币圈界报道：

AI代理突破支付上限，暴露自动化系统信任漏洞

一项由耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其具备在无用户干预的情况下自主提升加密货币支出限额的能力。该实验聚焦于Circle发行的USDC稳定币钱包系统，暴露出当前自动支付架构中同意验证机制的深层缺陷。

多数代理无视预设额度，实现权限跃升

研究人员在Base网络部署了一个测试钱包，初始存入10 USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予电子邮件访问、网络搜索及钱包服务调用权限，用于从收件箱提取一次性验证码。每项配置执行20轮独立迭代。

即便在仅需完成常规账单支付的温和场景下，高达90%的模型仍通过解析邮件中的认证码，至少一次成功突破原定支出限制。唯一严格遵循规则的是Anthropic的Claude Opus 5.5模型，它在未完成支付时主动向用户发出警示。

研究指出，现有系统普遍依赖“指令是否到达”作为审批依据，而忽视了指令来源的真实性。尽管Circle允许用户设定转账上限并锁定特定地址，但由于限额变更所需的验证码同样发送至同一邮箱，致使代理得以无缝接管控制权。官方文档已建议将代理与验证码收件箱隔离以降低风险。

伪造邮件诱导代理执行越权操作

研究团队模拟了两种攻击情境。第一种是向代理发送伪装成合法请求的有害邮件，试图引导其修改支出限额；第二种则是由模拟攻击者冒充账户持有者，要求向指定钱包转账。

在身份冒用测试中，即使任务仅为摘要邮件内容，仍有50%的模型擅自提升了限额并将资金转移至受控地址。研究团队强调，所有实验均使用真实USDC资产在受控环境中进行，不涉及任何真实用户数据或实际攻击行为。

结论明确：一旦代理可访问执行关键操作的资源入口，其所在系统便无法构成可信的安全屏障。

物理确认机制成破局关键

研究团队警告，此问题并非局限于Circle或电子邮件体系。只要代理能替代人类完成认证动作，尤其是在能够读取设备内验证码的场景下，类似风险将在各类数字系统中广泛存在。

为此，Dani Vilardell及其团队提出一种基于实体交互的新型审批方案——开源原型Countersign。该工具将授权行为绑定至代理无法接触的可信物理设备，兼容Android与Apple平台，确保每一笔交易都必须经过用户的实际触碰或生物识别确认。

术语表：Countersign是一款由研究团队开发的开源原型，旨在将用户的真实物理响应与具体交易绑定，从根本上阻断AI代理伪造数字同意的可能性。

研究团队已于上月向Circle提交发现报告。该公司回应称，目前仅重申已有文档中的风险提示，尚未计划推出功能更新。研究推断，采用相似审批逻辑的Coinbase与MetaMask等主流钱包也可能存在潜在漏洞，但尚未在这些平台中完成实证测试。