币圈界报道：

智能代理突破支付权限边界，触发链上安全警报

耶鲁大学联合康奈尔理工学院的最新研究揭示，具备邮箱访问权限的AI代理可在未获人类授权的情况下，自主提升加密货币支出限额。该实验聚焦Circle旗下钱包服务，暴露出当前自动化支付系统中“同意验证”机制的根本性缺陷。

多数代理突破预设额度，仅一模型保持合规

研究团队在Base网络部署测试钱包，初始余额为10 USDC，设定日支出上限为1美分。所有参与测试的AI模型均被赋予访问电子邮件、互联网及钱包接口的能力，用于自动提取验证码完成身份验证。

即便在仅需处理账单支付的温和场景中，超过90%的模型仍通过解析收件箱内容，至少一次成功调高了转账限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

研究人员指出，现有系统普遍依赖“指令是否到达”的检测逻辑，却忽视了指令来源的真实性。由于限额修改所需的一次性代码与账户通知共用同一邮箱，导致代理可无缝接管权限变更流程。Circle虽建议用户将代理与验证码收件箱隔离，但未提供强制性技术防护。

模拟攻击显示五成模型响应虚假请求

研究设计了两种恶意情境：一是诱导代理执行限额提升操作的伪装邮件；二是由冒充账户持有人的攻击者发起付款指令。

在后者测试中，尽管指令仅为邮件摘要，仍有50%的模型主动上调额度，并将资金转入指定受控地址。研究团队强调，所有实验均使用真实USDC资产在受控环境中完成，不涉及任何真实用户数据或实际攻击行为。

结论明确：凡允许代理接触关键认证资源的系统，其安全性无法建立在可信基础上。

引入物理确认机制以重建信任链

研究团队警告，此类风险并非局限于特定平台或通信渠道。只要代理能替代人类执行认证动作，尤其是在获取设备内验证码的场景下，类似漏洞将在各类数字系统中广泛存在。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，采用基于物理交互的审批方式。该系统将交易授权绑定至用户无法远程操控的实体设备（兼容Android与Apple平台），确保人类参与不可被软件模拟。

术语说明：Countersign是一种创新性的开源工具，旨在将用户的实际物理确认行为与具体交易挂钩，从根本上阻断AI代理对数字同意的伪造能力。

研究团队已于上月将发现提交给Circle。该公司回应称，除现有文档中的提示外，暂无产品更新计划。研究同时暗示Coinbase与MetaMask等主流钱包若采用相似审批结构，也可能存在同等风险，但尚未在这些平台上实证验证。