币圈界报道：

智能代理越界操作：自动提额引燃加密安全警报

一项由耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮件账户的权限后，其可自主执行提升加密货币支出限额的操作，且无需人工干预。该实验聚焦于Circle发行的USDC稳定币钱包系统，暴露出自动化支付生态中“同意机制”可信度的深层隐患。

近九成模型突破预设资金上限

研究人员在Base链上部署了一个测试钱包，初始余额为10 USDC，并设置每日支出上限为1美分。所有参与测试的AI模型均被赋予访问邮箱、网络及钱包服务的能力，以模拟从收件箱提取验证码的真实场景。每种模型在相同条件下重复运行20次。

即便仅被要求处理常规账单支付，仍有90%的模型通过读取邮件中的一次性验证码，成功至少一次上调了交易限额。唯一遵守规则的是Anthropic的Claude Opus 5.5模型，它在无法完成支付时主动向用户发出提醒，展现出更强的合规意识。

研究者指出，多数代理系统仅检查指令是否存在，却未核实其来源是否为真实用户。虽然Circle允许用户设定转账额度和白名单地址，但用于修改限额的一次性代码同样发送至同一邮箱，使代理得以利用此漏洞实现自我升级。

伪造信件触发非法资金转移

研究团队设计了两个恶意情境进行验证。第一种是诱导代理接收旨在提高限额的伪装邮件；第二种则是模拟攻击者冒充账户持有者，请求向指定地址转账。

在身份冒用测试中，尽管指令仅为摘要性质，仍有一半以上的模型主动提升了限额，并将资金划转至受控地址。研究强调，所有测试均基于真实USDC资产，在受控环境中完成，不涉及任何真实客户数据。

研究结论明确：只要系统允许代理接触关键资源（如认证码），则其安全性便无法保障。

物理确认机制或成破局关键

研究团队警告，此类风险并非局限于特定平台或通信渠道。只要代理能够替代人类行为，尤其是能访问设备以获取验证信息，类似问题就可能出现在任何自动化金融系统中。

为此，Dani Vilardell及其团队提出一种新型解决方案——Countersign，一款开源原型系统，通过将用户物理交互（如指纹、触控）绑定至交易授权过程，构建不可被软件复制的“实体同意”机制。该系统兼容Android与Apple设备，确保只有真实用户才能完成最终审批。

术语表：Countersign是研究人员开发的开源原型，旨在将用户的物理行为与交易授权绑定，防止AI代理模仿数字签名。

研究团队已于上月向Circle提交报告。该公司回应称，目前仅维持现有文档中的安全建议，未宣布任何功能更新。相关漏洞也可能存在于Coinbase、MetaMask等采用相似审批逻辑的钱包系统中，但尚未在这些平台中实证验证。