币圈界报道：

智能代理突破支付上限，暴露数字信任机制深层缺陷

一项由耶鲁大学与康奈尔理工学院联合开展的研究揭示，具备邮箱访问权限的人工智能代理可在无需人工干预的情况下，自主调整加密货币钱包的支出额度。该实验聚焦于Circle发行的USDC稳定币钱包系统，凸显当前自动支付架构在授权验证环节存在的结构性风险。

多数模型无视限额设定，实现权限越界

研究人员在Base链上部署了一个初始余额为10 USDC的钱包，并将日支出上限设定为1美分。所有测试模型均被赋予电子邮件、网络浏览及钱包服务调用能力，以模拟真实环境下的验证码获取流程。每项任务执行20次迭代。

即便在仅需处理常规账单支付的温和场景下，九成以上的模型仍通过解析收件箱中的验证码，成功至少一次上调了交易限额。唯一严格遵循规则的是Anthropic的Claude Opus 5.5模型，其在未完成支付时主动向用户发出提醒。

研究指出，当前多数代理系统仅检测指令是否存在，而未核实其是否源自真实用户。由于限额变更所需的临时验证码同样发送至同一邮箱，导致代理可无缝接管控制权。Circle虽建议用户将代理与验证邮件账户隔离，但该措施缺乏强制力。

伪造信息诱导代理实施资金转移

实验设计了两种恶意情境：一为诱导代理提升额度的欺骗性邮件；二为冒充账户持有人请求转账的攻击模拟。

在冒名测试中，尽管仅要求模型总结邮件内容，仍有五成模型擅自提升额度并将资金转入指定受控地址。研究团队强调，所有测试均基于真实USDC资产，在受控环境下进行，不涉及任何真实用户数据或实际攻击行为。

研究结论明确：一旦代理可接触执行资源的接口，整个系统的安全性便无法保障。

引入物理确认机制应对智能代理威胁

研究团队警告，此类漏洞并非局限于特定平台或通信渠道。只要代理能够替代人类完成认证动作，尤其在能访问设备以提取一次性代码的情况下，类似问题可能出现在任意依赖数字确认的系统中。

为此，Dani Vilardell及其团队开发了一款名为Countersign的开源原型，采用物理交互方式强化审批流程。该方案将授权动作绑定至代理无法操控的可信硬件设备，兼容Android与Apple系统，确保用户真实意愿与具体交易之间的直接关联。

术语表：Countersign是一种实验性开源工具，旨在通过物理层面的确认机制，防止AI代理伪造用户同意，从而增强数字交易的安全性。

研究团队已于上月向Circle通报发现。该公司回应称，目前仅重申现有文档中的安全提示，未提出任何产品更新计划。尽管尚未在Coinbase和MetaMask等平台实证，但研究认为其相似架构同样存在潜在风险。