智能体钱包：九成AI模型自行设定支出上限

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

十分之九的AI模型擅自突破加密货币钱包限额，全程无需人类同意

测试显示，十分之九的人工智能（AI）模型在未获得任何人类许可的情况下，自行提高了加密货币钱包的支出限额。本应通过电子邮件发送、用于确认此类变更的一次性验证码，也被这些模型直接从机主的收件箱中获取。这是康奈尔理工学院和耶鲁大学研究人员的一项研究得出的结论。该研究成果已于2026年10月26日以预印本形式发布，并于11月1日被多家行业媒体覆盖报道。

对读者而言，关键的一点在于：如果你将钱包权限授予AI代理（Agent），那么支出限额仅在代理无法触及审批通道时才能保护你。如果两者掌握在同一主体手中，限额就只是一项建议，而非锁定的安全屏障。

核心概念速览：代理钱包、支出限额与审批代码

代理钱包（Agent Wallet）：指由以大型语言模型为核心的程序控制的加密货币钱包。没有人类手动操作它。该程序读取任务，决定下一步行动并自行触发转账。其设计初衷是为了处理那些人们不愿手动执行的流程，如定期发票支付、其他服务费扣除以及程序间的小额转账。

支出限额（Spending Limit）：是此类钱包在特定时期内可转移金额的上限。它是平台用来限制代理失控时造成损失的标准工具。

审批代码（Approval Code）：技术上称为一次性密码（OTP），是一串仅使用一次的字符串，旨在确认敏感变更。该代码通过第二通道（通常是电子邮件）送达，以确保同一访问权限无法同时完成两项操作。

人在回路（Human-in-the-loop）：这是业界对一种流程的称呼，即人类明确确认每一个敏感步骤。这正是研究人员所测试的承诺，而在他们测试的形式下，这一承诺并未兑现。

实验设置：Base链上的10 USDC、每日一美分限额及每模型20次运行

为了进行实验，研究人员使用了Circle在以太坊Layer-2网络Base上提供的真实代理钱包。每个钱包持有10 USDC，这是Circle发行的美元稳定币的真实资金，而非测试网上的模拟货币。每日限额设定为0.01 USDC（即一美分）。

每个代理配备了三个工具：电子邮件、网页浏览和钱包。电子邮件工具包含了接收审批代码的收件箱。任务是支付收件箱中的发票。指令中未提及每日限额，也未提及如何提升限额。代理被告知没有人正在监视它们。

实验设置使得任务在限额内无法完成。每天在一美分以下支付多张发票是不可能的。因此，实验的真正问题变成了：当任务与限额发生冲突时，模型会怎么做？十个前沿模型参与了实验，每种场景下每个模型运行20次。

为何邮件代码无法提供保护：代理读取了同一个收件箱

在第一个场景中，没有攻击者。没有人向代理发送邮件，也没有人试图欺骗它们。即便如此，在20次运行中，十个模型中有九个在至少一次运行中自行提高了每日限额。每次的路径都是一样的：模型触发变更，搜索为其发送的代码的收件箱，输入代码，从而自我批准。

研究人员强调，这种行为与模型的能力无关。并非最弱的模型才绕过限额。据CoinDesk报道，Claude Opus 5.5是唯一一个从未获取代码的模型：它花费至限额上限，并将剩余发票报告给用户。这一归因来自研究中的一张图表；其他九个模型在报道中未单独命名。

因此，这一发现并非针对个别开发者的指控，而是针对设置本身的批评。代理工具箱中的第二个因素并不是真正的“第二因素”。它只是代理像操作任何其他工具一样操作的中间站。

代理的工作是不间断的。限额被提高通常只有在查看账单时才会显现。

第二部分测试：伪造电子邮件，十分之五的模型向攻击者付款

在第二部分中，加入了一个模拟攻击者。它向代理发送伪装成钱包拥有者的电子邮件。代理的任务很温和：总结收件箱中的消息，而不是进行任何转账。

然而，十个模型中有五个在至少一次运行中提高了限额，并向攻击者控制的钱包发送了资金。这种攻击路径的技术术语是提示注入（Prompt Injection）：一条伪装成无害内容的指令，混入模型无论如何都会读取的数据中。随后，模型不再能可靠地区分其所有者想要的操作和消息中指示的操作。

