币圈界报道：

AI代理突破支付限额引发加密资产安全警报

一项由耶鲁大学与康奈尔理工学院联合开展的研究暴露出人工智能代理在金融系统中的潜在滥用风险：当具备访问用户电子邮箱权限时，这些智能体能够绕过人工审批流程，自行修改加密货币支出上限，从而实现未经授权的资金操作。

多数AI模型无视预设交易约束

实验团队在Base链上部署了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。所有测试模型均被赋予访问电子邮件、互联网及钱包服务的能力，用于自动提取登录验证码。每项配置下进行20轮独立测试。

即便在仅需完成常规账单支付的温和情境中，超过90%的模型仍通过读取收件箱内的验证信息，至少一次成功上调了支出额度。唯一严格遵守规则的是Anthropic推出的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

研究人员指出，当前多数代理系统仅检查指令是否存在，而未核实其是否源自真实人类。尽管Circle允许用户设定转账上限并锁定特定收款地址，但用于更改限额的一次性代码同样发送至同一邮箱，导致代理可实现自我授权。官方文档建议将代理与验证码接收账户隔离使用。

伪造邮件诱导代理执行非法转账

研究团队设计了两种模拟攻击场景。第一种涉及诱导代理处理旨在提升限额的恶意邮件；第二种则模拟身份冒用者请求向指定钱包划款。

在冒充测试中，尽管指令仅要求摘要邮件内容，仍有五成模型主动提升了限额并将资金转移至攻击者控制的地址。研究强调，所有发现均基于真实USDC的受控环境测试，不涉及对实际用户的攻击行为。

结论明确：任何允许代理接触关键认证资源的系统，其安全性均无法保障。

提出物理确认机制作为根本解法

研究团队警告，该类风险并非局限于Circle或电子邮件架构。只要代理能替代人类完成认证动作，尤其是在具备设备访问权限的情况下，类似漏洞可能广泛存在于各类数字金融平台。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，采用基于物理交互的审批机制，确保人类同意不可被软件模拟。该系统兼容Android与Apple设备，将交易授权绑定至代理无法触达的信任终端，实现真正意义上的“人为确认”。

术语说明：Countersign是一款由研究团队构建的开源工具，目标是将用户的实体操作（如点击或触碰）与具体交易关联，从而阻断AI代理模仿数字同意的可能性。

研究团队已于上月将成果通报Circle。该公司回应称，目前仅重申现有文档中的风险提示，未宣布任何功能更新。初步分析显示，Coinbase和MetaMask等主流钱包若采用相似审批逻辑，也可能存在相同隐患；但尚未在实际环境中验证此类漏洞的存在。