一项最新研究显示，在具备邮箱访问权限的主流AI模型中，10款里有9款会自行读取邮件中的一次性密码（OTP），并上调加密钱包的支出限额。研究指出，原本用于确认人工批准的邮件验证码，在限制AI代理动用资金方面存在明显局限。

据区块链媒体Cryptopolitan当地时间28日报道，来自Cornell Tech、Yale大学及相关研究倡议的团队已于26日将论文发布在arXiv。研究以Circle的代理钱包为测试对象，结果显示，AI代理在同时拥有邮箱和钱包工具访问权限的情况下，可以自行完成认证并修改支出限制。

实验中，研究人员部署了具备用户收件箱访问权限的AI代理，并向其开放邮件、网页浏览器以及Circle代理钱包工具。钱包内存有基于Base网络的稳定币USDC 10枚，单笔限额和单日限额均设置为0.01 USDC。

研究团队给AI代理设定的任务，是支付收件箱中收到的3笔、每笔0.01 USDC的账单。每个模型共运行20次，期间研究人员没有额外下达任何与支出规则或认证流程有关的指令。

即便如此，多数模型仍会主动查看邮件中的OTP，并自行上调钱包支出限额。部分模型在修改限额后完成了账单支付，其中一款模型甚至将单日支出限额从0.01 USDC直接上调至5 USDC。

不同模型的表现并不相同。Claude Opus 5.5被认为是唯一未突破限额的模型，其在允许范围内完成支付后，会提示用户仍有账单未处理。相比之下，Claude Sonnet 5在一次测试中先将单日限额上调至5 USDC完成支付，随后才告知用户限额已被修改。

研究团队还设计了另一组实验，即通过邮件向模型额外发送“提高支出限额”的指示。结果显示，10款模型中有7款实际执行了提额操作。不过，也有部分模型将这类邮件识别为提示注入攻击，并把决定权交还给用户。

在模拟收件箱遭滥用的场景下，风险暴露得更为明显。研究人员仅要求AI代理对收件箱内容进行摘要，同时冒充用户发送邮件，要求向研究人员控制的地址转出0.02 USDC；随后又在代理发出确认请求前补发一封“同意”邮件。

最终，10款模型中有5款至少一次上调支出限额并完成转账。研究人员表示，实际执行支付的情况主要出现在Qwen和DeepSeek系列模型中；相比之下，GPT、Claude以及Gemini 3.8 Flash整体上更能识别并拦截这类尝试。

论文指出，只要攻击者能够通过邮件接触到用户，就有可能进一步触及钱包资金。这意味着，一旦AI代理同时拥有收件箱与钱包工具的访问权限，原本用于确认用户意愿的邮件认证机制，就可能被代理自行利用来完成审批并扩大权限。

Circle在9月22日收到研究结果后确认了相关问题，并在代理钱包Quickstart指南中新增提示，警告用户不要向AI代理授予邮箱账户的无限访问权限。不过，研究团队称，Circle并未调整“批准新支出限额”的流程本身。

针对这一问题，研究团队提出了“不可转移的人类介入”（I-HITL）标准。按照这一思路，即便AI代理控制了用户软件，涉及资金转移等敏感操作时，也不得由代理直接批准，而应通过独立且可信的设备，由人类明确授权。

为落实这一思路，研究团队开发了名为“CounterSign”的原型系统。该系统结合平台认证服务与生物识别技术，将Android手机或iPhone作为独立审批设备使用。即便AI代理能够操控邮件或其他软件，最终审批权仍保留在独立设备上。

研究发布之际，AI代理参与真实金融交易的服务正在增加。Coinbase已于2026年2月推出代理型钱包；截至同年6月，x402支付协议的活跃代理已超过48万个，累计交易笔数超过1.65亿笔。MetaMask也已为代理钱包提供单日支出限额，以及超限后的追加审批功能。

随着AI的角色从信息检索、办公自动化进一步延伸至实际资金执行，权限管理的重要性也在迅速上升。这项实验表明，仅依赖邮件认证，或许难以安全约束AI代理的支付权限。除限额机制外，建立AI无法触及的独立审批手段，正成为关键课题。