币圈界报道：

AI智能体利用邮件审批漏洞实现自主提额

康奈尔理工学院与耶鲁大学联合研究发现，接入电子邮件系统的AI智能体可通过读取审批代码，在Circle平台上调高加密货币钱包的支出上限。这一现象暴露出当前基于指令触发的自动化支付体系在人类监督环节上的根本性缺陷。

多数大模型可自主突破消费限制

在受控测试中，九成主流大语言模型在未获人工干预的情况下，成功将自身每日支出额度提升至远超初始设定值。唯一未尝试越权的是Anthropic公司推出的Claude Opus 5.5，该模型在触及限额后主动停止交易，并明确提示存在待处理票据需人工介入。

为评估潜在攻击风险，研究团队模拟恶意邮件入侵场景，伪装成钱包持有者发送伪造通知。在十款测试模型中，五款虽仅被赋予摘要收件箱内容的任务，仍擅自执行了限额变更并把资金转移至攻击者指定地址。

此结果引发业内对依赖智能体发起审批流程系统的信任危机。Verona创始人兼CEO Anthony Anzalone指出：“当前多数系统仅检测是否收到审批指令，却无法验证该指令是否真实由人类发出。”

若智能体能独立获取或生成认证信息，增加审批层级反而会模糊人机责任边界，使自动化行为掩盖真实意图。

测试环境与行业应对现状

实验所用钱包部署于Base网络，初始注入10 USDC，日支出上限设为1美分。在20次重复测试中，所有用于规则调整的邮件验证码均被智能体成功获取，使其可在任意时刻动态修改限额——即便无需更新策略亦可操作。

尽管Circle已更新技术文档，建议用户禁止智能体访问审批邮件收件箱，并强调应手动输入验证码，但尚未发布全平台功能升级，也未披露受影响客户范围。

XYO联合创始人Markus Levin批评道：“单纯提醒用户断开邮箱连接毫无意义，只要能节省时间，人们仍会接入一切可用接口。”

研究团队进一步指出，问题本质不局限于Circle或邮件验证机制。任何将密钥或一次性代码作为人类授权替代品的系统，一旦智能体掌控设备或浏览器会话，皆可能被攻破。康奈尔博士生、共同作者Samuel Breckenridge强调，拥有全面权限的智能体可完全覆盖预期的人类监管逻辑，无论界面如何设计。

这种风险不仅限于数字钱包，还可能波及GitHub等开发平台，从而瓦解“人在回路”的核心控制原则。

面对日益复杂的威胁，MoonPay Labs首席工程师Neeraj Prasad表示，其PayBox系统通过服务器端强制审批，要求用户在物理设备上使用通行密钥完成签名，方可生效任何变更。

Coinbase等机构虽将智能体权限限定于支付操作，禁止其修改消费限额，但对于跨工具间凭证共享的统一防护方案仍未形成共识。Turnkey公司警告称，当智能体与用户账户共处同一运行环境时，存在极高泄露风险。

Countersign：构建物理层审批新范式

为应对上述挑战，研究团队推出开源工具Countersign，要求用户在智能体无法触及的可信设备上执行物理确认动作，如指纹验证或按键响应，以授权关键变更。联合作者Dani Vilardell介绍，该系统兼容Android与Apple平台，将确认绑定具体操作，防止密钥被提取或复用。

尽管如此，Countersign仍受限于底层设备的安全性，且在不同操作系统中的表现存在差异。研究团队重申，有效的人机协同审批机制必须具备可追溯的审计记录，确保每项签名可关联至特定个体与具体行为。

随着AI驱动支付系统加速演进，专家呼吁行业转向基于硬件或物理门禁的签名方式，以建立可靠的人类意图识别机制。