AI 代理可以使加密货币更易于使用，但将语言模型连接到钱包会引入新的攻击面：提示注入。安全模型必须跟上这些系统所获得的签名能力。
为什么 AI 加密代理正受到关注
Binance Agent OS 和 Coinbase Base MCP 展示了语言模型代理如何读取市场数据、与 DeFi 应用交互并执行交易。这创造了一种新的签名表面：软件可以在对钱包采取行动之前，解读来自开放互联网的自然语言指令和内容。
关键要点
• AI 代理可通过交易所子账户、钱包和 DeFi 工具转移真实资产。 • 提示注入可在代理读取的内容中植入恶意指令。 • 来源草案中引用的安全研究报告显示，直接和间接注入尝试的成功率均较高。 • 最小权限控制、支出上限、白名单、过期会话密钥以及人工审批是重要的安全措施。 • 自主链上行为的法律责任问题仍未解决。
加密货币重新引入了决策者
智能合约是确定性的且可审计的。语言模型智能体是概率系统，它们读取文本、对其进行推理并选择操作。当此类系统连接到签名钱包时，攻击者可能会针对决策过程而非合约代码。
什么使AI区块链代理人不同
一个传统的交易机器人遵循明确的规则。一个AI代理能够适应、解读和即兴发挥。这种灵活性可能很有用，但也使该代理容易受到隐藏在网页、代币描述、价格行情、论坛帖子或其他数据源中的指令的影响。更广泛的类别通常被称为 DeFAI，它结合了去中心化金融与基于AI的界面和自动化。
风险既包括运营风险，也包括技术风险
交易所和基础设施提供商可能从基于代理的便利性中受益，而用户则面临过度授权的风险。委托签名权限的用户不再直接做出每笔交易决策。如果代理通过合法、白名单中的合约路由资金，即使决策被操纵，链上交易看起来也可能正常。
攻击面已转向密钥持有者
加密货币安全漏洞已从智能合约错误转向桥接、密钥、特权访问和操作流程。AI 代理引入了另一种密钥持有者：一种可通过文本而非被盗私钥影响的系统。链上最终性和缺乏退款机制使得这种攻击尤其难以逆转。
为什么提示注入难以解决
提示注入试图通过在代理处理的内容中插入竞争性指令来覆盖代理的预期指令。OWASP 在其 LLM 应用风险框架中将提示注入列为首要风险，并指出不存在通用的修复方案。实际影响是，仅靠过滤是不够的；当解释失败时，权限和交易边界必须限制损害。
内存注入增加了持久性
写入代理记忆中的持久化指令可能会影响后续会话，并且更难被识别为不受信任的输入。因此，保留记忆的系統需要具备溯源、隔离、审查机制，以及清除或使被污染上下文失效的方法。
未来几年可能带来的变化
一起涉及自主代理的重大事件可能会加速关于责任问题的监管和行业辩论。可能的安全应对措施是转向受限钱包、每笔交易限额、短期会话密钥、合约白名单、监控以及可见的紧急控制措施。更持久的设计模式是“副驾驶”而非“自动驾驶”：让系统准备或解释某项操作，而由人来批准有意义的转账。
用户风险检查清单
将签署权限视为主要风险指标。将代理保留在独立、低价值钱包中。设置硬性支出上限和过期权限。不要提供助记词。尽可能将数据访问权限与签署访问权限分离。在超过既定阈值时要求人工审批，并维护一个可以快速撤销权限的紧急开关。
收盘视角
核心问题不在于人工智能是否会智胜加密货币用户，而在于一个系统能否在控制不可逆的金融操作的同时，安全地解读不受信任的文本。便利性固然重要，但安全边界应由智能体被操纵时可能产生的最大损失来决定。
常见问题解答：AI 加密代理是否会受到提示注入攻击？
是的。恶意指令可以隐藏在代理读取的内容中。这种风险已经足够严重，以至于提示注入已成为排名前列的 LLM 应用安全问题。
常见问题解答：什么是 AI 加密代理？
它是一种将语言模型连接到钱包和工具的软件，使其能够解读市场信息并准备或执行链上操作。DeFAI 是 AI 驱动的去中心化金融产品的一个广泛标签。
常见问题解答：如果 AI 代理丢失加密货币，谁应承担责任？
目前尚无确定的法律答案。责任可能涉及用户、应用程序、协议、框架或模型提供商，具体取决于事实和适用法律。
常见问题解答：哪些控制措施可以降低风险？
使用独立的钱包、支出上限、白名单、短期会话密钥、监控以及对重要操作的人工审批。