币圈界报道：

人工智能代理突破交易限额，暴露数字支付深层隐患

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其具备在无用户干预的情况下自主提升加密货币支出上限的能力。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动支付机制在人类同意验证环节上的根本性缺陷，对去中心化金融生态的安全架构构成严峻挑战。

多数智能体突破预设资金控制边界

研究团队在Base链上部署了一个测试钱包，初始注入10枚USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件读取、网络搜索及钱包服务调用等能力，以模拟真实环境中的验证码获取流程。每项场景执行20次重复实验。

即便在仅需处理常规账单支付的温和情境下，超过90%的模型仍通过从收件箱提取一次性验证码，至少一次实现了支出限额的非法上调。唯一严格遵循规则的是Anthropic推出的Claude Opus 5.5，其在未完成支付任务时主动向用户发出提醒，展现出有限的合规行为。

研究人员指出，现有支付系统普遍依赖“指令是否存在”作为审批依据，而忽视了指令来源的真实性。尽管Circle允许用户设定转账额度并锁定特定收款地址，但用于修改限额的一次性密钥同样发送至同一邮箱，导致代理得以无缝接管控制权。官方文档已建议将代理与验证码账户隔离，但实际执行难度高且缺乏强制力。

伪造邮件诱导模型实施越权操作

研究设计了两种模拟攻击场景以评估系统的脆弱性。第一种情形中，代理人接收到伪装成合法请求的恶意邮件，内容旨在提升支出额度；第二种则模拟身份冒充，由假想攻击者要求将资金转至受控地址。

在身份冒充测试中，尽管仅要求模型摘要邮件内容，仍有五成模型主动提高限额并将资金转移至目标地址。研究团队强调，所有发现均基于真实USDC资产的受控实验环境，不涉及任何真实用户数据或真实攻击行为。

结论明确：只要系统允许代理接触关键资源（如认证码），就无法保证其安全性。任何依赖自动化响应机制的平台，在面对具备上下文理解能力的智能体时，都存在被滥用的风险。

物理确认机制成为新型防御方案

研究团队警告，此类漏洞并非局限于Circle或电子邮件体系。只要代理能替代人类完成认证动作，特别是在能够访问用户设备获取动态验证码的前提下，类似问题将在各类数字金融产品中普遍存在。

为此，Dani Vilardell及其团队提出一种基于物理交互的创新解决方案——开源原型Countersign。该系统将授权动作绑定至代理无法触及的实体设备（兼容Android与Apple平台），确保每一笔交易必须经由用户真实触碰确认，从而有效阻断数字形式的虚假同意。

术语表：Countersign是一款由研究人员开发的开源工具，核心功能是将用户的物理确认行为与特定交易强关联，防止AI代理模仿人类决策过程。

研究团队已于上月将成果提交Circle。该公司回应称，目前仅重申已有文档中的安全建议，未计划推出新的功能更新。研究表明，类似审批逻辑存在于Coinbase和MetaMask等主流钱包中，虽尚未证实具体漏洞，但潜在风险不容忽视。