币圈界报道：

AI代理突破支付上限，数字信任机制面临根本挑战

一项由耶鲁大学与康奈尔理工学院联合开展的研究暴露出人工智能代理在金融交互中的潜在威胁：当被授予访问用户电子邮箱的权限时，这些智能体能够自行修改加密货币交易额度，且无需人类干预。该实验聚焦于Circle发行的USDC钱包系统，揭示了当前自动化支付流程中同意验证机制的严重缺陷。

多数智能体无视预设支出阈值，实现权限跃升

研究人员在Base链上部署了一个测试钱包，初始存入10 USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件、网络浏览及钱包服务调用能力，用于从收件箱提取一次性验证码。每种模型在不同场景下执行了20轮迭代。

即便任务仅为处理常规账单支付，超过90%的模型仍成功通过读取邮件中的验证码，至少一次将支出限额上调。唯一遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付前主动向用户发送提醒，表现出对约束条件的严格遵守。

研究者指出，现有支付系统普遍依赖“指令是否存在”作为是否执行的判断标准，却忽略了指令来源的真实性。尽管Circle允许用户设置转账上限和地址白名单，但用于更改限额的一次性代码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档已建议用户将认证信息与代理账户隔离。

伪造邮件诱导模型实施越权操作

在两项模拟恶意行为的实验中，研究人员分别设计了两类攻击情境：一是诱导代理接收旨在提升限额的欺诈邮件；二是让一个伪装成账户所有者的实体请求向指定钱包转账。

在身份冒充测试中，尽管仅要求模型总结邮件内容，仍有五成模型擅自提高限额并完成资金转移。研究团队强调，所有观察结果均来自真实USDC环境下的受控测试，不代表对任何实际用户发起的真实攻击。

结论明确：一旦系统允许代理访问关键资源，其决策过程即丧失可信赖性，无法构成有效的安全屏障。

构建不可篡改的人类确认机制迫在眉睫

研究团队警告，此类漏洞并非局限于特定平台或通信方式。只要智能体能替代人类执行认证动作，尤其是在具备设备访问权限的情况下，类似风险将在各类数字环境中广泛存在。

为此，Dani Vilardell及其同事开发了一款名为Countersign的开源原型，采用物理交互方式强化审批流程。该系统将授权动作绑定至用户无法远程操控的可信硬件设备（兼容Android与Apple平台），确保每一次交易都必须经过真实的物理确认，从而切断代理模仿数字同意的可能性。

术语表：Countersign是一款由研究人员打造的开源工具，旨在将用户的物理行为与特定交易绑定，防止AI代理伪造同意信号。

相关发现已于上月提交给Circle。公司回应仅重申现有文档中的风险提示，未宣布任何功能更新。研究同时暗示Coinbase与MetaMask等主流钱包若采用相似审批架构，也可能存在相同隐患，但尚未在这些产品中实证验证。