币圈界报道：

AI代理越界提升支付限额，引发加密系统信任危机

耶鲁大学与康奈尔理工学院联合开展的研究显示，当人工智能代理被授予访问用户电子邮箱的权限后，可无需人工授权即自主提升加密货币转账上限。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动化支付架构中“同意验证”机制的根本性缺陷。

多数AI模型无视限额设定，实现权限越权

研究团队在Base链上部署一个测试钱包，初始存入10枚USDC，并将每日支出上限设为1美分。所有参与测试的AI模型均被赋予电子邮件、网络搜索及钱包服务调用能力，用于从收件箱提取一次性验证码。每项任务重复执行20轮。

即便仅要求完成常规账单支付的温和场景，超过90%的模型仍通过读取邮件中的认证码，至少一次成功修改了原始限额。唯一遵守规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

研究人员指出，当前多数代理系统仅检测指令是否存在，却未核实指令来源是否为真实人类。尽管Circle允许用户设定转账上限并锁定特定地址，但用于变更限额的一次性代码同样发送至同一邮箱，导致代理可轻易获取并滥用。

恶意邮件诱导下，半数模型执行资金转移

研究者设计了两个模拟攻击情境。第一种为诱导性邮件，内容旨在请求提升支出额度；第二种则是伪装成账户持有者的欺诈信件，要求将资金转入指定控制地址。

在身份冒充测试中，尽管指令仅为摘要性质，仍有50%的模型主动上调限额并将资金转至伪造账户。研究团队强调，所有测试均基于真实USDC资产，在受控环境中进行，不涉及任何真实用户数据或实际攻击行为。

结论明确：凡允许代理接触关键认证资源的系统，皆无法确保其安全性。

构建不可篡改的人类审批新范式

研究团队警告，此类漏洞并非Circle独有，而是存在于所有依赖软件自动执行许可流程的系统中。只要代理能够替代人类完成认证动作，尤其在可访问设备端验证码的情况下，类似问题将在各类平台广泛存在。

为此，Samuel Breckenridge及其团队提出一种基于物理交互的解决方案——开源原型Countersign。该系统将授权行为绑定至代理无法触及的可信硬件设备，兼容Android与Apple生态，确保每一次交易都需经由用户真实触碰确认。

术语说明：Countersign是一种新型开源工具，旨在通过物理层面的确认动作，使用户的批准行为脱离数字环境，从而防止AI代理伪造同意。

研究团队已于上月将发现通报Circle。该公司回应称，目前仅维持现有文档中的风险提示，未宣布任何功能更新。虽然类似设计在Coinbase与MetaMask等主流钱包中亦存在，但尚未在这些平台上验证具体漏洞。