AI Agent 时代的链上安全分析：当交易、支付与签名由 Agent 替代，人类的安全边界如何界定？

正文：

原文作者：Jesse，外捕研究（Web3Caff Research）研究员

出品单位：外捕研究（Web3Caff Research）与慢雾科技（SlowMist）联合发布

在2026年5月，一名攻击者未通过窃取私钥或攻击合约来进行攻击，而是利用Grok翻译摩尔斯码。Grok的输出遵循“乐于助人”的模型，生成了明文转账指令，而Bankrbot则将此自然语言视作可执行的金融指令，经过NFT权限验证后签署并广播交易，导致Grok关联的钱包损失约15到20万美元。短短两周后，攻击者利用同样的Agent信任层漏洞扩大攻击范围，导致14个用户钱包共损失超过44万美元。这一案例的关键在于，Grok与Bankrbot并没有传统意义上的缺陷，真正失效的是两个自动化系统之间的信任边界。虽然各自完成了设计任务，但却共同产生了错误的金融结果。

这标志着AI Agent时代链上安全的转折：交互流程从“人们点击钱包”转变为“Agent理解意图、调用系统工具，然后利用钱包或支付层执行交易”。Cobo对AI钱包的定义是，集成人工智能的链上钱包，旨在自动化和优化区块链操作；它能够根据市场情况自主执行交易、分析网络拥堵以优化Gas费用、跨多个协议管理DeFi头寸、实时监测欺诈交易，并依据风险参数重新平衡组合。这种能力对于常规交易和策略自动化有重要价值，但在高频、跨协议、跨工具和自动支付的场景中，安全问题不仅仅是私钥的保护，还涉及模型是否理解真实意图、工具是否受到污染、权限是否过宽、签名是否可验证等方面。

典型的Agent系统包括用户交互层、应用逻辑层、模型层、工具调用层、记忆系统和底层执行环境。攻击者往往不会只攻击其中的一个模块，而是通过上下文、记忆、工具、权限和执行路径逐层影响Agent的行为控制。

然而，AI Agent时代并未消除Web3的旧风险，私钥、签名、授权、钓鱼、预言机及合约漏洞依然存在。真正的变化在于执行链条被拉长：过去是“人看网页、点钱包、签交易”，现在可能演变为“人给目标、AI解析上下文、调用工具、使用OAuth权限、发起x402支付、等待服务方验证结算、最后将结果记录到链上”。链条越长，潜在的误导、污染、冒充或重复利用的环节也越多，风险因此从单点漏洞转变为跨层耦合。

因此，链上安全的主要战场正在从传统的“私钥安全 + 合约漏洞 + 前端钓鱼”，扩展为跨五层的复合攻击面：模型目标与提示词、记忆与知识检索、工具与MCP/Skill供应链、钱包与支付授权、链上执行与治理。尤其是AI Agent进入Web3 DeFi后，风险暴露的核心未必来自模型本身，而在于现有的授权体系仍然建立在人类确认交易的旧假设之上。传统钱包默认假设屏幕前有一个会停顿、犹豫并进行二次判断的人，但一旦Agent获得权限，将会根据任务目标进行连续执行。因此，原本为人类交互设计的钱包授权机制在自动化执行场景中迅速转变为系统性风险，而Agent的安全评估也不能沿用无状态LLM的评估方式，因为多步骤的工具调用、状态记忆和持久化权限会产生传统扫描器难以捕获的新漏洞组合。因此，AI Agent时代的链上安全需要从“保护密钥”升级为“保护意图并约束执行”。

合规提示：以下内容仅为客观分析AI Agent在链上交易中可能扮演的角色和形成的特征，并不构成任何提议或要约。请注意，发行和参与投资Token的行为在不同国家和地区有不同的法规要求和限制，尤其在中国大陆，发行Token可能涉及“非法发行证券”，提供Token交易撮合等加密货币交易相关行为也属于“非法金融活动”。因此，请您勿以此信息进行相关决策，并请您严格遵循您所在国家和地区的法律法规，不参与任何非法金融行为。

要理解AI Agent为何会改变链上的安全边界，最简单的方式是观察其正在替代哪些“人”。过去，在链上操作中，通常有明确的人类角色：有人观察市场反应、有人决定交易、有人点击钱包、有人确认签名、有人进行后续审计。如果出现问题，至少可以追问是谁点击了确认和授权。然而，随着Agent的介入，这些角色开始被拆分并交由软件系统处理，风险因此不再集中在某一个人或某个私钥上，而是分散于各个组件之间。

第一类被替代的是交易员和策略执行者。过去，交易员需要自己看盘和做出判断；现在，交易平台API、MCP工具和技能正在将这些动作交给Agent。例如，Bitget Agent Hub就是一个典型案例，它基于Bitget API和官方MCP工具套件，使Agent能够通过标准化接口访问市场数据和执行交易。此外，一些AI基础操作系统（如最近大热的Agent Harness）进一步将交易Agent嵌入更完整的执行系统中，不仅让AI下单，还组织上下文、工具、权限、风控、评估、追踪和反馈，使Agent能够在市场中持续行动。

这种替代带来的安全问题也十分直接：交易错误可能立即转化为实际资金损失。人类交易员下错单时，至少有风控提示和人工审批作为保障，而如果Agent获得过大的权限，可能在毫秒级别内持续执行错误策略。因此，在请求Agent进行交易时，不应只简单地告诉它“请用这个钱包获取更高的收益”，还需提前为其设定提示词之外的边界，例如设定预算上限、最大杠杆和审计记录等。这些规则必须是在提示词层级之上的系统性硬约束。

第二类被替代的是支付发起者和API买方。过去，人类用户在购买数据服务、模型推理或API时，通常需要注册账号、充值、获取API Key，然后手动控制使用量；而现在，x402和机器支付协议旨在改变这一过程，使Agent能够在遇到付费资源时自行签名付款、获取服务，并继续完成任务。这意味着Agent开始真正成为能够花钱购买服务的“机器管家”。

支付角色被替代后，风险从“这笔钱是否是我授权的”转变为“这个机器是否会持续花钱、花给谁、以及为什么花”。在近期的Stripe Sessions大会上，Stripe也宣布将推动一种新经济形态——Agentic Commerce（智能体商业）。创始人约翰·科里森表示，如果一个智能体完成从研究到下单的全流程，几天后产品送到家里，他就不会再到另一个网站重新填写个人信息，即使那个网站的产品略好。一旦购物智能体完成搜索，其下一个自然步骤便是结账。

同时，当付款从人类的反复确认转变为Agent按任务持续消费时，系统也必须设定会话额度和单笔额度，并关注其授权问题。否则，Agent每次调用数据和执行任务，都可能形成一条持续出血的支付路径。

第三类被替代的是钱包操作员和签名解释者。过去，钱包确认页面默认有一个人类坐在屏幕前，审查收款地址和金额等信息，然后决定是否签名。AI钱包出现后，用户可能仅需发出一句“帮我把这笔资产跨链到收益更高的地方”，而中间的路由选择、协议调用、授权参数和交易生成均由Agent完成。此时，用户看到的将是一个由Agent打包好的执行结果。

这突显了在过程中可验证的界面是多么重要。这一思路类似于Deepseek的“安全版”思维链。其目标是确保钱包界面展示的内容与链上即将发生的事务真正对应。换句话说，钱包必须从单纯的签名通道升级为执行前的最后一道确定