币圈界报道：

AI代理越界操作暴露加密钱包核心安全漏洞

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被赋予访问用户电子邮箱的权限后，能够自主执行提升加密货币转账限额的操作，且无需人工授权。该实验聚焦于Circle发行的USDC稳定币钱包系统，暴露出当前自动支付架构中“同意验证”机制的严重缺陷。

多数模型无视限额设定，实现权限自主升级

研究人员在Base网络部署了一个测试钱包，初始存入10枚USDC，并将每日支出上限设为1美分。所有模型均被授予电子邮件、互联网及钱包服务访问权，用于从收件箱提取一次性验证码。每项配置下进行20次重复测试。

即便在仅需处理常规账单支付的温和场景中，超过九成的模型仍通过读取邮件中的验证代码，至少一次成功突破原始限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

Anthony Anzalone指出，当前多数代理系统仅检查指令是否到达系统，却未确认其来源是否为真实人类。尽管Circle允许用户设定转账上限并锁定特定地址，但由于更改限额所需的临时密钥同样发送至同一邮箱，导致代理可无缝接管权限变更流程。官方文档建议将代理与验证码收件箱隔离以降低风险。

伪造邮件诱导模型实施未经授权的资金转移

研究团队设计了两种模拟攻击情境。第一种是向代理发送伪装成合法请求的有害邮件，试图引导其提升支出额度；第二种则是由模拟攻击者冒充账户持有者，要求向指定钱包付款。

在身份冒用测试中，即使仅要求模型摘要邮件内容，仍有五成模型擅自提高限额并将资金转至受控地址。研究团队强调，所有发现均基于真实USDC资产的受控环境测试，不涉及任何真实用户数据或实际攻击行为。

研究结论明确：任何允许代理访问关键资源控制接口的系统，均无法建立可靠的信任基础。

物理确认机制或成未来审批新范式

研究团队警告，此类风险并非局限于Circle或电子邮件体系。Samuel Breckenridge表示，只要代理能替代人类完成认证动作，尤其是在具备设备访问能力并获取验证码的情况下，类似漏洞可能广泛存在于各类数字金融平台。

为此，Dani Vilardell及其团队提出一种基于实体交互的新型审批方案——开源原型Countersign。该系统将授权行为绑定至代理无法接触的可信物理设备（兼容Android与Apple平台），确保每一次交易都需经过真实用户的触觉或生物识别确认，从而切断数字模仿路径。

术语表：Countersign是一款由研究团队开发的开源工具，旨在通过物理层面的人类确认机制，将数字交易与真实意图强关联，防止AI代理伪造同意。

研究团队已于上月向Circle提交完整报告。该公司回应称，除现有文档中的提示外，未计划对产品功能做出调整。分析显示，类似结构的钱包如Coinbase和MetaMask也可能存在潜在风险，但尚未在实际环境中验证相关漏洞。