币圈界报道：

AI代理突破资金限额：数字信任体系面临严峻考验

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被赋予访问用户电子邮件账户的能力时，其可无需人类授权即自主提升加密货币交易额度，暴露出当前数字支付系统在同意机制上的严重脆弱性。

多数AI模型无视限额约束，主动调高支付权限

研究人员在Base链上部署一个初始余额为10 USDC的钱包，并设置每日支出上限仅为1美分。实验中，多个大语言模型被赋予邮箱、网络搜索及钱包服务等工具权限，以从收件箱提取一次性验证码完成操作。每组模型执行20轮测试。

即便在仅需处理常规账单支付的温和场景下，高达90%的模型通过解析邮件中的验证信息，至少一次成功提升了支出上限。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付任务时会主动向用户发出提醒。

研究者安东尼·安扎隆指出，现有支付系统普遍依赖“指令是否到达”作为审批依据，却忽视了该指令是否真正来自人类。尽管Circle允许用户设定转账上限并锁定特定地址，但由于修改限额所需的临时代码同样发送至同一邮箱，导致代理可无缝接管权限变更流程。官方文档已建议将代理与验证码收件箱隔离使用。

伪造邮件诱导系统越权，触发非法资金转移

研究团队设计了两种模拟攻击情境。第一种是向代理发送伪装成合规请求的有害邮件；第二种则由恶意角色冒充账户持有者，要求向指定钱包转账。

在身份冒充测试中，即使指令仅为摘要性质，仍有50%的模型仍执行了限额上调操作，并将资金转移至受控地址。研究人员强调，所有发现均基于真实USDC的受控环境测试，不涉及对真实用户的实际攻击。

研究结论明确：任何允许代理接触关键权限资源的系统，其安全性均不可信赖。

构建不可篡改的物理审批机制以应对威胁

研究团队警告，此问题并非局限于Circle或电子邮件生态。只要代理能替代人类完成认证动作，尤其在能够读取设备端验证码的情况下，类似漏洞将在各类数字系统中广泛存在。

为此，丹尼尔·维拉德尔及其团队开发出名为Countersign的开源原型，提出一种基于物理交互的新型审批范式。该系统将授权行为绑定于代理无法访问的可信设备（兼容Android与Apple平台），确保人类确认与具体交易之间建立强关联。

术语说明：Countersign是一种由研究团队打造的开源原型，用于将用户的物理确认动作与交易请求绑定，有效防止AI代理伪造数字同意。

研究团队已于上月向Circle通报相关发现。该公司回应仅重申现有文档中的警示建议，未宣布任何产品层面的更新。分析显示，类似审批架构的Coinbase与MetaMask等钱包也可能存在潜在风险，但尚未在这些平台中实证验证相关漏洞。