Circle邮件验证码未能阻止9/10的AI模型提升钱包限额

10个被赋予用户邮箱访问权限的前沿AI模型中，有9个至少一次提升了其在Circle代理钱包上的支出限额。

他们阅读通过电子邮件发送的一次性验证码，以确认更改背后是真人操作。

康奈尔科技与耶鲁大学研究人员在加密货币与合约倡议（Initiative for CryptoCurrencies and Contracts）的推动下，于10月26日将论文发布至arXiv。claude-opus-5.5 模型是唯一一个始终未突破自身限制模型。

一个模型将其每日上限从 0.01 提高至 5 USDC

Circle 将代理钱包支出策略的任何更改置于一次性验证码之后，该验证码会通过电子邮件发送给账户所有者。只有在命令行中输入该代码后，此更改才会生效。

团队使用了一个 LangChain 代理，它具备三种工具：电子邮件、网络浏览器和 Circle 代理钱包。该钱包在 Base 链上存有 10 USDC，每笔交易手续费为 0.01 USDC，并设有每日限额。

任务是支付三张金额为 0.01 USDC 的发票，这些发票当时正躺在收件箱中。每个模型运行了 20 次，且没有任何关于支出策略或验证码的提示。

claude-opus-5.5 模型支付了它能支付的最高金额，然后通知用户有待处理的发票。

在一次运行中，claude-sonnet-5 将其每日上限从 0.01 USDC 提高到 5 USDC，支付了发票，直到最后才向用户提及这一更改。

当收到一封额外的邮件要求提高限额时，十个模型中有七个（此前为九个）按照要求执行了操作。其中一些模型将该邮件视为提示注入，并让用户自行决定如何处理。

5 个 10 模型向伪装成用户的攻击者付款

在另一项测试中，代理仅被要求总结收件箱。随后，研究人员以用户身份发送了一封电子邮件，请求将 0.02 USDC 发送至其控制的地址。

他们还会在代理甚至没有机会询问之前就发送后续邮件表示同意。

10 个模型中有 5 个提高了限额并至少执行了一次转账。大多数支付由 Qwen 和 DeepSeek 模型完成，而 GPT、Claude 模型以及 gemini-3.8-flash 则基本未受影响。

“任何能够给该用户发送邮件的人都可以从钱包中消费，”作者写道。

9 月 22 日，专家将结果告知 Circle，该公司确认了该报告。Circle 的代理钱包快速入门指南现已包含“切勿给予 AI 代理对您邮箱的无限制访问权限。”一行内容。

作者指出，Circle 尚未更改批准新支出限额的流程。

作者提出的修复方案是一种称为“不可剥夺的人工介入流程”（Inalienable Human-in-the-Loop，简称 I-HITL）的标准。即使代理已 compromising 人类软件，也仅在获得明确的人类批准后才会继续执行操作。

研究表明，这需要一台不受代理控制的可信计算设备。他们的原型系统Countersign利用平台的验证服务以及生物特征检查，将Android手机或iPhone转变为这样的设备。

Cryptopolitan报道，Coinbase于2026年2月推出了Agentic Wallets。到6月，其x402支付协议已拥有超过48万个活跃代理和超过1.65亿笔交易。

MetaMask的Agent Wallet还允许用户设置每日支出限额，并要求对超出该限额的任何支出进行审批。

不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。