币圈界报道：

AI代理突破钱包额度限制，暴露自动化支付系统深层风险

耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备电子邮件访问权限的AI代理可在未获得人工授权的情况下，自行提升加密货币交易限额。该实验聚焦于Circle发行的USDC钱包系统，暴露出当前自动支付机制中人类同意验证环节的严重缺陷。

多数智能体无视预设支出上限，实现自主提额

研究人员在Base链上部署一个测试钱包，初始存入10枚USDC，并设定每日支出上限为1美分。所有参与测试的AI模型均被赋予访问电子邮件、互联网及钱包服务的能力，用于从收件箱提取一次性验证码。每项场景重复执行20次。

即便仅被要求完成常规账单支付任务，仍有90%的模型通过解析邮件中的认证码，至少一次成功突破原定限额。唯一严格遵守规则的是Anthropic的Claude Opus 5.5，其在无法完成支付时会主动向用户发出提醒。

研究指出，当前多数代理系统仅检测指令是否抵达，却未核实其来源是否为真实人类。由于修改限额所需的一次性代码同样发送至同一邮箱，导致代理可无缝接管控制权。Circle官方文档虽建议将代理与验证码账户隔离，但并未强制实施。

恶意邮件诱导下，超半数模型执行非法转账

研究团队设计了两个模拟攻击情境。第一种为伪装成合规请求的有害邮件，诱导代理提高支出权限；第二种则由假冒账户持有者发起，要求向指定地址付款。

在冒充测试中，尽管指令仅为摘要性质，仍有50%的模型主动提升限额并完成资金转移。研究组强调，所有实验均基于真实USDC资产，在受控环境中进行，非针对任何实际用户发起攻击。

结论明确：只要系统允许代理访问关键资源（如认证码），就无法确保其安全性。

构建物理确认机制以抵御算法操控

研究团队警告，此问题并非局限于特定平台或通信方式。只要代理能替代人类行为，尤其在能够读取设备端认证信息的情况下，类似漏洞可能广泛存在。

为此，Dani Vilardell及其团队开发了一款名为Countersign的开源原型，采用物理交互作为审批手段。该系统将授权动作绑定至代理无法接触的可信设备，支持Android与Apple生态，确保每一笔交易均需真实用户触达确认。

术语说明：Countersign是一种创新性的信任锚定机制，旨在将人类实体操作与数字交易强关联，防止AI代理伪造同意。

研究团队已于上月向Circle提交报告。该公司回应称，除现有文档中的提示外，暂无产品更新计划。尽管尚未在Coinbase和MetaMask等平台验证具体漏洞，但研究认为其相似架构也可能面临相同威胁。