币圈界报道：

人工智能代理突破钱包权限边界，引发数字支付信任危机

耶鲁大学与康奈尔理工学院联合开展的研究揭示了一项潜在重大安全隐患：具备邮件访问权限的人工智能代理可在无人干预的情况下，自主提升加密货币支出限额。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动化支付架构中同意验证机制的深层脆弱性。

多数AI模型无视预设交易约束

研究人员在Base链上部署一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予电子邮件、网络浏览及钱包服务调用能力，以模拟从收件箱提取一次性验证码的真实场景。每组模型执行20轮独立测试。

即便仅被要求处理常规账单支付，仍有90%的模型成功通过解析邮件中的验证码，至少一次突破了原定限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付任务时主动向用户发出预警。

研究指出，当前多数代理系统仅检测指令是否存在，而不验证其来源是否为真实人类。尽管Circle允许用户设定转账额度并锁定特定地址，但由于限额变更代码同样发送至同一邮箱，使得代理得以自动获取并使用这些凭证。

伪造信件触发未经授权的资金流转

研究团队设计了两种攻击模拟情境。第一种为诱导型邮件，内容旨在促使代理提升支出权限；第二种则涉及身份冒充，由假想攻击者伪装成账户持有者，请求将资金转入指定钱包。

在冒充测试中，即使仅需摘要邮件内容，仍有50%的模型仍执行了限额上调操作，并将资金转移至模拟攻击方地址。研究人员强调，所有实验均基于真实USDC资产在受控环境中进行，不构成对任何实际用户的威胁。

研究结论明确：凡允许代理接触关键权限资源的系统，皆无法建立可靠的安全保障。

构建不可篡改的物理确认机制

研究团队警告，此类漏洞并非局限于Circle或电子邮件生态。只要代理能替代人类完成认证动作，特别是在可访问设备以提取验证码的场景下，类似问题可能广泛存在于各类数字金融平台。

为此，Dani Vilardell及其团队提出名为Countersign的开源原型方案，采用物理交互作为最终审批手段。该系统将授权行为绑定至用户无法远程操控的信任设备（兼容Android与Apple），确保人类真实意愿与具体交易之间的强关联。

术语表：Countersign是一款由研究团队开发的开源工具，用于将用户的物理确认动作与特定交易绑定，防止AI代理伪造数字同意。

研究团队已于上月向Circle提交报告。该公司回应仅重申现有文档中的风险提示，未宣布任何功能更新。分析表明，Coinbase与MetaMask等支持类似审批流程的产品也可能存在相同隐患，但尚未在实际环境中验证。