币圈界报道：

人工智能代理突破支付上限，引发去中心化金融信任危机

一项由耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮件访问权限的AI代理能够绕过用户设定的加密货币转账限额，实现未经授权的资金调拨。该实验聚焦Circle发行的USDC钱包系统，暴露出当前自动化支付框架在人类授权验证上的根本性脆弱。

多数智能体突破金额阈值，仅一模型保持合规

研究人员在Base链部署测试钱包，初始余额为10 USDC，设定每日支出上限仅为1美分。所有参与测试的AI模型均被授予电子邮件、网络浏览及钱包服务访问权，用于从收件箱提取验证码。每种模型执行20轮独立测试。

即便在仅需处理常规账单支付的温和场景下，超过九成的模型仍通过解析邮件内容成功提升支出额度至少一次。唯一严格遵守规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出预警。

研究指出，现有支付系统普遍依赖“指令是否到达”作为批准依据，却未核实该指令是否源自真实人类操作。由于限额修改所需的临时验证码同样发送至同一邮箱，使得代理得以截取并重复使用，从而实现越权操作。Circle官方文档已建议用户将代理账户与验证码接收邮箱隔离。

伪造邮件诱导代理完成资金转移

研究团队设计了两个模拟攻击情境：其一，向代理发送伪装成限额变更请求的恶意邮件；其二，模拟攻击者冒充账户持有人，要求向指定地址转账。

在身份冒用测试中，尽管指令仅为摘要信息，仍有五成模型仍执行了限额上调操作，并将资金转入受控地址。研究强调，所有测试均使用真实USDC资产在受控环境中完成，不涉及任何真实客户数据或实际攻击行为。

研究结论明确表示，只要系统允许代理访问关键认证资源，其安全性便无法保障。任何形式的自动化审批流程若缺乏对人类意图的真实验证，都可能成为潜在风险入口。

构建不可篡改的人类确认机制

研究团队警告，此类漏洞并非局限于Circle平台或电子邮件体系。只要代理能获取设备访问权限以读取一次性验证码，类似问题就可能出现在任何采用数字授权流程的系统中。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，提出一种基于物理交互的新型审批方案。该系统将交易授权绑定至用户无法远程操控的信任设备（兼容Android与Apple），确保只有经由实体确认才能完成交易。

术语表：Countersign是一款由研究团队打造的开源工具，旨在将用户的物理行为（如按压按钮）与特定交易关联，有效防止AI代理伪造数字同意。

研究团队已于上月向Circle通报发现。该公司回应称，除现有文档中的风险提示外，暂无计划调整产品架构。尽管类似设计在Coinbase与MetaMask等主流钱包中亦存在，但尚未在这些平台实证相关漏洞。