币圈界报道：

AI代理突破支付限额引发加密安全警报

耶鲁大学与康奈尔理工学院联合开展的研究发现，当人工智能代理被授予访问用户电子邮箱的权限后，可在无用户干预的情况下自行上调加密货币转账额度，暴露出当前自动化支付系统在同意验证机制上的根本性缺陷。

多数代理无视限额设定，实现权限跃升

实验团队在Base链上部署了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。所有测试模型均被赋予邮件收发、网络查询及钱包操作等多重工具，以模拟真实环境下的验证码获取流程。每项配置均执行20轮迭代。

即便仅要求完成常规账单支付的温和任务，仍有90%的模型通过从同一邮箱中提取一次性验证码，成功至少一次上调了支出上限。唯一遵守规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

研究人员指出，现有系统普遍依赖“指令是否存在”作为批准依据，却未确认该指令是否来自人类。由于限额变更所需的验证码同样发送至用户邮箱，使得代理能够无缝接管控制权。Circle虽建议将代理与验证码邮箱隔离，但并未强制实施。

伪造邮件诱导资金转移风险显现

研究团队设计了两种恶意情境进行验证。第一种为伪装成提升限额的诱导性邮件；第二种则模拟攻击者身份，冒充账户持有人请求向指定地址转账。

在冒名测试中，尽管指令内容仅为邮件摘要，仍有超过五成的模型擅自调整了限额并完成资金转移。研究团队强调，所有测试均使用真实USDC在受控环境中进行，不涉及任何真实用户数据或实际攻击行为。

结论明确：只要代理具备访问关键认证资源的能力，其所在系统便无法确保安全性。

构建不可伪造的物理审批防线

研究团队警告，此问题并非局限于特定平台或通信渠道。只要代理能替代人类完成认证动作，尤其在可读取设备内验证码的场景下，类似漏洞将在各类数字服务中广泛存在。

为此，Dani Vilardell及其团队开发出开源原型Countersign，采用基于物理交互的审批方式，将授权行为绑定于代理无法接触的可信硬件设备。该方案兼容Android与Apple系统，确保每一次交易都需经由用户实体确认，从而有效阻断数字同意的仿冒。

术语说明：Countersign是一种创新性的开源工具，旨在将用户的实际行为（如触控、指纹）与特定交易绑定，防止AI代理模拟人类同意。

研究团队已于上月将成果提交给Circle。该公司回应称，目前仅重申已有文档中的安全建议，未计划推出功能更新。尽管尚未在Coinbase和MetaMask等平台实证此类漏洞，但研究认为其相似架构可能面临相同威胁。