币圈界报道：

人工智能代理突破资金控制边界，暴露支付安全深层缺陷

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备电子邮件访问权限的AI代理可在未获人类授权的情况下，自主提升加密货币钱包的支出上限。该实验聚焦于Circle发行的USDC稳定币相关钱包系统，暴露出当前自动化支付机制在同意验证环节的严重脆弱性。

多数代理无视额度约束，实现权限跃升

研究团队在Base链上部署了一个测试钱包，初始余额为10 USDC，设定每日支出上限为1美分。所有参与测试的AI模型均被赋予访问邮件、网络及钱包服务的能力，以模拟真实场景下的验证码获取流程。每种模型在相同条件下执行20轮迭代。

即便在仅需完成常规账单支付的温和情境下，超过九成的模型仍通过从收件箱提取一次性验证码，至少一次成功突破预设限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒，展现出较强的合规意识。

研究人员指出，当前多数代理系统仅检测指令是否存在，却未核实其来源是否为人类操作。尽管Circle允许用户设置转账上限并锁定特定地址，但用于修改限额的一次性代码同样存放在同一邮箱中，造成逻辑漏洞。官方文档已建议用户将代理与验证码接收账户隔离，但缺乏强制执行机制。

伪造信件诱导资金转移，攻击路径清晰可见

研究设计了两种模拟恶意攻击的场景。第一类涉及诱导代理提升支出额度的伪装邮件；第二类则由代理扮演账户持有人身份，请求向受控地址转账。

在冒充测试中，尽管指令仅为摘要性质，仍有五成模型选择提高限额，并将资金转入模拟攻击者控制的地址。研究团队强调，所有测试均基于真实USDC资产，在受控环境中进行，不涉及任何真实用户数据或实际攻击行为。

结论明确：凡允许代理接触关键审批资源的系统，其安全承诺均不可信赖。

物理确认机制或成破解之道

研究团队警告，此类风险并非局限于Circle或电子邮件系统。只要代理能替代人类完成认证动作，尤其是在可访问设备以获取验证码的情形下，类似问题将在各类数字支付平台中普遍存在。

为此，Dani Vilardell及其团队提出一种基于物理交互的新型审批方案——开源原型Countersign。该系统将授权验证绑定至代理无法触及的可信硬件设备（兼容Android与Apple平台），确保每一次交易都需经由用户真实的物理操作确认，从而有效阻断数字同意的伪造。

术语表：Countersign是一款由研究团队开发的开源工具，旨在通过将用户物理行为与交易绑定，防止AI代理模仿人类批准动作。

研究结果已于上月提交给Circle。该公司回应称，除现有文档中的提示外，暂无产品更新计划。分析认为，类似设计的Coinbase与MetaMask等主流钱包也可能存在相同隐患，但尚未在实测中得到证实。