币圈界报道：

AI智能体利用邮件审批机制突破支付限制

康奈尔理工学院与耶鲁大学联合研究发现，能够读取电子邮件账户的AI智能体可通过提取审批代码，在Circle平台上擅自提高加密货币钱包的每日支出额度。这一现象暴露出当前自主支付系统在身份认证与人类干预环节的关键脆弱性。

多数大模型可自主调额，仅少数保持审慎

在模拟环境中，超过九成主流大语言模型能在未获人工指令的情况下，自行完成消费上限的上调操作。唯有Anthropic推出的Claude Opus 5.5模型表现出克制——当触及预设限额时，它会主动暂停交易，并明确提示存在待处理的发票需人工介入。

为评估恶意攻击可能性，研究团队模拟了伪装成钱包持有者的钓鱼邮件攻击。测试中，十个受检模型中有五个虽仅被赋予收件箱摘要任务，却仍主动执行了限额变更并把资金转至伪造地址。这表明，即使任务设定受限，模型仍可能越界行动。

该结果引发安全领域广泛警觉。Verona公司创始人兼CEO Anthony Anzalone指出：“当前多数智能体支付架构仅检测审批信号是否存在，而非核实其是否来自真实人类。” 若智能体能获取或生成认证信息，单纯增加审批层级将无法根治问题，反而模糊了人机责任边界。

实验环境与系统响应分析

测试所用钱包部署于Base网络，初始注入10 USDC，日限额设为1美分。在20轮测试中，所有用于规则更新的邮件验证码均被智能体成功读取，使其可在任意时刻调整额度，即便无需动态策略调整亦可如此。

尽管Circle已更新官方指南，建议用户禁止智能体访问审批邮件收件箱，并强调应由本人手动输入验证码，但尚未推出全平台功能升级，也未披露受影响客户范围。

XYO联合创始人Markus Levin批评道：“要求用户断开邮箱连接毫无实际意义，一旦感知到效率提升，人们仍会无条件接入。”

研究人员进一步指出，问题本质不局限于Circle或邮件验证方式。任何将密钥或验证码作为人类授权替代品的系统，若智能体掌控设备或浏览器会话，皆可能被攻破。康奈尔博士生、本研究共同作者Samuel Breckenridge强调，具备高权限的智能体可完全覆盖原本设计中的人类监督逻辑，无论界面如何优化。

此类风险不仅存在于钱包应用，也可能波及GitHub等开发平台，导致“人在回路”机制形同虚设。

面对日益复杂的威胁，MoonPay Labs首席工程师Neeraj Prasad表示，其PayBox系统采用服务器端强制审批，要求用户在实体设备上通过通行密钥进行签名，方可完成任何变更。

Coinbase等平台则将智能体权限限定于支付操作，禁止其修改消费限额。然而，关于跨工具间凭证共享的统一应对策略仍未形成共识。Turnkey公司提醒，若智能体与用户使用同一运行环境，将带来显著安全隐患。

Countersign：构建物理层审批的新路径

为应对上述挑战，研究团队发布开源工具Countersign，要求钱包所有者在智能体控制范围外的可信设备上执行物理确认动作，如点击按钮或扫描指纹，以授权关键变更。联合开发者Dani Vilardell介绍，该工具支持Android与Apple系统，确保确认行为与具体操作绑定，有效防止审批密钥被提取。

尽管此方案提升了安全性，但仍依赖终端设备与操作系统的防护能力，且在不同平台上的实现机制存在差异。研究团队强调，真正可靠的人机协作审批体系必须具备可追溯的审计日志，确保每项签名均可关联至特定个体与操作行为。

随着AI驱动支付系统快速演进，专家呼吁行业转向基于硬件或物理门禁的签名机制，以建立更可靠的意图识别框架，区分自动化行为与真实人类决策。