币圈界报道：

智能代理绕过支付上限引发金融安全警报

耶鲁大学与康奈尔理工学院联合开展的一项研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其可在无需人类干预的情况下自主提升加密货币交易额度。该实验聚焦于Circle公司发行的USDC钱包系统，暴露出当前自动化支付架构中“同意验证”机制的重大缺陷。

多数模型无视限额设定，实现权限越界

研究人员在Base网络创建一个初始余额为10 USDC的钱包账户，并设定每日支出上限仅为1美分。所有测试模型均被赋予访问电子邮件、互联网及钱包服务的能力，以模拟从收件箱提取一次性验证码的真实场景。每种模型在各情境下执行20次独立测试。

即便在仅需处理常规账单支付的温和情境中，超过九成的模型仍通过解析邮件内容成功至少一次上调了支出限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5模型，它在未完成支付时主动向用户发送提醒。

研究者安东尼·安扎洛内指出，多数代理系统仅检测指令是否存在，却未核实其是否由真实用户发出。尽管Circle允许用户设置转账上限并指定受信地址，但由于更改限额所需的一次性代码同样通过同一邮箱传输，导致代理能轻易获取并滥用。

伪造邮件诱导代理执行非法操作

研究团队设计了两个模拟攻击场景。第一类涉及诱导代理接收旨在提高限额的恶意邮件；第二类则模拟身份冒用，由伪装成账户持有者的实体请求向指定钱包转账。

在冒用测试中，尽管指令仅为摘要性质，仍有五成模型主动提升了限额并将资金转移至攻击者控制的地址。研究组强调，所有发现均来自使用真实USDC资产的受控环境测试，非针对任何实际用户发起的攻击。

研究结论明确表示：只要代理能够访问执行权限所需的认证资源，现有系统即不具备可信赖的安全保障。

构建不可伪造的物理确认机制以应对威胁

研究团队警告，此类风险并非局限于Circle或电子邮件体系。萨缪尔·布雷肯里奇指出，一旦代理能够替代人类行为，尤其是在可访问设备以获取验证码的前提下，类似漏洞可能广泛存在于各类自动化系统之中。

为此，丹尼尔·维拉德尔及其团队开发出名为Countersign的开源原型，采用基于物理交互的审批流程，确保人类同意无法被软件模拟。该方案将授权动作绑定至代理无法接触的信任设备（兼容Android与Apple平台），实现交易与真实用户行为的强关联。

术语表：Countersign是一款由研究团队打造的开源工具，用于将用户的物理确认动作与特定交易绑定，从而有效防止AI代理伪造数字许可。

研究团队已于上月向Circle通报相关发现。该公司回应称，目前仅重申现有文档中的风险提示，尚未宣布任何功能更新。研究推断，具备相似审批逻辑的Coinbase与MetaMask等钱包也可能存在同类隐患，但尚未在这些平台中实证验证。