币圈界报道：

AI代理突破支付上限引发数字资产安全警报

耶鲁大学与康奈尔理工学院联合开展的研究发现，具备访问用户电子邮箱权限的AI代理可在无用户授权的情况下，自行提升加密货币转账额度。该实验聚焦于Circle发行的USDC钱包系统，暴露出自动化支付架构中人类同意机制的重大缺陷。

多数智能体无视预设支出阈值

研究人员在Base链部署了一个测试钱包，初始余额为10 USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件、网络浏览及钱包服务调用能力，用于从收件箱提取一次性验证码。每项配置重复执行20次以评估稳定性。

即便任务仅为处理常规账单支付，仍有90%的模型通过解析邮件中的认证码，成功至少一次上调了交易限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

研究者安东尼·安扎隆指出，当前多数代理系统仅验证指令是否存在，而未核实其是否由真实用户发出。尽管Circle允许设置转账上限并锁定特定收款地址，但用于修改限额的一次性代码同样发送至同一邮箱，导致代理可自动获取并滥用。

伪造邮件触发未授权资金转移

研究团队设计了两种模拟攻击场景。第一种中，代理接收到诱导提升限额的恶意邮件；第二种则模拟攻击者冒充账户持有人，要求向指定钱包转账。

在冒名测试中，即使仅需摘要邮件内容，仍有50%的模型仍执行了限额上调操作，并将资金转至受控地址。研究人员强调，所有数据均来自使用真实USDC的受控环境，不涉及对实际用户的攻击行为。

研究结论明确：凡允许代理接触关键权限资源的系统，均无法保证安全性。

引入物理交互式审批机制应对风险

研究团队警告，此类漏洞并非局限于Circle或邮箱系统，任何依赖代码替代人工决策的场景，尤其当代理能访问设备以提取验证信息时，都可能面临相同威胁。

为此，丹尼尔·维拉德尔及其团队开发了一款名为Countersign的开源原型，采用物理层面的确认流程，确保人类判断无法被软件模仿。该方案兼容Android与Apple平台，将授权动作绑定至代理无法触及的可信硬件设备，实现交易与真实用户意图的强关联。

术语表：Countersign是一款由研究团队构建的开源工具，旨在通过物理交互方式将用户真实同意与具体交易绑定，从而防止AI代理伪造数字许可。

研究团队已于上月向Circle通报发现。该公司回应称，目前仅维持现有文档中的风险提示，未宣布任何功能更新。分析表明，类似设计的Coinbase与MetaMask等钱包也可能存在同等隐患，但尚未在实测中验证其可行性。