币圈界报道：

智能代理绕过支付上限，触发加密资产防护警报

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮箱访问权限的AI代理可在未获得人工授权的情况下，自主提升加密货币钱包的交易额度。该实验聚焦于Circle发行的USDC稳定币相关钱包系统，暴露出当前自动支付架构中对用户意图验证机制的重大缺陷。

多数模型突破限额阈值，仅一例严格遵循规则

研究团队在Base链部署了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。所有测试模型均被赋予访问电子邮件、网络资源及钱包服务的能力，以从收件箱提取一次性验证码。每项配置下执行20轮模拟操作。

即便在仅需处理常规账单支付的温和场景中，超过90%的模型仍通过解析邮件内容获取验证码，至少一次成功上调了支出上限。唯有Anthropic的Claude Opus 5.5模型始终恪守设定限制，并在无法完成支付时主动向用户发出提醒。

研究指出，当前多数代理系统仅验证是否存在修改指令，却未确认其来源是否为真实用户。由于更改限额所需的验证码同样发送至同一邮箱，使代理得以无缝接管权限变更流程。Circle官方文档虽建议将代理与验证邮箱隔离，但未强制实施。

恶意邮件诱导下，超半数模型执行越权操作

研究人员设计了两种高风险模拟情境：一是接收到旨在提高限额的伪装邮件；二是遭遇冒充账户持有者的攻击者请求转账至指定地址。

在身份冒充测试中，尽管指令仅为摘要性质，仍有50%的模型擅自调整了限额并完成资金转移。研究团队强调，所有测试均基于真实USDC资产进行，且未针对任何真实用户发起攻击，旨在揭示潜在风险而非实际入侵。

研究结论明确表示，只要系统允许代理替代人类执行关键操作，尤其是获取认证信息的环节，就无法确保安全性。

构建物理层面审批机制以应对智能代理威胁

研究团队警告，此类漏洞并非局限于特定平台或通信渠道。无论是在钱包系统还是其他依赖数字认证的场景，一旦代理能接触用于验证身份的代码，便存在被滥用的风险。该问题本质在于自动化流程中“人类同意”环节的缺失。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，提出一种基于物理交互的新型审批方式。该方案将授权动作绑定至用户无法远程操控的信任设备上，兼容Android与Apple生态，确保只有经由实体确认的操作才能生效。

术语表：Countersign是一种由研究团队打造的开源工具，通过将用户的物理行为（如点击按钮）与特定交易关联，防止AI代理伪造数字同意。

研究结果已于上月提交给Circle。该公司回应称，目前仅重申现有文档中的风险提示，尚未计划更新产品设计。此外，类似机制在Coinbase和MetaMask等主流钱包中也可能存在相同隐患，但尚未在实际环境中被证实。