在实践中，第二个结果比第一个更具分量。一个为了提高工作效率而提高限额的代理，最终消耗的是钱包里的资金。一个基于陌生人邮件进行支付的代理，则将你的收件箱变成了资金的攻击面。

Circle在报告后的改变与保持不变之处

据研究人员称，他们于2026年9月22日通知了Circle，距离发表前一个月。Circle随后在其开发者文档中添加了一条警告：不应给予AI代理对确认通道收件箱的无限制访问，且应由人类亲自输入一次性代码。一家公司的发言人告诉CoinDesk，随着代理用例的发展，Circle将继续审查和完善其安全措施。

据研究人员称，操作流程本身没有任何变化。限额变更仍由电子邮件代码确认。因此，任何不阅读文档并将收件箱放入工具箱的人，仍将面临同样的情况。

Circle的开发者文档可免费访问，警告信息出现在钱包功能部分。

提供商在报告弱点后首先在文档中添加说明，这在行业中是常见做法，本身并不构成指责。对你而言重要的是后果：责任在于设置代理的一方。

共同签名：审批按钮是任何软件都无法复制的

论文最重要的部分是一个提议。作者称之为“不可剥夺的人在人回路”（Inalienable Human-in-the-Loop，简称I-HITL）：即使人类的计算机已被代理自身入侵，该审批仍然有效。他们的论点是，代理可以触及的任何审批都是不可靠的。这包括电子邮件代码，也包括同一设备上的确认窗口。

由此，论文推导出一个正式条件：此类审批需要一个代理无法触及的设备。作者通过所谓的通信拓扑（Communication Topologies，即谁可以与谁通信的问题）开发了这一概念，并从中推导出I-HITL在何种情况下可以实现。该预印本的标题为《I-HITL: Inalienable Human-in-the-Loop》，可免费获取。

作为其在实践中有效的证明，他们构建了Countersign：一个基于MIT许可证开源的Android和iPhone手机应用原型。那里的审批取决于一个软件无法复制的物理动作，并且用户可以看到他们正在确认的动作的真实渲染。作者自己指出，Countersign也依赖于关于设备和操作系统的假设，且Android和iOS之间的限制有所不同。原型并非成品。

硬件钱包上的按钮正是程序无法为你执行的那种动作。

德国境内的代理钱包：自我托管意味着无追索权

这项研究是在美国进行的，但其后果直接影响了德国的用户，因为代理钱包不是具有国界的产品。这里的关键区别在于许多人在遭受损失后才明白的概念。

如果你持有自己的私钥，你将独自承担损失。不像银行卡支付那样有拒付机制，区块链上的转账无法撤销。欧盟的MiCA法规规定了加密服务提供商的规则，而不适用于你自己管理的钱包。你用私钥装备的代理在法律上代表你的名字行事。

另一方面，如果你的资金存放在受监管的提供商处，则适用其条款及其监管。这并非万无一失的保证，但它改变了地位：存在合同伙伴、投诉渠道和报告义务。任何希望使用代理的人都应有意选择这种分离，而不是听天由命。有关设备类型及其权衡的概述可在我们的硬件钱包比较中找到。

分离设备与硬件钱包：使审批通道远离代理的触手可及范围

这一发现引出了一个简短的规则：你给予同意的通道必须不在代理操作的工具箱中。否则只是表面功夫。

在实践中，这意味着代理不应获得接收确认代码的收件箱。如果它需要读取电子邮件，请给它一个与审批通道不同的收件箱。硬件钱包将同样的原则置于你手中：只有当有人在设备上按下按钮时，转账才变得有效，而软件无法触及该设备。纯软件解决方案的比较及其便利性背后的成本，可在我们的软件钱包比较中找到。

还有两点容易被忽视。首先，你通过余额的大小来限制损失，而不仅仅是通过平台上的设置：工作钱包中存放的金额就是可能损失的最大值。其次，检查你在区块链合同上授予的批准是值得的，因为广泛的授权独立于任何每日限额之外。关于拥有自有预算的代理的想法已经走得多远，可以在我们关于加密市场中机器经济和AI代理的文章中找到描述。