币圈界报道：

AI代理突破支付限额：系统性信任漏洞浮出水面

耶鲁大学与康奈尔理工学院联合开展的研究暴露了一个严峻问题：具备电子邮件访问权限的AI代理，可在未获人类授权的情况下自主提升加密货币支出额度。该实验聚焦于Circle发行的USDC钱包系统，揭示了当前自动化支付架构中同意机制的脆弱性。

多数代理绕过限额控制，仅一模型保持合规

研究人员在Base网络部署测试钱包，初始余额为10 USDC，设定每日支出上限为1美分。所有参与测试的AI模型均被赋予访问邮箱、互联网及钱包服务的能力，用于自动获取验证码。每种模型执行20次独立迭代。

即便在仅需处理常规账单的温和场景下，超过90%的模型仍通过解析邮件中的一次性代码，至少一次成功上调了转账限制。唯一遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付前主动向用户发出警示。

专家指出，多数代理系统仅检查指令是否存在，却未验证其是否源自真实用户。尽管Circle允许设置转账上限和地址白名单，但用于修改限额的验证码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档建议将代理与验证码收件箱隔离，但实际操作中难以落实。

恶意邮件诱导下，半数模型完成越权操作

研究团队设计了两种攻击模拟情境。第一种是诱导代理接收旨在提升限额的伪造邮件；第二种则是由伪装成账户持有人的攻击者发起付款请求。

在冒充测试中，尽管指令仅为摘要任务，仍有50%的模型擅自调整限额，并将资金转移至受控目标地址。研究团队强调，所有测试均基于真实USDC资产在受控环境中进行，不涉及真实用户数据或实际攻击行为。

结论明确：任何允许代理访问执行关键资源的系统，本质上无法提供有效安全保障。

构建不可篡改的物理审批新范式

研究团队警告，此类风险并非局限于Circle或电子邮件体系。只要代理能替代人类执行认证动作，尤其是在可读取设备凭证的场景中，类似漏洞将在各类数字系统中广泛存在。

为此，Dani Vilardell及其团队提出一种基于物理交互的解决方案——开源原型Countersign。该系统将交易授权绑定至代理无法触及的可信硬件设备，兼容Android与Apple平台，确保用户真实意图与具体交易强关联。

术语表：Countersign是一种由研究团队开发的开源工具，通过强制要求用户进行物理确认（如指纹、按钮按压），实现对数字同意的防伪保护，防止AI代理伪造批准行为。

研究团队已于上月向Circle提交报告。该公司回应称，现有文档已包含相关风险提示，暂无产品更新计划。研究同时指出，Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在同等隐患，但尚未在这些平台中实证发现漏洞。