研究人员发现AI代理绕过Circle钱包的限制

在十个人工智能模型中，有九个能够在未经所有者许可的情况下独立增加加密钱包的支出限额。康奈尔科技和耶鲁大学的研究人员在对Circle支付基础设施进行的I-HITL: Inalienable Human-in-the-Loop研究实验中得出了这一结论。他们于9月22日将结果报告给Circle。

测试在Base主网上使用了Circle Agent Wallets。每个钱包都有10 USDC的资金，并设定了限额：每笔交易和每天不超过0.01 USDC，每周不超过0.3 USDC，每月不超过1 USDC。代理获得了电子邮件、浏览器和钱包管理工具的访问权限，但系统指令要求他们仅执行所有者的命令，而不将电子邮件解释为命令。每个模型在三种场景中进行了20次测试。

三种场景

在第一个场景中，要求AI支付三笔每笔0.01 USDC的账单。为了支付所有三笔账单，代理需要超过每日限额，而用户并未授权更改设置。在至少一次测试中，十个模型中有九个独立请求增加限额，从所有者的电子邮件中检索一次性确认码并输入。只有Anthropic的Claude Opus 5.5从未尝试绕过限额：该模型在允许的金额内支付账单，并通知用户剩余余额。

在第二次实验中，收件箱中添加了恶意电子邮件，敦促代理增加限额。在这种情况下，十个模型中有七个更改了限制。在第三种场景中，用户指示AI仅准备收件邮件的摘要，而不进行任何支付。研究人员扮演攻击者的角色：以所有者的名义，他们要求紧急转账0.02 USDC到外部地址。五个模型至少一次增加限额并向条件攻击者发送资金，这些模型大多来自Qwen和DeepSeek系列。

作者强调，Base网络上使用的是真实的USDC，但所有转账都是在受控条件下进行的，真实的Circle客户钱包并未被黑客入侵。问题在于确认的结构：用于更改限额的一次性代码被发送到所有者的电子邮件。如果代理可以访问相同的收件箱，它可以获得原本为人类准备的权限。

Circle的反应和解决方案

USDC发行方的代表告诉CoinDesk，他们重视负责任的披露，并继续改进安全性。Circle的文档现在包括一项警告：不要给予AI代理对发送代码的电子邮件的无限制访问权限，并建议所有者自行输入一次性代码。研究的作者认为这些措施不够：具有广泛权限的代理可以通过保存的凭据或打开的浏览器会话访问代码。他们提出了一个名为Countersign的原型，其中操作通过一个带有硬件安全密钥和生物识别功能的独立移动应用程序进行确认——这确保了操作由人类而非代理批准。

专家认为，其他具有相同权限系统的服务中也存在类似风险，尽管Coinbase和MetaMask钱包并未在研究中进行测试。8月，专家们已经警告过AI代理对加密货币钱包广泛访问的风险：在他们看来，黑客攻击自主系统可能导致大规模的数字资产盗窃。