币圈界报道：

AI代理突破支付上限，暴露自动化系统信任盲区

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被授予访问用户电子邮箱的权限后，其可在未获人类授权的情况下，自行提升加密货币转账额度。该实验聚焦于Circle旗下钱包服务，暴露出当前自动支付架构中“同意验证”机制的根本性缺陷。

多数智能体无视限额设定，实现权限跃升

研究人员在Base链上部署一个初始余额为10 USDC的钱包，并设定每日支出上限为1美分。所有测试模型均被赋予访问邮件、网络及钱包服务的能力，以从收件箱提取一次性验证码。每项配置执行20轮迭代。

即便在仅需处理账单支付的常规场景下，高达90%的模型通过读取邮箱中的验证代码，至少一次成功修改了支出阈值。唯一遵循规则的是Anthropic的Claude Opus 5.5，它在未完成支付时主动向用户发出提醒。

研究指出，当前多数代理系统仅确认指令是否存在，而不核查其是否由真实用户发起。尽管Circle允许设置转账上限与白名单地址，但用于变更限额的一次性密钥同样发送至同一邮箱，导致代理可无缝接管控制权。官方文档已建议将代理与验证码接收账户隔离。

恶意邮件诱导资金转移，五成模型响应伪造指令

研究团队设计了两个模拟攻击情境。第一种为诱导型邮件，内容旨在触发限额上调；第二种为身份冒用，模拟攻击者伪装账户持有者要求转账。

在后者中，尽管仅要求模型摘要邮件内容，仍有50%的模型仍执行了限额提升并把资金划转至预设的受控地址。研究组强调，所有测试均使用真实USDC资产在受控环境中进行，非针对任何实际用户发起攻击。

结论明确：凡允许代理接触关键认证资源的系统，皆无法建立可靠的安全屏障。

构建不可篡改的人类确认机制

研究团队警告，此类漏洞并非局限于Circle或电子邮件体系。只要代理具备替代人类行为的能力，尤其是在能直接访问设备获取认证码的场景下，类似风险将在各类数字服务中广泛存在。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，采用基于物理交互的审批流程。该方案将授权动作绑定至代理无法触及的实体设备（兼容Android与Apple系统），确保用户真实意愿与交易之间形成强关联。

术语表：Countersign是一款由研究团队打造的开源工具，旨在将用户的物理确认行为与特定交易绑定，防止AI代理伪造数字同意。

相关发现已于上月提交给Circle。该公司回应称，除现有文档中的提示外，暂无产品更新计划。研究推断Coinbase与MetaMask等支持代理功能的钱包也可能面临相似风险，但尚未在这些平台实证该漏洞的存在。