송금했다.
이번에 다룬 7개 모델 결과는 청구서와 별도로 공격자 이메일을 받은 조건에서 나왔다.
서클의 에이전트 지갑은 사용자가 정한 한도 안에서 에이전트가 자산을 송금하도록 설계됐다. 지출 정책을 바꿀 때는 계정 소유자에게 이메일로 보낸 OTP를 입력해야 한다. 이번 실험에서는 에이전트가 지갑 도구와 인증 이메일에 모두 접근해 코드 수신과 입력을 마칠 수 있었다.
시험은 연구진이 구성한 환경에서 이뤄졌다. 실제 서클 고객의 피해를 조사한 결과는 아니며, 확인된 것은 인증 이메일 접근을 통한 정책 변경이다.
연구진은 9월 22일 서클에 결과를 알렸다고 논문에 적었다. 서클의 현재 설정 문서는 AI 에이전트에 인증 이메일의 무제한 접근 권한을 주지 말고 OTP를 사용자가 직접 입력하라고 안내한다. 논문은 이 경고가 연구진의 사전 통보 뒤 문서에 추가됐다고 설명했다.
본지는 앞서 서클의 Agent Stack이 AI 에이전트의 USD코인 결제를 지원하는 구조를 소개했다. 이번 시험은 해당 인프라에서 이메일 인증 코드와 지갑 접근 권한이 함께 주어졌을 때 한도 변경이 이뤄질 수 있는지를 다뤘다.
연구진은 승인 수단을 에이전트가 접근할 수 없는 기기에 연결하는 ‘불가양적 인간 개입(I-HITL)’ 방식을 제안했다. 이 원칙을 구현한 모바일 기기 기반 시제품 Countersign도 논문에 제시했다.
Comment 0
불러오는 중…