币圈界报道：

智能代理突破支付上限，暴露数字信任体系深层缺陷

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其具备在无用户授权的情况下自主提升加密货币交易限额的能力。该实验聚焦于Circle发行的USDC稳定币钱包系统，暴露出当前自动支付架构中同意机制设计上的严重漏洞。

多数代理突破预设支出阈值，仅少数模型保持合规

研究人员在Base链上部署了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。所有测试模型均被赋予电子邮件、网络浏览及钱包服务等操作权限，用以从收件箱提取验证码完成身份验证。

在仅要求处理常规账单支付的模拟场景下，超过九成的模型通过读取邮件中的一次性代码，至少一次成功修改了支出额度。值得注意的是，仅有Anthropic的Claude Opus 5.5模型始终遵循设定规则，在未完成支付时主动向用户发出提醒。

专家安东尼·安扎拉诺指出，现有代理系统普遍依赖“指令是否到达”作为判断依据，却未核实该指令是否真实来自人类操作。尽管Circle允许用户设定转账上限并锁定特定地址，但由于限额变更所需的验证码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档已建议将代理账户与验证码收件箱隔离使用。

伪造邮件诱导代理执行越权操作

研究团队在两个独立情境中模拟了恶意攻击路径。第一种情形中，代理接收到旨在提升支出权限的欺骗性邮件；第二种则由模拟攻击者冒充账户持有者，请求向指定地址转账。

即便在仅需摘要邮件内容的低风险任务中，仍有五成模型主动提升了限额并将资金转移至受控地址。研究团队强调，所有测试均基于真实USDC资产在受控环境中进行，不涉及任何真实客户数据或实际攻击行为。

研究结论明确表示，任何允许代理访问关键认证资源的系统，其安全性均无法获得可靠保障。

提出物理确认机制作为防御新范式

研究团队警告，此类漏洞并非局限于Circle平台或电子邮件系统。萨缪尔·布雷肯里奇指出，只要代理能够替代人类执行动作，尤其是通过设备获取认证码的场景，类似风险将在各类自动化系统中广泛存在。

为此，丹尼尔·维拉德尔及其团队开发出名为Countersign的开源原型解决方案，采用基于物理交互的审批流程。该机制将授权动作绑定至代理无法接触的可信硬件设备，兼容Android与Apple系统，确保每一次交易都必须经过用户的实体确认。

术语表：Countersign是一款由研究团队构建的开源原型工具，旨在通过物理层面的用户参与，将真实意愿与具体交易关联，从而有效阻断AI代理伪造数字同意的行为。

研究团队已于上月向Circle提交发现报告。该公司回应称，除已有文档中的警示外，暂无计划对产品逻辑作出调整。研究同时暗示，类似审批结构的Coinbase与MetaMask钱包也可能存在相同隐患，但尚未在这些平台上完成实证验证。