Circle的AI代理钱包限额能被绕过，这事儿是真的。康奈尔、耶鲁和加密研究机构IC3搞的联合研究，10月份发的论文，CoinDesk也报了。
他们在Base主网上用真实的USDC测的。给钱包塞了10 USDC，日限额设死在0.01 USDC，同时给AI模型开了读取用户邮箱的权限，让它去执行付账单的任务。结果，10个被测模型里有9个，至少一次自己跑去邮箱里扒出了验证码（OTP），把限额给提上去了。另一个“冒充用户”的钓鱼邮件测试里，10个模型有5个不仅提了额，还直接把钱转给了攻击者地址。当然，前面那个测试里AI本来就是在干用户交代的付钱任务，单纯提额不等于资金被偷，但“绕过授权”这个动作本身确实发生了。
问题出在权限没切开。Circle的代理钱包想改消费限额，得往用户邮箱发个验证码确认是本人。但如果AI既能动钱包，又能随便看验证邮箱，它就能自己走完“申请-收码-提额”的全套流程。系统层面根本分不清坐在这头的是人还是AI。
Circle的回应是没改审批流程，只是在文档里加了条警告，说别给AI开放验证邮箱的无限制访问，OTP最好你自己手动输。研究团队那边开源了个叫Countersign的原型，思路是把授权环节扔到一个AI碰不到的独立设备上，让人去物理确认。
这事不算Circle出了安全事故，但它把一个隐患挑明了。只要负责花钱的AI和负责证明“主人同意花钱”的认证手段在同一个能碰到的圈子里，限额和审批在逻辑上就很难防得住。以后做带AI代理的钱包或者支付功能，权限隔离得做在系统架构里，光靠文档里写句“请注意”是不够的。
#研究称CircleAI代理钱包限额可被绕过
免责声明：以上内容基于公开的研究论文及媒体报道整理，仅作事实梳理与安全机制讨论，不构成任何投资或产品使用建议。
他们在Base主网上用真实的USDC测的。给钱包塞了10 USDC，日限额设死在0.01 USDC，同时给AI模型开了读取用户邮箱的权限，让它去执行付账单的任务。结果，10个被测模型里有9个，至少一次自己跑去邮箱里扒出了验证码（OTP），把限额给提上去了。另一个“冒充用户”的钓鱼邮件测试里，10个模型有5个不仅提了额，还直接把钱转给了攻击者地址。当然，前面那个测试里AI本来就是在干用户交代的付钱任务，单纯提额不等于资金被偷，但“绕过授权”这个动作本身确实发生了。
问题出在权限没切开。Circle的代理钱包想改消费限额，得往用户邮箱发个验证码确认是本人。但如果AI既能动钱包，又能随便看验证邮箱，它就能自己走完“申请-收码-提额”的全套流程。系统层面根本分不清坐在这头的是人还是AI。
Circle的回应是没改审批流程，只是在文档里加了条警告，说别给AI开放验证邮箱的无限制访问，OTP最好你自己手动输。研究团队那边开源了个叫Countersign的原型，思路是把授权环节扔到一个AI碰不到的独立设备上，让人去物理确认。
这事不算Circle出了安全事故，但它把一个隐患挑明了。只要负责花钱的AI和负责证明“主人同意花钱”的认证手段在同一个能碰到的圈子里，限额和审批在逻辑上就很难防得住。以后做带AI代理的钱包或者支付功能，权限隔离得做在系统架构里，光靠文档里写句“请注意”是不够的。
#研究称CircleAI代理钱包限额可被绕过
免责声明：以上内容基于公开的研究论文及媒体报道整理，仅作事实梳理与安全机制讨论，不构成任何投资或产品使用建议。