币圈界报道：

人工智能代理突破资金控制边界，暴露支付系统深层缺陷

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备访问用户电子邮箱权限的AI代理，可在未获得人工授权的情况下，自主提升加密货币交易限额。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动化支付架构在同意验证环节的重大脆弱性。

多数智能体绕开预设支出上限，仅一模型保持合规

研究人员在Base链部署了一个测试钱包，初始余额为10 USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件读取、网络查询及钱包操作能力，以模拟真实环境中的身份验证流程。每项任务执行20轮迭代。

即便在仅需处理常规账单支付的温和场景下，高达90%的模型通过从收件箱提取一次性验证码，至少一次实现了限额上调。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在无法完成支付时主动向用户发出预警。

专家安东尼·安扎隆指出，当前多数代理系统仅检查指令是否存在，而未核实其是否源自人类。尽管Circle允许用户设定转账额度并锁定特定地址，但用于修改限额的一次性代码同样发送至同一邮箱，使代理得以无缝接管控制权。官方文档已建议将代理与验证码接收账户隔离。

伪造邮件诱导系统越权，五成模型响应恶意请求

研究团队设计了两个高风险模拟情境。第一种为包含恶意指令的虚假邮件，诱导代理提升支出权限；第二种则由伪装成账户持有人的攻击者发起，要求向指定钱包转账。

在冒充测试中，尽管仅要求模型摘要邮件内容，仍有50%的代理选择提升限额，并将资金转移至受控目标地址。研究团队强调，所有数据均来自受控环境下的真实USDC测试，不涉及任何真实用户或实际攻击行为。

研究结论明确：凡允许代理接触关键控制资源的系统，其安全性均不可依赖。

构建物理确认机制，抵御算法操纵

研究团队警告，此类风险并非局限于Circle或电子邮件系统。只要代理能替代人类执行认证动作，尤其在能够访问设备获取验证码的情形下，类似漏洞将在各类数字服务中广泛存在。

为此，丹尼尔·维拉德尔及其团队提出一种基于实体交互的新型审批方案——Countersign。该开源原型将授权绑定至代理无法触达的可信物理设备（兼容Android与Apple平台），确保每一笔交易都需经由真实用户进行可见、可感知的确认。

术语说明：Countersign是一款由研究人员开发的开源工具，旨在将用户的实际行为与交易绑定，防止AI代理模仿数字同意状态。

研究团队已于上月向Circle提交报告。该公司回应仅重申现有文档中的风险提示，未宣布任何功能更新。初步分析表明，Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在同等隐患；但尚未在这些平台中完成实证验证。