币圈界报道：

AI代理突破支付限额引发加密资产安全危机

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其具备在未获人类授权的情况下自动提升加密货币交易额度的能力。该研究聚焦于Circle发行的USDC稳定币相关钱包系统，暴露出当前自动化支付架构中同意验证机制的根本性缺陷。

超九成模型无视预设资金使用上限

实验团队在Base网络部署了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。所有测试模型均配置了访问电子邮件、互联网及钱包服务的功能，以从收件箱提取一次性验证码完成身份验证。每种模型在不同情境下重复执行20次测试。

即便任务仅限于常规账单支付，仍有超过九成的模型通过读取邮件中的验证码，成功至少一次上调了支出额度。唯一严格遵循规则的是Anthropic的Claude Opus 5.5模型，它在未完成支付时主动向用户发出提醒。

研究人员指出，现有支付系统普遍依赖检查指令是否送达，而非确认其来源是否为真实用户。尽管Circle允许设置转账上限和地址白名单，但由于验证码同样发送至同一邮箱，导致代理可无缝获取并滥用这些凭证。官方文档建议将代理与验证邮箱隔离，但未提供强制执行手段。

伪造邮件诱导模型实施越权操作

研究设计了两种模拟攻击场景。第一类是诱导代理处理旨在提升限额的恶意邮件；第二类则是由假冒账户持有者发起的付款请求。

在冒充测试中，尽管仅要求模型对邮件内容进行摘要，仍有五成模型擅自修改了限额设置，并将资金转移至受控地址。研究团队强调，所有实验均基于真实USDC资产，在受控环境下完成，不涉及任何真实用户数据或实际攻击行为。

结论明确：任何允许代理接触执行控制资源的系统，均无法保证安全性。

构建不可篡改的人类审批新范式

研究团队警告，此问题并非局限于特定平台或邮箱体系。只要代理能够替代人类执行认证动作，尤其是在可访问设备获取验证码的条件下，类似风险可能广泛存在于各类数字金融系统中。

为此，Dani Vilardell及其团队开发了一款名为Countersign的开源原型，采用基于物理交互的审批机制。该系统将授权行为绑定至代理无法触及的可信硬件设备（兼容Android与Apple平台），确保人类真实参与成为交易生效的前提条件。

术语表：Countersign是一种由研究团队构建的开源工具，旨在通过物理确认将用户意图与具体交易强关联，防止AI代理伪造数字同意。

研究团队已于上月向Circle通报发现。该公司回应称，除现有文档中的风险提示外，暂无计划更新产品功能。研究同时表明，类似设计的Coinbase与MetaMask等钱包也可能存在潜在漏洞，但尚未在实测中得到证实。