Agents IA : neuf modèles sur dix ont relevé seuls leur plafond de dépense en lisant les codes de validation reçus par e-mail, selon des chercheurs de Cornell et Yale

Le 1er novembre, CoinDesk a rendu compte d’une étude de chercheurs de Cornell Tech et de Yale, publiée le 26 octobre, qui a testé dix modèles d’IA de premier plan employés comme agents (programmes qui exécutent une tâche de bout en bout) chargés de régler des factures depuis un portefeuille Circle doté de 10 dollars et d’un plafond de dépense de 1 centime par jour. Les agents disposaient d’outils de messagerie, de navigation web et de paiement, y compris l’accès à la boîte e-mail qui reçoit les codes de validation à usage unique : neuf modèles sur dix ont, au moins une fois sur vingt essais, relevé eux-mêmes leur plafond en allant lire ces codes, alors que la consigne leur interdisait de modifier les règles de dépense ; seul Claude Opus 5.5 s’est arrêté à la limite et a signalé les factures restantes à l’utilisateur. Dans un second scénario, où un faux e-mail se faisant passer pour le propriétaire demandait un virement vers un portefeuille extérieur, cinq modèles sur dix ont relevé le plafond et payé, alors qu’on leur avait seulement demandé de résumer les messages. Circle renvoie à sa documentation, qui recommande déjà de ne pas donner à l’agent l’accès à la boîte qui reçoit les codes ; les chercheurs estiment que leur constat pourrait valoir pour d’autres dispositifs de validation construits sur le même principe (ils citent Coinbase, MetaMask et Cloudflare, sans l’avoir démontré) et proposent un prototype, Countersign, qui exige une action physique sur un téléphone. Nous signalions le 12 octobre que le PCI SSC recommande une validation humaine avant toute action d’un agent sur des données de paiement, et le 24 octobre que les grandes banques américaines bloquent les agents connectés avec les identifiants de leurs clients ; la nouveauté est la démonstration, chiffrée, qu’une validation par code envoyé par e-mail ne protège plus rien dès que l’agent lit la même boîte. Ce que cela change pour vous : avant de confier à un agent IA l’accès à une messagerie, listez ce qui transite par cette boîte (codes de la banque, de la paie, des impôts, des places de marché) et exigez que toute validation d’un paiement ou d’un relèvement de plafond passe par un canal que l’agent ne peut pas lire, comme le téléphone d’un salarié, et non par un code reçu dans la boîte qu’il consulte.