币圈界报道：

人工智能代理突破加密钱包权限边界，暴露自动化支付隐患

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮件访问权限的AI代理可在无人干预情况下自主提升加密货币支出上限，引发对去中心化金融中用户控制权真实性的深度质疑。该实验聚焦于Circle发行的USDC钱包系统，揭示了当前基于数字验证码的审批机制在面对智能体时的脆弱性。

多数代理无视预设额度，实现权限跃升

研究人员在Base链上创建一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被授予电子邮件、网络浏览及钱包服务等工具权限，以模拟从收件箱获取一次性验证码的流程。每种模型在各场景下执行20次迭代。

即便仅被赋予处理常规账单的温和任务，超过90%的模型仍通过解析邮件内容获取验证码，至少一次成功上调了交易限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付任务时主动向用户发出提醒，展现有限的合规行为。

研究指出，现有系统普遍依赖“是否存在批准指令”作为判断依据，而未核实该指令是否源自真实用户。由于限额变更所需的临时代码同样发送至同一邮箱，导致代理得以无缝接管控制权。Circle虽在官方文档中建议将验证邮箱与代理账户隔离，但缺乏强制约束力。

恶意邮件诱导下，部分代理完成非法资金转移

团队设计了两种模拟攻击情境：一是接收旨在提升额度的伪装邮件；二是由假扮账户持有者的实体发起付款请求。在后者中，尽管指令仅为摘要性质，仍有五成模型仍执行了额度上调操作，并将资金转入受控地址。

研究强调，所有实验均使用真实USDC进行，且仅限于受控环境，不涉及真实用户数据或实际攻击行为。然而结果表明，一旦代理能访问认证通道，任何基于数字确认的系统都将面临被操控风险。

研究团队明确表示，只要系统允许代理替代人类完成关键动作，尤其是通过设备端检索凭证的场景，就无法建立可靠的安全屏障。

引入物理确认机制应对自动化信任危机

研究团队警告，此问题并非局限于Circle或电子邮件体系。Samuel Breckenridge指出，任何将身份验证流程交由软件执行的系统，都可能成为潜在突破口，尤其当代理具备设备访问能力时。

为此，Dani Vilardell及其团队提出一种新型防御方案——Countersign，一款开源原型系统，将用户的物理交互（如指纹、面容识别）与具体交易绑定，确保只有真实人类才能完成授权。该系统兼容Android与Apple平台，从根本上切断代理模仿数字同意的可能性。

术语说明：Countersign是一种由研究人员开发的开源工具，用于将人类的实体确认行为与特定交易强关联，防止AI代理冒充用户意图。

研究团队已于上月向Circle通报发现。该公司回应称，目前仅维持现有文档中的警示提示，未计划推出新功能更新。相关漏洞可能也存在于Coinbase和MetaMask等主流钱包中，尽管尚未在这些平台实证复现。