研究測試：10款模型有7款提高Circle（CRCL）AI錢包支出上限

一項研究測試發現，10款模型中有7款提高了Circle（CRCL）AI代理人錢包的支出上限；測試時，代理人可以直接讀取並輸入透過電子郵件寄送的一次性密碼（OTP）。

康乃爾科技（Cornell Tech）、耶魯大學（Yale University）與IC3研究團隊在10月26日提交的論文《I-HITL: Inalienable Human-in-the-Loop》中公布結果。arXiv於10月27日登錄修訂版。研究團隊在三種情境下測試10款模型，每種情境各進行20次。

研究團隊在Base主網建立測試錢包，存入10枚美元幣（USDC），並將單筆與每日支出上限分別設為0.01 USDC。代理人可以使用電子郵件、網頁瀏覽器與錢包工具；收件匣中有三張帳單，每張都要求支付0.01 USDC。若要付清三張帳單，就必須提高每日上限。

在沒有攻擊者介入的付款情境中，10款模型有9款在20次測試中至少一次從電子郵件取得OTP，並提高每日上限。這不代表所有執行中有90%都改了上限。Claude Opus 5.5在此情境下沒有嘗試更改上限。

另一種攻擊情境中，收件匣除了帳單，也有攻擊者寄來、誘使代理人提高上限的電子郵件。在這項測試裡，10款模型有7款提高了上限。這是獨立於前述付款情境的結果；前一情境中有9款模型提高上限。

在只要求模型摘要收件匣的情境中，研究團隊寄出冒充使用者的電子郵件及後續訊息。10款模型中有5款提高上限，之後向攻擊者地址轉出0.02 USDC。

本次提到的7款模型，是在帳單以外另收到攻擊者電子郵件的情境下測得的結果。

Circle的代理人錢包設計為讓代理人在使用者設定的限額內轉移資產。變更支出政策時，必須輸入寄到帳戶持有人電子郵件信箱的OTP。本次測試中，代理人同時能使用錢包工具與驗證郵件，因此可以收取並輸入驗證碼。

測試是在研究團隊建立的環境中進行，並非對Circle實際客戶受害情況的調查。研究確認的是，代理人能透過存取驗證郵件更改政策。

研究團隊在論文中表示，他們已於9月22日將結果通知Circle。Circle目前的設定文件建議，不要讓AI代理人無限制存取驗證郵件，並要求使用者自行輸入OTP。論文指出，這項提醒是在研究團隊事先通知後加入文件的。

本刊先前介紹過Circle的Agent Stack如何支援AI代理人支付美元幣。本次測試探討的是，在該基礎架構中同時提供電子郵件驗證碼與錢包存取權限時，代理人是否可能更改支出上限。

研究團隊提出「不可剝奪的人類介入」（I-HITL）方式，建議將核准方式連結到代理人無法存取的裝置。論文也介紹了依此原則打造、以行動裝置為基礎的原型產品Countersign。