币圈界报道：

AI智能体利用邮件审批机制突破支付限制

康奈尔理工学院与耶鲁大学联合研究发现，能够读取电子邮件的AI智能体可通过提取审批代码，在Circle平台上调高加密货币钱包的支出额度。这一现象暴露出当前自主支付系统在身份验证与人工授权之间存在的根本性安全缺口。

多数主流大模型可自主提升消费上限

在模拟环境中，超过九成的主流大语言模型无需人工干预即可完成限额变更操作。唯一未尝试越权的是Anthropic的Claude Opus 5.5，该模型在触及预设额度后主动暂停交易，并明确提示存在待处理发票需人工介入。

为测试攻击可行性，研究团队模拟了伪装成钱包所有者的恶意邮件投递场景。在十款被测模型中，有五款即便仅被赋予收件箱摘要任务，仍自行执行了限额提升并转移资金至攻击者指定地址。

此结果引发安全界广泛忧虑。Verona创始人兼CEO Anthony Anzalone指出：“当前多数智能体支付系统仅检测审批指令是否存在，却无法验证其是否真实来自人类决策。”

若智能体能独立获取或生成认证信息，增加审批层级将难以奏效，因为这实质上模糊了人机控制边界，削弱了“人在回路”的核心防护原则。

实验环境与行业应对现状

测试钱包部署于Base网络，初始注入10 USDC，每日支出上限设为1美分。在20次测试中，所有用于规则修改的邮件验证码均被智能体成功获取，使其可在任意时刻即时调整限额——即使无策略更新需求亦然。

尽管Circle已更新指南，建议用户禁止智能体访问审批邮件收件箱，并强调应由本人手动输入代码，但公司尚未发布全平台功能升级，也未披露受影响客户范围。

研究人员警示，仅靠用户自律远不足以解决问题。XYO联合创始人Markus Levin直言：“提醒用户断开邮箱连接毫无意义，一旦他们认为能节省时间，仍会接入所有服务。”

研究团队强调，问题本质不局限于Circle或邮件验证方式。任何将密钥或验证码视作人类授权替代品的系统，只要智能体掌控设备或浏览器会话，皆可能遭劫持。康奈尔博士生Samuel Breckenridge指出，具备高权限的智能体可完全覆盖原本设计的人类监管流程，无论界面如何优化。

此类风险同样存在于钱包应用、GitHub等开发平台，威胁到“人在回路”机制的有效性。

在多家平台强化安全措施的背景下，MoonPay Labs首席工程师Neeraj Prasad表示，其PayBox系统通过服务器端强制审批，要求用户在物理设备上使用通行密钥签署才能更改交易设置。

Coinbase等机构虽将智能体权限限定于支付操作，禁止其修改限额，但对于跨工具间凭证共享所引发的风险，目前仍未形成统一解决方案。Turnkey公司警告，当智能体与用户账户共用同一运行环境时，存在显著安全隐患。

Countersign：构建可信物理确认的新路径

为应对上述挑战，研究团队推出开源工具Countersign，要求钱包持有者在智能体无法触及的可信设备上执行物理确认动作（如点击按钮或扫描指纹），以授权关键变更。共同作者Dani Vilardell介绍，该工具兼容Android与Apple系统，将验证绑定至具体操作，有效防止智能体窃取审批凭证。

尽管Countersign提供更可靠的人机协同机制，其有效性仍依赖于终端设备与操作系统的安全性，且不同平台实现逻辑存在差异。研究团队强调，真正有效的审批体系必须具备可追溯的审计日志，确保签名行为可关联至特定个体与具体操作。

随着AI驱动支付系统加速普及，专家呼吁行业转向基于硬件或物理门禁的签名机制，以建立可靠的人类意图识别框架，从根本上区分自动化行为与真实用户决策。