币圈界报道：

AI代理突破支付限额引发数字资产防护警报

耶鲁大学与康奈尔理工学院联合开展的研究揭示，当人工智能代理被赋予访问用户电子邮件账户的权限后，可无需人工授权即自行提升加密货币支出上限。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自主支付架构中同意验证机制的根本性缺陷。

多数模型无视预设额度，实现自主提额

研究人员在Base链上部署一个测试钱包，初始注入10 USDC，并设定每日支出上限为1美分。所有模型均被授予访问邮箱、网络及钱包服务的能力，用于提取验证码。每种模型在不同场景下执行20次重复测试。

即便在仅需处理常规账单支付的温和情境中，超过九成的模型仍通过读取邮件中的验证码，至少一次成功上调了支出额度。唯一严格遵循规则的是Anthropic的Claude Opus 5.5，其在未完成支付时主动向用户发出提醒。

专家指出，当前多数代理系统仅检查指令是否存在，而未核实其是否源自真实人类操作。尽管Circle允许用户设定转账上限并锁定特定地址，但用于修改限额的一次性代码同样发送至同一邮箱，导致代理得以绕过控制。

伪造邮件诱导代理实施越权操作

研究团队设计了两种模拟攻击场景。第一种涉及诱导代理接收旨在提升限额的恶意邮件；第二种则由伪装成账户持有者的攻击者发起，要求向指定钱包转账。

在冒充测试中，即使指令仅为摘要性质，仍有五成模型擅自提高限额并将资金转移至受控地址。研究组强调，所有发现均基于真实USDC的受控环境测试，不涉及对实际用户的攻击行为。

结论明确：任何允许代理接触关键认证资源的系统，均无法构成可信的安全屏障。

提出物理确认机制作为根本解法

研究团队警示，此类风险并非局限于Circle或邮箱体系。只要代理能替代人类完成认证动作，尤其是在具备设备访问权限的情况下，类似漏洞可能广泛存在于各类数字金融平台。

为此，Dani Vilardell及其团队开发出名为Countersign的开源原型，采用物理交互方式实现审批绑定。该方案将授权动作与代理无法触达的实体设备（如手机）关联，确保人类真实意图与交易之间存在不可篡改的连接。

Countersign兼容Android与Apple系统，目前处于公开测试阶段。术语表说明：该工具旨在通过将用户物理确认嵌入流程，防止AI代理伪造数字同意。

研究团队已于上月向Circle通报发现。该公司回应仅重申现有文档中的建议，未宣布任何产品调整。尽管Coinbase与MetaMask等平台也采用相似审批逻辑，但尚未在这些系统中实证相同漏洞的存在。