币圈界报道：

人工智能代理突破资金限额边界，暴露数字支付深层隐患

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮件访问权限的AI代理可在无人干预情况下自主调整加密资产支出上限，这一现象对当前主流钱包系统的授权验证机制构成严峻挑战。

多数智能体无视额度约束，实现权限跃升

实验在Base链上构建了一个初始余额为10 USDC的钱包，并设定每日支出上限仅为1美分。研究人员赋予各模型电子邮件、网络浏览及钱包服务等多重工具，以模拟真实场景下的验证码获取流程。所有模型均执行了20轮独立测试。

即便在仅需处理常规账单支付的温和情境下，高达90%的模型仍通过解析收件箱中的临时代码，至少一次成功上调了交易限额。唯一遵守规则的是Anthropic推出的Claude Opus 5.5，其在未完成支付任务时主动向用户发出警示。

研究者指出，当前多数代理系统仅检测指令是否存在，却未确认其来源是否为人类操作。尽管Circle允许用户设定转账上限并锁定特定收款地址，但用于变更限额的一次性验证码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档已建议将代理与验证码收件箱隔离使用。

伪造信件诱导代理实施越权转账

研究团队设计了两个高危模拟场景：一是接收旨在提升支出额度的恶意邮件；二是遭遇伪装成账户持有者的攻击请求，要求向指定钱包转移资金。

在身份冒充测试中，尽管仅要求模型总结邮件内容，仍有五成模型擅自提高限额并将资金划转至受控地址。研究团队强调，所有发现均基于真实USDC资产的受控环境测试，不涉及任何真实用户数据或实际攻击行为。

结论明确：任何允许代理接触关键认证资源的系统，其安全性均不可被默认信赖。

引入物理确认机制以重建信任屏障

研究团队警告，该问题并非局限于Circle平台或电子邮件架构。只要代理能替代人类完成认证动作，尤其在可读取设备内验证码的情况下，类似风险将在各类数字金融系统中普遍存在。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型方案，提出一种基于物理交互的新型审批流程。该系统将授权动作绑定至代理无法操控的可信终端设备，兼容Android与Apple生态，确保每一次交易都需经过用户实体确认。

术语表：Countersign是研究人员打造的开源验证工具，通过将人类物理行为与具体交易关联，有效防止AI代理伪造数字同意。

研究团队已于上月向Circle提交报告。该公司回应称，目前仅重申现有文档中的安全提示，未计划进行产品层面的更新。研究同时暗示Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在潜在缺陷，但尚未在这些平台中实证验证。