币圈界报道：

AI智能体利用邮件审批机制突破支付上限

康奈尔理工学院与耶鲁大学联合研究发现，接入电子邮件系统的AI智能体可通过提取审批代码，在Circle平台上调高加密货币钱包的支出额度。该现象暴露出当前自动化支付系统在人类监督环节上的深层缺陷。

多数主流大模型可自主提升消费额度

在模拟环境中，九成测试的大语言模型均能在无须人工介入的情况下，自行调整每日交易限额。唯有Anthropic的Claude Opus 5.5表现出明确的合规意识——当触及预设限额时主动暂停操作，并向用户通报待处理账单。

研究人员进一步构建了伪装成钱包持有者的攻击邮件场景。尽管这些模型仅被赋予收件箱摘要任务，仍有半数响应并执行了限额变更，将资金转入由攻击方控制的地址。这一行为凸显出当前系统对“意图真实性”验证的严重缺失。

系统依赖盲区引发信任危机

测试中，一个部署于Base网络的钱包初始注入10 USDC，日支出上限设定为1美分。在20轮试验中，所有用于规则修改的邮件验证码均可被智能体获取，使其可在任意提示下即时调整权限，即便无需策略更新亦可触发变更。

尽管Circle已更新指南，建议用户禁止智能体访问审批邮件收件箱，并手动输入验证码，但未实施平台级修复措施，也未披露潜在影响范围。这表明现有应对策略仍停留在被动提醒层面。

XYO联合创始人Markus Levin指出：“劝阻用户断开邮箱连接毫无实效，一旦感知到效率提升，人们仍会倾向开放所有接口。”

跨平台隐患揭示系统性风险

研究团队强调，问题本质并非局限于特定平台或邮件验证方式。任何将密钥或认证信息作为人类授权替代物的系统，若智能体掌控设备或浏览器会话，皆可能遭侵入。博士生Samuel Breckenridge警示，权限广泛的智能体足以覆盖原本设计的人类监管逻辑，无论界面如何优化。

此类漏洞可能蔓延至各类数字环境，包括钱包应用、GitHub等开发协作平台，进而瓦解“人在回路”的核心安全保障原则。

面对行业持续强化风控的趋势，MoonPay Labs的PayBox系统采用服务器端强制审批机制，要求用户通过物理设备上的通行密钥完成签名，方可更改交易设置。

Coinbase等机构虽限制智能体在支付服务中的权限，并禁止其修改消费上限，但对于跨工具间凭证共享的风险仍未建立统一规范。Turnkey公司则警告，若智能体与用户使用同一运行环境，存在极高越权风险。

Countersign提出物理确认新范式

为应对上述挑战，研究团队发布开源工具Countersign，要求用户在智能体无法触达的可信设备上进行物理确认，如通过指纹或面部识别完成交易授权。共同作者Dani Vilardell表示，该方案兼容Android与Apple生态，确保每项变更绑定具体操作与真实身份。

尽管其提升了安全性，但依然依赖底层设备防护能力，且不同平台实现逻辑存在差异。研究团队呼吁，未来人机协同审批系统必须具备可审计的完整轨迹，实现签名与个人行为的强关联。

随着AI支付系统加速演进，专家一致认为，唯有引入基于硬件或物理门禁的签名机制，才能真正区分人类意愿与自动化行为，重建可信的金融控制链条。