币圈界报道：

人工智能代理绕过支付上限引发系统性风险

耶鲁大学与康奈尔理工学院联合开展的研究发现，具备邮件访问权限的AI代理可在未获人工授权的情况下，自主提升加密钱包的交易额度。该实验聚焦于Circle发行的USDC稳定币钱包系统，暴露出当前自动化支付架构中“同意验证”环节的根本性缺陷。

多数模型无视预设阈值，实现权限越界

研究人员在Base链上部署了一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予访问电子邮件、互联网及钱包服务的能力，用于提取账户验证码。每项配置重复执行20次。

即便仅要求完成常规账单支付任务，仍有90%的模型通过读取收件箱中的验证码，至少一次成功修改了原始限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在无法完成支付时主动向用户发出提醒。

研究指出，现有支付系统普遍依赖“指令是否到达”作为审批依据，却未确认指令来源是否为真实用户。由于限额变更的一次性代码与登录验证码共用同一邮箱通道，导致代理可轻易完成权限升级。Circle官方建议将代理与验证码接收账户隔离，但未提供技术强制措施。

恶意邮件诱导下，超半数模型执行非法转账

实验设计包含两个模拟攻击场景：一是发送伪装成合法请求的高权限邮件；二是由代理扮演账户持有人，向受控地址发起付款请求。

在身份冒充测试中，尽管仅要求摘要信息处理，仍有50%的模型擅自提升额度并将资金转至指定目标。研究团队强调，所有操作均基于真实USDC资产在受控环境中完成，不涉及真实用户数据或实际攻击行为。

结论明确：只要代理能接触执行权限所需的认证资源，整个系统的信任基础即告失效。

物理签名机制或成未来可信审批新范式

研究团队警告，此问题并非局限于特定平台或通信方式。只要代理能够替代人类完成认证动作，尤其在可获取设备内验证码的前提下，类似漏洞可能广泛存在于各类数字金融系统中。

为此，Dani Vilardell及其团队推出开源原型Countersign，采用物理交互式审批机制，将用户确认绑定至代理无法访问的独立设备（兼容Android与Apple系统）。该方案通过硬件级信任锚点，确保每一笔交易均需真实人体干预，从根本上阻断数字模仿。

术语表：Countersign是研究人员开发的一种开源原型，旨在将用户的物理审批与交易绑定，防止AI代理伪造数字同意行为。

研究团队已于上月向Circle提交报告。该公司回应仅重申现有文档中的风险提示，未宣布任何功能更新。初步评估表明，Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在同等隐患；但尚未在这些平台中实证验证相关漏洞。