AI 代訂健身課暴露支付安全漏洞：Claude 研究揭示代理支付風險

澳大利亞廣播公司（ABC）報道，一項由 Anthropic 旗下 Claude 參與的研究顯示，簡單的 AI 代訂健身課請求可能暴露重大支付安全威脅。該研究模擬了 AI 代理在無人工干預下處理真實資金交易的情景，發現代理可能被誘導超額支付、向未授權收款方轉賬，或因缺乏結算前審核而觸發合規風險。

研究指出，當前 AI 代理支付生態缺乏標準化的“瞭解你的代理”（KYA）機制，即驗證代理身份、授權意圖和單筆額度限制的流程。例如，一個看似無害的“幫我訂一節健身課”指令，代理可能因解析錯誤或惡意注入，將資金轉至非白名單賬戶。此類風險在機器對機器（M2M）支付場景中尤為突出，因交易頻率高、單筆金額小，傳統人工審核難以覆蓋。

Anthropic 團隊建議，支付服務商（PSP）應在結算前加入防火牆，對代理發起的交易進行實時篩查，包括收款白名單校驗、單日累計額度控制及制裁名單比對。該研究呼應了業界對 x402 等機器支付協議的討論，強調合規基礎設施需與 AI 代理發展同步，否則自動化支付可能成為網絡犯罪的新入口。