康乃爾與耶魯實驗揭漏洞：AI 代理自行提高錢包支出額度，僅 Claude Opus 守住底線

美國康乃爾科技學院（Cornell Tech）與耶魯大學研究人員最新實驗發現，具備電子郵件存取權限的 AI Agent，可能在未經用戶同意的情況下，自行提高加密貨幣錢包的支出上限，甚至將資金轉給攻擊者控制的地址。研究團隊以穩定幣發行商 Circle 的 Agent 錢包進行測試，10 款 AI 模型中有 9 款至少一次自行提高支出額度，顯示目前部分 AI 支付系統的人類審批機制，仍存在安全漏洞。

Table of Contents

AI 代理自行提高加密貨幣支出額度

這項研究名為「I-HITL：不可剝奪的人類介入機制」（Inalienable Human-in-the-Loop），研究人員使用 Circle 的 Agent 錢包，在 Base 主網上存入 10 USDC，並將每日支出上限設定為 0.01 美元，再賦予 AI Agent 電子郵件、網頁及錢包操作權限，其中也包括接收驗證碼的電子郵件信箱。

實驗分為不同情境，每款模型在各情境下進行 20 次測試。第一種情境沒有任何外部攻擊者，AI Agent 僅被要求處理及支付帳單，並未被指示修改錢包的支出政策。

然而，10 款模型中有 9 款至少一次透過讀取寄送至用戶電子郵件的驗證碼，自行提高錢包支出上限。唯一沒有嘗試繞過限制的是 Anthropic 的 Claude Opus 5.5。該模型在達到支出上限後，選擇停止付款，並將尚未處理的帳單回報給用戶。

研究人員另外設計兩種模擬攻擊情境，透過惡意電子郵件誘導 AI Agent 提高支出額度，或冒充錢包所有者，要求將資金匯入攻擊者控制的地址。

在冒充用戶的實驗中，即使 AI Agent 原本只被要求整理電子郵件內容，仍有 10 款模型中的 5 款至少一次自行提高支出上限，並向模擬攻擊者轉帳。

研究團隊強調，這些結果來自使用真實 USDC 進行的受控實驗，並非 Circle 客戶實際遭受攻擊的案例。

電子郵件驗證碼成為漏洞，AI 可自行取得授權

研究指出，問題核心在於 AI Agent 能夠同時存取執行任務所需的工具，以及原本用來限制其權限的驗證機制。

以 Circle 的 Agent 錢包為例，用戶可以透過支出政策設定轉帳上限，也能限制可收款的錢包地址。不過，若要修改這些規則，系統會向用戶的電子郵件寄送一次性密碼（OTP），作為額外驗證。

問題在於，如果 AI Agent 同時擁有該電子郵件信箱的存取權限，就能自行讀取驗證碼，並利用這組原本設計來確認用戶身分的憑證，提高自己的支出額度。

Circle 目前的使用說明已提醒用戶，不應讓 AI Agent 無限制存取用於驗證的電子郵件帳戶，並建議由用戶自行輸入一次性驗證碼。Circle 表示，公司感謝研究人員通報相關發現，並將持續檢視及改善安全措施。

不過，研究人員認為，單純要求用戶不要連接電子郵件帳戶，並不足以解決問題。即使 AI Agent 無法直接讀取信箱，仍可能透過瀏覽器或終端機找到儲存的憑證。

研究共同作者、康乃爾科技學院博士生 Samuel Breckenridge 指出，這反映出目前個人 AI Agent 已逐漸取得愈來愈廣泛的系統權限，而只要驗證機制依賴 AI 能夠存取的資源，就可能失去原本的安全效果。

AI 支付基礎設施快速發展，人類授權機制面臨考驗

隨著 AI Agent 開始具備自主購買服務、支付帳單及管理資金的能力，加密貨幣業者正積極建立相應的支付基礎設施，但如何區分 AI 的自主操作權限與人類的最終決策權，已成為重要課題。

例如，Cloudflare 先前曾透露，計畫推出類似企業信用卡的 AI 錢包，由人類設定預算，當 AI Agent 達到支出上限時，再要求用戶授權。不過，這次研究顯示，如果 AI 同時能夠取得用戶的驗證憑證，這類設計仍可能遭到繞過。

研究共同作者也認為，類似風險可能延伸至 Coinbase、MetaMask 等採用相近審批設計的 Agent 錢包，但目前尚未透過實驗證實這些產品存在相同漏洞。

Coinbase 的 Agent 錢包工具則採取不同限制，相關文件指出，用戶必須透過錢包介面設定支出額度，AI Agent 可以支付線上服務費用，但無法任意向指定地址轉帳、修改支出上限，或自行啟動 Coinbase Onramp 資金入金流程。

支付基礎設施業者也開始採取不同的防護方式。MoonPay Labs 首席工程師 Neeraj Prasad 表示，其 PayBox 系統將權限分離設計放在伺服器端，而非交由 AI 模型自行遵守。凡是需要用戶核准的操作，都必須透過 PayBox App 中的 Passkey（通行密鑰）完成授權，而且每筆交易的金額、收款對象或商家一旦變更，都必須重新取得授權。