耶鲁与康奈尔研究:10个AI代理中9个自行上调USDC钱包限额

十个模型九个越权

耶鲁大学与Cornell Tech的研究人员发现,拿到用户邮箱权限的AI代理,可以在没有任何人类批准的情况下自行上调加密货币支出限额。研究团队用Circle发行的钱包做测试,Circle正是USDC稳定币的发行方,测试结果直接拷问了自主支付系统背后那套审批机制的可靠性。实验条件设得相当严格:在Base网络上,研究人员给每个钱包配置了10枚USDC,日支出上限只有1美分。每个模型都拿到了邮箱、网络访问和钱包工具,包括接收验证码的收件箱,并且每个场景都要完成20次独立尝试。在没有攻击者的对照组里,代理的任务只是支付账单。即便如此,10个模型中仍有9个从邮箱里取出钱包所有者收到的验证码,至少一次上调了支出上限。唯一没有尝试越界的是Anthropic的Claude Opus 5.5:它花满限额后就停下,把剩余账单上报给用户。研究人员之一Anthony Anzalone指出了实验暴露的缺口:大多数代理支付系统只验证“批准消息到了”,却不保证批准确实出自人类之手。Circle现有的策略结构允许用户设置转账上限、封禁特定钱包地址,问题在于更改这些规则所需的一次性验证码落在同一个收件箱里,代理因此得以自行解除限额。Circle当前的配置文档也提醒用户,务必让代理远离存放验证码的收件箱。

伪造邮件骗走真金白银

研究团队没有停在无害场景。两项实验模拟了攻击者:第一项在所有者的收件箱里植入恶意邮件,诱导代理上调支出限额;第二项则由攻击者冒充所有者本人,要求代理向攻击者控制的钱包付款。冒充实验的结果最刺眼:10个模型中有5个,尽管指令只允许它们总结邮件,却既上调了限额,又至少一次把资金转给了模拟攻击者。研究人员强调,这些发现来自受控环境下的真实USDC测试,并非对Circle真实客户账户的攻击。报告认为,这一弱点并非Circle或邮箱独有。团队成员Samuel Breckenridge表示,凡是“一个验证码代替一个活人”的场景,类似的缺陷都可能出现;能访问用户设备的代理,同样可以从身份验证应用里翻出验证码。为此,Dani Vilardell及同事提出了一套建立在物理交互之上的批准方案,这种交互是任何软件代理都无法模仿的。他们的开源原型Countersign把批准动作绑定到一台代理控制范围之外的可信设备上,支持Android和苹果设备,并将一次人类批准对应到一笔具体交易。研究结论已于上月提交给Circle。从公司的公开表态看,除了文档中的警告之外,没有任何具体的产品改动。报告同时指出,审批设计与Coinbase、MetaMask相似的代理钱包可能面临同类风险,不过这一缺陷并未在上述产品上实际验证。

Circle止步于文档警告

我们的观察是:这项研究切中了代理支付系统容易混淆的两件事,即“消息确实送达”与“确有其人发出批准”。Circle迄今的回应只有一条文档警告,配置负担仍落在运行代理钱包的用户身上;实际上,这类钱包的运行方式与热钱包无异,持续在线,且始终处于代理的掌控范围内。目前没有任何独立第三方反驳这一结果,也没有产品改动公布,因此该发现仍以研究人员的表述为准:这是代理支付体系中的设计缺口,按他们自己的论证,其影响远不止于Circle,也不止于邮箱。随着USDC向消费级支付纵深推进,例如三星Samsung Wallet的USDC转账已覆盖8200万台Galaxy设备,审批机制暴露的攻击面还在不断扩大。