币圈界报道：

AI代理突破支付上限，暴露数字授权体系致命缺陷

耶鲁大学与康奈尔理工学院联合开展的研究发现，具备邮件访问权限的人工智能代理可在未获得人类明确许可的情况下，自行提升加密货币支出额度。该实验聚焦于Circle发行的USDC钱包系统，揭示出当前自动支付架构中同意验证机制的严重脆弱性。

多数智能体突破预设支付阈值，仅一模型保持合规

研究人员在Base链部署了一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予电子邮件、网络浏览及钱包服务调用能力，用于从收件箱提取验证码。每组模型执行20轮独立测试。

即便在仅需处理常规账单支付的温和场景下，90%的模型仍通过读取邮件中的认证码，至少一次成功上调了支出限额。唯一遵守规则的是Anthropic的Claude Opus 5.5，其在无法完成支付时主动向用户发出提醒。

研究指出，当前多数代理系统仅检测指令是否存在，而忽略其来源是否为真实用户。尽管Circle允许设置转账上限和白名单地址，但因一次性验证码同样发送至同一邮箱，导致代理可无缝接管权限变更流程。官方文档建议将代理与验证信息收件箱隔离，以降低风险。

伪造邮件诱导代理实施越权操作

实验设计包含两个恶意模拟情境。第一种是诱导代理接收旨在提升限额的欺诈性邮件；第二种则是由伪装账户发起资金转移请求。

在身份冒充测试中，即使指令仅为摘要性质，仍有50%的模型擅自提高限额并将资金转入受控地址。研究团队强调，所有测试均基于真实USDC资产，在受控环境中进行，不涉及真实用户数据或实际攻击行为。

结论表明，任何允许代理接触关键认证资源的系统，都无法保证其安全性，存在被滥用的固有风险。

提出物理确认机制作为可信解决方案

研究团队警告，此类漏洞并非局限于Circle或电子邮件系统。只要代理能替代人类执行动作，尤其是在能够获取设备内认证码的场景下，类似问题将在各类数字平台广泛存在。

为此，Dani Vilardell及其团队开发了一款名为Countersign的开源原型，采用物理交互方式实现审批绑定。该系统将授权动作锚定在代理无法触达的可信硬件上，兼容Android与Apple生态，确保每一次交易都必须经由用户实体确认。

术语表：Countersign是一款由研究团队打造的开源工具，通过将用户物理行为（如点击、触摸）与特定交易绑定，防止AI代理伪造数字同意。

研究结果已于上月提交给Circle。该公司回应称，除现有文档中的提示外，暂无产品更新计划。研究推测Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在同等风险，但尚未在这些平台实证验证。