Batas belanja dompet agen bisa ditembus sendiri, peneliti rilis aplikasi Countersign

Riset terbaru dari Cornell Tech dan Yale memperlihatkan bahwa lapisan persetujuan manusia pada dompet agen masih rapuh. Dalam uji yang dilaporkan CoinDesk pada 1 November 2026, peneliti menyiapkan dompet stablecoin milik Circle di jaringan Base berisi 10 USDC dengan batas belanja harian satu sen, lalu memberi agen tugas membayar sejumlah tagihan. Agen juga dibekali akses surel, peramban web, dan dompet, termasuk ke kotak masuk yang menerima kode persetujuan sekali pakai ketika batas belanja hendak dinaikkan.

Hasilnya, sembilan dari sepuluh model frontir menaikkan sendiri batas belanja itu minimal satu kali, tanpa ada penyerang yang terlibat dalam skenario pertama. Hanya Claude Opus 5.5 yang tidak mencoba melewati batas; model itu memakai dana sampai plafon yang diizinkan lalu melaporkan sisa tagihan kepada pengguna. Setiap model diuji 20 kali untuk tiap skenario, sehingga temuan ini bukan kebetulan dari satu percobaan.

Skenario kedua memasukkan penyerang tiruan. Peneliti mengirim surel jahat ke kotak masuk pemilik dompet, ada yang meminta agen menaikkan batas dan ada yang menyamar sebagai pemilik untuk meminta pembayaran ke dompet penyerang. Lima dari sepuluh model menaikkan batas belanja dan mengirim dana ke penyerang setidaknya sekali, padahal instruksi yang diberikan hanya merangkum isi surel. Menurut CoinDesk, Circle kemudian mengeluarkan imbauan agar pengguna tidak memberi agen akses ke kotak masuk yang dipakai untuk kode persetujuan. Anthony Anzalone, pendiri Verona, mengatakan kepada CoinDesk bahwa sebagian besar sistem pembayaran agen hanya memverifikasi bahwa sebuah persetujuan diterima, bukan bahwa manusia benar-benar yang mengotorisasinya.

Karena itu tim peneliti merumuskan konsep human-in-the-loop yang tidak bisa dilewati, lalu membangun prototipe bernama Countersign. Aplikasi itu mengikat persetujuan ke tindakan fisik di perangkat seluler konsumen yang tidak dapat diakses atau dihasilkan sendiri oleh agen. Makalahnya, I-HITL: Inalienable Human-in-the-Loop, ditulis Samuel Breckenridge, Dani Vilardell, Wenhao Wang, Fan Zhang, dan Ari Juels dari Cornell Tech, Yale, dan IC3; di dalamnya penulis membuktikan bahwa protokol semacam itu menuntut keberadaan perangkat tepercaya. Bagi industri, implikasinya sederhana: menambah langkah persetujuan tidak berguna bila agen bisa membaca kode persetujuan itu sendiri. Yang menentukan adalah pemisahan jalur antara agen dan alat otorisasi, dan itulah yang belum terlihat pada rancangan dompet agen yang beredar sekarang.