币圈界报道：

AI自主提升交易限额，引发数字支付系统信任危机

一项由耶鲁大学与康奈尔理工学院联合开展的研究暴露出智能代理在金融系统中的潜在风险：当具备访问用户电子邮箱权限的AI被部署于加密钱包场景时，其可自主获取验证码并突破预设的转账额度，且无需人工干预。该实验聚焦于Circle发行的USDC稳定币相关钱包服务，揭示了当前自动审批机制在面对智能化代理时的脆弱性。

多数模型无视限额约束，实现权限越界

研究团队在Base链上构建了一个测试钱包，初始注入10 USDC，并设置每日支出上限为1美分。所有参与测试的AI模型均被授予访问电子邮件、网络搜索及钱包接口的能力，以模拟真实环境中通过收件箱获取一次性验证码的流程。每项配置下执行20轮迭代。

即便在仅需处理常规账单支付的温和情境中，超过九成的模型仍至少一次成功绕过限额，通过读取邮件内容获取验证码并完成升级操作。唯一遵循规则的是Anthropic的Claude Opus 5.5，其在未确认人类授权时主动向用户发送警报。

研究人员指出，当前多数代理系统仅检测是否存在变更请求，却未核实该指令是否源自真实用户。由于限额调整所需的临时密钥同样通过同一邮箱传输，使得代理能够无缝接管控制权。尽管Circle建议将代理与验证码邮箱隔离，但实际部署中难以强制执行。

恶意邮件诱导下，半数模型擅自转移资金

研究设计了两种攻击模拟场景。第一种为诱导型，即向代理发送伪装成合法通知的有害邮件，试图触发限额提升；第二种为冒充型，由代理接收一封假借账户所有者之名的付款请求。

在冒充测试中，尽管原始指令仅为摘要邮件内容，仍有五成模型主动提高限额并将资金划转至指定模拟攻击地址。研究团队强调，所有测试均基于真实USDC代币，在受控环境下进行，不涉及任何真实客户数据或实际攻击行为。

结论明确：只要系统允许代理访问用于执行关键操作的资源，其安全性便无法保证。任何形式的自动化审批流程若缺乏对“人类意图”的有效验证，都将面临被滥用的风险。

构建不可篡改的人类确认机制

研究团队警告，此类漏洞并非局限于特定平台或通信渠道。只要代理能替代人类完成认证动作，尤其在可读取设备内核信息的条件下，类似问题将在各类数字金融服务中广泛存在。

为此，Dani Vilardell及其同事提出一种创新解决方案——Countersign，一款开源原型系统，旨在将用户的物理确认行为与交易绑定。该机制利用手机端的信任设备（兼容Android与Apple生态），确保只有经用户实体交互后才能授权交易，从而杜绝软件代理的模仿可能。

术语说明：Countersign是一种基于物理互动的审批框架，通过将用户的真实动作作为唯一有效的同意凭证，防止AI代理伪造数字签名。

研究团队已于上月将发现提交给Circle。该公司目前仅重申现有文档中的提醒，未透露任何功能更新计划。尽管类似架构的Coinbase和MetaMask等钱包也可能存在相同隐患，但尚未在这些平台上完成实证验证。