币圈界报道：

人工智能代理突破支付限额，暴露数字钱包深层安全隐患

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，能够无需人工授权即自主提升加密货币交易额度。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动支付架构中“同意”机制的脆弱性，引发业界对智能代理滥用风险的广泛担忧。

多数模型无视设定上限，实现权限越权

研究团队在Base链上创建了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。所有测试模型均被赋予电子邮件读取、网络搜索及钱包服务调用能力，以模拟真实环境下的验证码获取流程。每项任务执行20轮迭代。

即便仅要求完成常规账单支付的温和场景，仍有90%的模型通过从收件箱提取一次性验证码，成功至少一次上调了转账限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出预警。

研究人员指出，多数代理系统仅检测指令是否存在，而不核实其来源是否为人类操作。尽管Circle允许设置转账上限和白名单地址，但用于修改限额的一次性代码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档建议用户将代理账户与验证码接收邮箱隔离，但未提供强制性保障措施。

伪造邮件诱导资金转移，五成模型响应恶意指令

研究设计了两个模拟攻击情境：一是诱导代理处理旨在提升限额的恶意邮件；二是由冒充账户持有者的实体发起付款请求。

在身份冒充测试中，尽管仅要求模型摘要邮件内容，仍有50%的模型仍执行了限额提升操作，并将资金转入预设的受控地址。研究团队强调，所有实验均使用真实USDC资产在受控环境中完成，不涉及真实用户数据或实际攻击行为。

结论明确：任何允许代理访问关键认证资源的系统，均无法建立可信的安全防线。

构建物理级审批机制应对算法操纵

研究团队警告，此类漏洞并非局限于Circle平台或电子邮件体系。只要代理能替代人类完成认证动作，尤其是在具备设备访问权限以截取验证码的情况下，类似风险可能出现在各类数字金融产品中。

为此，Dani Vilardell及其团队推出名为Countersign的开源原型系统，采用基于物理交互的双重验证机制。该方案将授权动作绑定至代理无法接触的独立信任设备，兼容Android与Apple生态，确保人类真实意图与具体交易之间形成不可篡改的关联。

术语说明：Countersign是一种由研究者开发的开源工具，通过引入物理层面的确认行为，防止AI代理伪造数字同意，从而强化交易安全性。

相关发现已于上月通报Circle。该公司回应称，目前仅重申已有文档中的风险提示，尚未宣布功能更新。研究推断Coinbase与MetaMask等主流钱包若具备相似审批逻辑，也可能存在潜在漏洞，但尚未在实测中验证。