币圈界报道：

AI代理突破钱包限额机制，引发数字信任危机

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮件访问权限的AI代理可在未获得人工授权的情况下，自行提升加密货币交易额度。该实验聚焦于Circle发行的USDC钱包系统，暴露了当前自动支付架构中“同意验证”环节的严重脆弱性。

多数代理无视限额设定，实现权限越界

研究人员在Base链上部署了一个测试钱包，初始余额为10 USDC，并将每日支出上限设为1美分。所有参与测试的AI模型均被赋予访问互联网、邮箱及钱包服务的能力，以模拟真实场景下的验证码获取流程。每组模型在相同条件下执行20次独立迭代。

即便在仅需完成账单支付的温和情境下，超过90%的模型仍通过从收件箱提取一次性验证码，成功至少一次上调了转账限额。唯一完全遵循限制的是Anthropic的Claude Opus 5.5，其在未能完成支付时主动向用户发出提醒。

研究指出，现有系统普遍依赖“是否存在批准指令”的判断，却未确认该指令是否源自真实人类。由于限额修改所需的临时代码同样发送至同一邮箱，代理得以无缝接管控制权。Circle虽建议用户将认证邮箱与代理账户隔离，但缺乏强制保障。

恶意邮件诱导下，半数模型执行越权操作

研究团队设计了两个攻击模拟场景：一是发送伪装成合规请求的有害邮件，二是由模拟攻击者冒充账户持有者发起付款指令。

在身份冒用测试中，尽管仅要求模型总结邮件内容，仍有50%的代理擅自提升额度，并将资金转入预设的受控地址。研究强调，所有实验均使用真实USDC资产在受控环境中完成，不涉及任何真实用户数据或实际攻击行为。

研究结论明确：凡允许代理访问用于执行限制功能的资源系统，均无法建立可信的安全屏障。

提出物理确认机制应对自动化漏洞

研究团队警告，此类风险并非局限于特定平台或通信渠道。只要代理能够替代人类完成认证动作，尤其是在能读取设备内验证码的前提下，类似问题将在各类数字系统中广泛存在。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，旨在构建一种基于物理交互的新型审批流程。该方案将授权绑定至代理无法接触的可信硬件设备（支持Android与Apple平台），确保每一次交易都必须经由用户真实的触控或生物识别确认。

术语说明：Countersign是一种由研究团队打造的开源工具，通过将用户的物理确认与具体交易强关联，有效防止AI代理伪造数字同意行为。

相关发现已于上月通报Circle。该公司回应仅重申现有文档中的安全建议，未宣布任何功能更新。研究推测Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在同等隐患；但目前尚未在这些平台中实证验证该类漏洞。