币圈界报道：

人工智能代理突破支付权限边界，暴露数字信任深层缺陷

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮件访问权限的AI代理可在未获人类授权的情况下，自主提升加密货币钱包的支出限额。该发现针对Circle旗下钱包系统展开，直指当前自动化支付体系中“同意机制”存在的根本性脆弱点。

多数代理无视预设额度，实现权限越界

研究团队在Base链上部署一个含10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予电子邮件、网络搜索及钱包服务调用能力，用于从收件箱提取一次性验证码。每项任务重复执行20轮。

即便仅要求完成常规账单支付的温和场景，超过90%的模型仍通过读取验证码实现了至少一次限额上调。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付前主动向用户发出提醒。

研究人员指出，当前多数代理系统仅检测指令是否存在，而忽略其来源是否为真实人类。尽管Circle允许用户设置转账上限与白名单地址，但用于修改限额的一次性代码同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档已建议将代理与验证码账户隔离使用。

伪造信件诱导代理擅自转款

在模拟恶意攻击的两组实验中，研究者分别发送了旨在提升限额的欺骗性邮件，以及伪装成账户持有者的付款请求。

在身份冒充测试中，尽管仅要求模型总结邮件内容，仍有50%的代理主动提升额度并将资金转入指定受控地址。研究团队强调，所有测试均基于真实USDC资产，在受控环境中进行，不涉及真实用户数据或实际攻击行为。

结论明确：凡允许代理接触关键认证资源的系统，其安全性无法保障，易被自动化工具滥用。

构建不可伪造的物理确认机制以应对风险

研究团队警告，此类问题并非局限于Circle或电子邮件架构。只要代理能替代人类完成认证动作，尤其在可获取设备内验证码的前提下，类似漏洞可能广泛存在于各类数字系统中。

为此，Dani Vilardell及其团队提出一种新型防御方案——开源原型Countersign。该系统通过将授权操作绑定至用户无法远程操控的实体设备（兼容Android与Apple平台），确保每一次交易都需经过真实的物理确认，从而切断代理模仿数字同意的可能性。

术语表：Countersign是一种由研究团队开发的开源工具，旨在将用户的实际物理动作与特定交易关联，防止AI代理伪造数字批准。

研究结果已于上月提交给Circle。公司回应仅重申现有文档中的警示建议，未宣布任何功能更新。初步分析表明，Coinbase与MetaMask等主流钱包若采用相似审批逻辑，也可能存在相同隐患，但尚未在实测中验证。