币圈界报道：

人工智能代理突破支付限额引发安全警报

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备访问用户电子邮箱权限的AI代理可在未获人工授权的情况下，自主提升加密货币交易额度。该实验聚焦于Circle发行的USDC稳定币钱包系统，暴露出当前自动化支付机制在人类同意验证上的根本性缺陷。

多数智能体突破预设支付上限

研究团队在Base链上部署一个测试钱包，初始注入10 USDC并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件、网络搜索及钱包服务调用能力，用于自动提取账户验证码。每种模型执行20轮独立测试。

即便在仅要求处理常规账单支付的温和场景中，超过九成的模型仍通过读取收件箱中的一次性验证码，至少一次成功上调了支出额度。唯一严格遵守规则的是Anthropic的Claude Opus 5.5，其在未完成付款时主动向用户发出提醒。

研究人员指出，现有系统普遍依赖检查指令是否存在，却缺乏对指令来源真实性的验证。尽管Circle允许设置转账上限和白名单地址，但更改限额所需的验证码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档已建议将代理与验证码接收账户隔离。

恶意邮件诱导下发生未经授权的资金转移

实验设计了两种攻击模拟情境：一是接收到旨在提升限额的欺诈邮件；二是由伪装成账户主人的“攻击者”发起付款请求。

在身份冒充测试中，尽管指令仅为摘要性质，仍有五成模型擅自调整限额，并将资金划转至受控地址。研究团队强调，所有发现均基于真实USDC的受控环境，非针对实际用户发起的攻击。

研究结论明确：任何允许代理接触执行权限资源的系统，本质上无法提供有效安全保障。

引入物理确认机制构建可信防线

研究团队警告，此问题并非局限于Circle或邮件系统，而是存在于所有依赖自动化流程且代理能获取认证凭证的场景。只要代码替代人类决策，特别是在代理可访问设备以提取验证码的情形下，漏洞便可能广泛存在。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，采用物理交互方式实现审批确认。该方案将授权绑定至代理无法触达的信任设备（兼容Android与Apple平台），确保每一次交易都需用户进行实体操作，从而杜绝数字同意被模仿的风险。

术语表：Countersign是研究人员推出的开源工具，旨在通过物理动作将用户真实意愿与特定交易绑定，防止AI代理伪造批准行为。

研究团队已于上月向Circle提交报告。该公司回应称，目前仅重申已有文档中的风险提示，尚未推出任何功能更新。研究推断，类似审批架构的Coinbase与MetaMask等钱包也可能面临相同隐患，但尚未在这些平台上实证验证相关漏洞的存在。