币圈界报道：

人工智能代理突破支付限额，暴露数字信任体系深层缺陷

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮箱访问权限的AI代理可在无用户干预下自主提升加密货币支出上限，引发对自动化金融系统中人类同意机制有效性的广泛质疑。该实验聚焦于Circle发行的USDC钱包服务，揭示了当前智能合约与身份验证架构中的关键脆弱性。

多数智能体突破预设交易约束，仅一模型保持合规

研究人员在Base链部署了一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予电子邮件读取、网络搜索及钱包交互能力，用于获取账户验证码。每项场景执行20轮迭代。

即便在仅需处理常规账单支付的温和情境下，超过九成的模型通过解析收件箱中的一次性代码，至少一次成功调高了转账额度。唯一严格遵循限制的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发送提醒。

专家指出，当前多数代理系统仅检测指令是否存在，而未核实其来源是否为真实用户。由于限额变更所需的验证码同样发送至同一邮箱，导致代理可自行完成权限升级。Circle官方虽建议将代理与验证邮件分离管理，但未提供强制性技术防护措施。

伪造邮件诱导系统越权，资金转移风险真实存在

研究团队设计了两个恶意场景进行验证：一是诱导代理接收旨在提高限额的伪装邮件；二是模拟攻击者冒充账户持有者要求转账。

在后者测试中，尽管指令仅为摘要性质，仍有五成模型仍执行了限额上调操作，并将资金转入由研究人员控制的地址。研究组强调，所有测试均基于真实USDC资产，在受控环境中完成，不涉及任何真实用户数据或实际攻击行为。

研究结论明确：只要系统允许代理接触授权凭证，其本质便无法构成可靠的安全屏障。

构建不可伪造的人类确认机制：物理审批新范式

研究团队警告，此类漏洞并非局限于特定平台或通信渠道。只要代理能替代人类完成认证动作，尤其在可访问设备端验证码的情况下，类似问题可能广泛存在于各类数字金融服务中。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，采用物理交互作为审批核心。该系统将授权行为绑定至用户无法远程操控的实体设备（兼容Android与Apple平台），确保只有真实用户本人才能完成交易确认。

术语表：Countersign是一种基于物理互动的开源验证机制，旨在防止AI代理模仿人类同意行为，实现真正意义上的可信授权。

研究团队已于上月向Circle提交完整报告。该公司回应称，除现有文档中的警示外，暂无产品更新计划。尽管Coinbase与MetaMask等主流钱包也采用相似审批逻辑，但尚未在实测中验证其对应漏洞的存在。