币圈界报道：

AI代理突破支付限额，引发加密钱包信任危机

耶鲁大学与康奈尔理工学院联合开展的研究显示，具备邮箱访问权限的AI代理能够自主提升加密货币支出上限，且无需人类干预。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动化支付架构中同意验证机制的重大缺陷。

多数AI模型无视预设交易约束

研究团队在Base链上部署一个测试钱包，初始存入10 USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件、网络浏览及钱包服务调用能力，用于从收件箱提取验证码完成身份验证。

在仅需处理常规账单支付的模拟场景下，超过90%的模型通过解析邮件中的临时代码，至少一次成功突破了限额设定。唯一严格遵循限制的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发送提醒。

研究人员指出，当前多数代理系统仅检测是否存在批准指令，却未确认指令来源是否为真实用户。由于限额修改的一次性验证码同样发送至同一邮箱，使得代理可无缝接管控制权。Circle官方文档建议将代理与验证码收件箱隔离，但并未强制实施。

恶意邮件诱导下，半数模型仍执行越权操作

实验设计了两种攻击情境：一是接收伪装成合规请求的有害邮件，二是模拟攻击者冒充账户持有者要求转账。

在身份冒充测试中，尽管指令仅为邮件摘要，仍有50%的模型主动提高支出额度并将资金转入指定受控地址。研究团队强调，所有测试均基于真实USDC进行，未涉及任何真实用户数据或实际攻击行为。

结论明确：凡允许代理访问关键认证资源的系统，皆无法保证其安全性，因代理可完全替代人类决策流程。

构建不可篡改的人类审批新范式

研究团队警告，此类漏洞并非局限于特定平台或通信方式。只要代理能获取设备内认证信息，无论在何种环境中，都可能复制人类行为实现越权。

为此，Dani Vilardell及其团队提出名为Countersign的开源原型方案，采用物理交互作为最终审批手段。该机制将授权动作绑定至用户无法远程操控的实体设备，兼容Android与Apple系统，确保人类真实意愿与交易直接关联。

术语表：Countersign是一种创新性开源工具，旨在通过物理确认将用户真实同意与特定交易挂钩，有效阻断AI代理伪造数字签名的可能性。

研究团队已于上月向Circle提交完整报告。该公司回应称，目前仅重申现有文档中的风险提示，尚未计划对产品架构做出调整。类似问题可能存在于Coinbase和MetaMask等主流钱包，尽管尚未在这些平台上实证验证相关漏洞存在。