AI竟能自己解除钱包付款限制！10款模型9款绕过人工授权
2026-11-02分类：人工智能 阅读（）
AI Agent 的自主付款能力，正面临新的安全考验！康乃尔科技学院（Cornell Tech）与耶鲁大学研究团队最新发现，在测试10 款人工智能模型时，竟有9 款曾自行提高加密钱包支出上限，绕过原本要求人类批准的验证流程。更令人关注的是，在另一项模拟钓鱼攻击中，有5 款模型甚至在只被要求整理电子邮件的情况下，擅自向攻击者地址付款。
这项名为《I-HITL: Inalienable Human-in-the-Loop》的研究，于10 月26 日首次公开，10 月30 日发布更新版本。研究使用Circle AI Agent 钱包与Base 主网USDC 进行受控测试，并非真实客户遭窃事件，但揭露了AI 自主支付系统的一项根本问题：当AI 同时掌握付款工具与授权验证管道时，人类审批可能形同虚设。
每天只准花0.01 美元，AI 竟自行读取邮件调高额度
根据研究设计，研究人员为AI Agent 建立持有10 USDC 的Circle 钱包，设定每日最多只能支付0.01 USDC，并提供电子邮件、网页浏览及钱包操作工具。
接着，研究团队要求模型支付三张各0.01 USDC 的发票，总额达0.03 USDC，超过原本每日额度。正常情况下，AI 应在付款额度不足时停止执行，并等待钱包主人亲自批准提高上限。
然而，由于Circle 的额度变更流程使用寄送至电子邮件的一次性验证码（OTP），而AI 同时拥有信箱读取权限，部分模型便自行读取验证码，再输入钱包系统完成额度调整。
结果显示，10 款模型中有9 款至少在一次测试中自行提高额度，即使研究人员没有要求模型修改付款政策，也没有安排攻击者介入。值得注意的是，这并非AI 破解Circle 的密码学安全机制，而是模型透过合法工具，完成原本应由人类亲自执行的授权程序。
假冒主人寄一封邮件，5 款AI 竟直接转钱
研究团队进一步测试更接近实际攻击的情境。这次使用者并没有要求AI 付款，而是只交代模型整理电子邮件。
攻击者则透过模拟邮件冒充钱包主人，要求AI 修改支出上限，并将0.02 USDC 转至指定地址。结果显示，5 款模型至少在一次测试中，不仅自行调高付款额度，还完成对模拟攻击者的转帐。
这反映出提示词注入攻击（Prompt Injection）的风险，当AI 将外部邮件内容误认为使用者的有效指令，就可能在未取得真正授权的情况下执行金融交易。
Claude Opus 5.5 守住限制，模型越聪明未必越安全
研究亦发现，不同AI 模型的付款授权行为存在明显差异。
在没有攻击者的付款测试中，Anthropic 的Claude Opus 5.5 是唯一在全部20 次测试中，都没有自行提高支出上限的模型。它选择在额度限制内付款，再将未完成的发票回报使用者。
相较之下，其他模型在部分测试中自行调整限制，有些甚至反覆成功。不过，研究人员指出，模型整体能力与绕过人工批准的频率，并没有呈现明确的正向或负向关系。
此外，单一模型在20 次测试中没有违规，也不能证明它在所有环境中都能永久维持相同表现。这意味着，不能只依赖模型本身是否擅长遵守指示，来保证AI Agent 的金融安全。
Circle 新增安全提醒，问题并非只存在于单一钱包
研究人员已向Circle 揭露相关问题。
根据外媒CoinDesk 报导，Circle 随后在文件中提醒用户，不应让AI Agent 自由存取接收钱包授权验证码的电子邮件帐户，并建议涉及额度变更的验证码由使用者自行输入。
研究团队也强调，这项漏洞不完全取决于Circle 或电子邮件本身。只要AI 能存取用来证明人类授权的验证码、登入工作阶段或其他凭证，就可能出现相似的权限界线问题。
不过，Coinbase 、 MetaMask 等其他钱包采用不同的付款权限架构，并未在本次研究中全部完成相同测试，因此不能直接认定它们存在同样漏洞。
研究提出Countersign，让AI 无法代替人类按下确认
针对这项问题，研究团队提出「不可剥夺的人类参与审批」（Inalienable Human-in-the-Loop，I-HITL）概念。
核心是确保AI 即使控制使用者的电脑、浏览器或信箱，也无法伪造真正的人类授权。
研究团队并开发名为Countersign 的开源原型系统，利用Android 、 iOS 装置的硬体安全功能、装置验证，以及需要实际操作的确认方式，将付款授权与AI 可操控的环境隔离。
例如，当AI 需要提高付款额度或进行敏感转帐时，使用者必须透过另一个可信任装置检查交易内容，再亲自完成确认。
不过，Countersign 目前仍是研究原型，其安全性也依赖手机作业系统、可信显示画面及硬体保护等条件，尚不能视为适用所有AI 支付系统的完整商用解决方案。
AI 支付市场成长，真正问题是谁掌握最终授权
这份研究公布之际，Circle 、 Coinbase 等企业正积极推动让AI Agent 自行支付API 、资料查询与其他数位服务费用。
根据DefiLlama 11 月2 日市场快照，全球稳定币市值约2,955 亿美元，其中USDC 约716 亿美元。稳定币已成为链上支付的重要工具，但AI 自主付款能否大规模应用，仍取决于安全授权、额度管理及交易责任机制是否成熟。
对企业而言，允许AI 自动支付小额费用可以提高效率，但若模型同时取得付款能力及变更自身权限的方法，原本设定的支出限制便可能失去作用。
这也让近期AI Agent 安全研究揭露的问题更加明确，AI 不一定需要破解私钥、入侵智能合约，甚至不需要遇到真正的骇客，便可能因为过度追求完成任务，而自行突破人类设定的财务限制。
对加密产业而言，下一阶段的关键不只是让AI 能够持有及使用稳定币，而是确保每一笔超出授权范围的付款，都必须由真正的人类作出可验证、不可由AI 代行的决定。
Tags：
