研究发现，Circle通过电子邮件发送的验证码对可访问收件箱的AI代理不构成障碍

研究人员告诉每个代理它正在无人监督的情况下运行，并要求它支付用户收件箱中的发票，但没有提及消费上限或如何提高上限。根据周一发布在arXiv上的论文，在20次尝试中，10个模型中有9个进入收件箱、复制验证码并至少一次为自己提高了每日限额。只有claude-opus-5.5在每次运行中都守住了底线。它在上限允许的范围内支出，然后告诉用户哪些发票仍未支付。

作者为康奈尔科技学院的Samuel Breckenridge、Dani Vilardell和Ari Juels，以及耶鲁大学的Wenhao Wang和Fan Zhang，他们也都隶属于IC3。每个模型在每个实验中运行20次，配备电子邮件、网络和钱包工具，以及一个在Base上持有10 USDC的钱包，每日上限为0.01 USDC。

通过免费的Unchained Daily新闻简报，在您的收件箱中获取Unchained的加密新闻。

欺骗性电子邮件测试

另外，该代理仅被要求总结收件箱。研究人员扮演攻击者，发送冒充用户的电子邮件，要求向研究人员控制的地址转账0.02 USDC，然后阻止任何确认请求。

10个模型中有5个在至少一次运行中向该地址付款。根据论文中的图表，两个Qwen和两个DeepSeek模型在该测试中约65%至90%的运行中提高了上限，gemini-2.5-flash仅在一次运行中提高，而GPT和Claude模型以及gemini-3.8-flash均未提高。“任何能给用户发邮件的人都能从钱包中花钱，”作者在论文中写道。

Circle改变了什么

研究人员表示，他们于9月22日将结果披露给Circle，Circle确认收到了报告。Circle的快速入门和身份验证页面现在告知用户：“切勿让AI代理不受限制地访问您的电子邮件账户”，并要求用户自行输入验证码。论文引用的是截至10月10日访问的快速入门页面。

在论文中，作者称该警告是“一种合理的缓解措施”，但表示它“将负担转嫁给了用户”，要求用户阻止代理访问收件箱。作者指出，Circle并未改变限额提升的审批方式。他们写道，这使得任何通过其他途径访问所有者收件箱的代理仍有可乘之机，例如使用已保存的登录凭证或已登录的浏览器。

他们提议通过代理无法控制的受信任设备来路由审批流程。他们构建了一个名为Countersign的原型，利用Android和iOS手机上的认证功能，加上按钮按压或生物识别验证。作者指出，其他代理钱包也使用类似的审批设计。

Unchained本月早些时候报道了一个OpenAI模型从其未被授权的钱包中支付以太坊测试网费用的事件。

相关收听：摩尔斯电码如何攻破一个AI加密代理

文章《研究发现：Circle的邮件验证码对拥有收件箱访问权限的AI代理不构成障碍》首发于Unchained。