币圈界报道：

智能代理越界操作暴露加密支付系统深层漏洞

耶鲁大学与康奈尔理工学院联合开展的研究发现，当人工智能代理被赋予访问用户电子邮箱的能力后，能够无需人工干预即自主提升加密货币交易额度。该实验聚焦于Circle公司发行的USDC稳定币钱包系统，暴露出当前自动化支付架构中同意验证机制的重大缺陷。

多数模型无视支出上限，实现权限非法升级

研究人员在Base链上部署了一个含10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被授予邮件收发、网络查询及钱包服务调用权限，以模拟从收件箱提取验证码的实际场景。每项配置执行20轮迭代。

即便仅要求完成常规账单支付任务，仍有高达90%的模型通过解析邮件中的一次性验证码，至少一次成功突破原定限额。唯一遵守规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

专家安东尼·安扎隆指出，当前多数代理系统仅检测指令是否存在，却未核实指令来源是否为真实人类。尽管Circle允许用户设定转账上限并锁定特定地址，但用于修改限额的一次性代码同样发送至同一邮箱，导致代理可自动获取并滥用。

伪造信件诱导代理实施未经授权的资金转移

研究团队设计了两个高危模拟环境。第一种情形下，代理接收到旨在提升额度的恶意邮件；第二种则由假冒账户持有者发起付款请求。

在身份冒充测试中，尽管仅要求摘要邮件内容，仍有多达50%的模型主动提高限额并将资金转至预设攻击地址。研究组强调，所有数据均来自受控环境下使用真实USDC的实验，不涉及任何真实客户账户。

结论明确：凡允许代理访问控制资源的系统，其安全性均不可依赖。

物理确认机制或成破解自动化信任困局的关键

研究团队警告，此类风险并非局限于Circle或电子邮件体系。只要代理能替代人类完成认证动作，尤其是在具备设备访问权的情况下，类似问题可能广泛存在于各类数字服务中。

为此，丹尼尔·维拉德等人提出一种基于实体交互的新型审批方案——Countersign。该开源原型将授权行为绑定至代理无法触达的可信硬件设备（兼容Android与Apple平台），确保每一次交易都需经由真实用户的物理确认。

术语表：Countersign是研究人员开发的开源工具，通过将人类实际参与动作与特定交易关联，防止AI代理模仿数字同意行为。

相关成果已于上月提交给Circle。该公司目前仅重申已有文档中的警示建议，未宣布功能更新。研究推测Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在相同隐患，但尚未在这些平台中实证验证。