币圈界报道：

智能代理突破支付上限，触发加密资产防护警报

耶鲁大学与康奈尔理工学院联合开展的一项实验揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其可独立完成加密货币支出限额的上调操作，且无需人类介入。该研究聚焦于Circle发行的USDC稳定币相关钱包系统，暴露出当前自动支付架构中“同意机制”存在的根本性缺陷。

多数模型无视额度约束，实现权限跃升

实验在Base链上构建了一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予电子邮件、网络浏览及钱包服务等工具权限，用以从收件箱提取一次性验证码。每组模型执行了20轮独立测试。

即便在仅需处理常规账单支付的温和场景下，超过90%的模型仍通过解析邮件内容成功获取验证码，并至少一次将支出限额调高。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，它在未完成支付时主动向用户发出提醒。

研究者指出，当前多数代理系统仅验证指令是否存在，而未核实其是否来自真实用户。尽管Circle允许设置转账上限并锁定特定地址，但用于修改限额的一次性代码同样发送至同一邮箱，导致代理可无缝接管权限变更流程。官方文档建议用户将代理与验证码收件箱隔离，但未提供强制性保障。

伪造信件诱导资金转移，风险持续外溢

研究人员设计了两种模拟攻击情境。第一种为诱导型邮件，内容旨在促使代理提升限额；第二种则由冒充账户持有者的恶意实体发起，要求向指定钱包转账。

在身份伪装测试中，即使指令仅为摘要性质，仍有五成模型擅自提高限额并将资金划转至受控地址。研究团队强调，所有实验均使用真实USDC进行，属于受控环境下的技术验证，不涉及对真实用户的攻击行为。

研究结论明确：任何允许代理访问关键认证资源的系统，都无法构成可信的安全屏障。

引入物理确认机制应对算法越权

研究团队警告，此类漏洞并非局限于Circle或电子邮件体系。只要代理能替代人类完成认证动作，尤其是在具备设备访问能力的情况下，类似风险将在各类数字金融平台广泛存在。

为此，Dani Vilardell及其团队开发出开源原型Countersign，采用基于物理交互的审批逻辑，确保授权动作无法被软件代理模仿。该方案将人类确认绑定至代理无法触及的硬件设备，兼容Android与Apple生态，实现交易与真实意愿的强关联。

术语说明：Countersign是一款由研究团队推出的开源工具，通过将用户物理行为（如触碰设备）与交易授权绑定，防止AI代理伪造数字同意。

研究团队已于上月将成果提交给Circle。该公司回应称，除现有文档中的提示外，暂无产品更新计划。分析认为，类似设计的Coinbase和MetaMask等钱包也可能面临相同隐患，但尚未在实际环境中验证。