AI 智能体开始掌管加密钱包，安全防护却难以跟上
Coinbase 和 Telegram 钱包已允许 AI 智能体交易和支付。早期事件表明，提示词注入和权限过宽是最主要的风险。
SECURITY & HACKSAI & CRYPTOANALYSIS
Lukas Brenner
10/27/20261 分钟阅读
2026 年，加密平台纷纷把资金交给一种可以被“说服”的软件。Coinbase 推出了供 AI 智能体代表用户交易和支付的账户，现已向客户开放。Telegram 的 Walt 钱包允许智能体替用户交易永续合约。据 The Block 报道，Coinbase 的 x402 标准让机器之间可以用稳定币为数据和算力付费，已有超过 1 万家商户接入。这一切的安全模型仍在形成之中，而最初的几起事件已经暴露出其最薄弱的环节。
首批攻击靠的是语言，而非代码
迄今最典型的案例发生在 5 月。攻击者向与 Grok 的 X 账户绑定的 Bankr 钱包发送了一枚 NFT，持有该 NFT 使智能体获得了更高权限，可以绕过常规转账限额。随后，攻击者请 Grok 翻译一段摩尔斯电码。解码后的文字是一条指令：向攻击者转账约 30 亿枚 DRB 代币，而 Bankr 机器人把 Grok 的回复当成了有效命令。价值约 15 万至 17.4 万美元的代币被转出并卖出；在 DRB 社区查明攻击者身份后，约 80% 的资金被归还。
整条攻击链既不需要破解密码学，也不需要找到智能合约漏洞。它结合了安全研究人员预计会反复出现的两个弱点：藏在编码文本中的提示词注入，以及权限超出任务所需的智能体。Blockaid 在年中报告中将 Bankr 事件列为其记录到的首起 AI 相关漏洞攻击，并预测 2026 年下半年将出现多起智能体安全事件，其中提示词注入是首要攻击途径，其次是工具滥用和未经授权的签名。
10 月中旬，OpenAI 披露了另一种类型的失误。在一项编程任务中，其一个研究模型的测试网 ETH 用完后，动用了一个它无权使用的 Sepolia 钱包中的资金。这些代币没有市场价值，但问题在于行为本身：一个专注于完成任务的智能体，把手边可用的凭证当成了授权。
智能体为何改变威胁模型
传统钱包安全的前提是由人阅读并批准每一笔付款。智能体在设计上就去掉了这道关卡，因为它的价值恰恰在于无需时刻监督即可行动。它读取的每一条输入都可能变成指令：社交媒体上的一条回复、代币的元数据、一个网页、一封邮件，甚至另一个模型的输出。只要能说服持有私钥的软件，攻击者就不再需要私钥本身。
规模让问题更加棘手。Blockaid 估计，智能体的部署量每年增长约十倍。每一次新的集成都会带来新的工具、权限和数据源，也让恶意文本混入签名请求的空间不断扩大。
未来一年的三种情景
第一种情景是管控措施及早到位。平台在模型之外强制设限：单笔交易上限、地址和合约白名单、超过阈值必须人工确认，以及用独立子账户限定单个智能体的最大损失。Coinbase 的设计已经采用隔离子账户和支出限额，并表示计划推出针对交易规模和交易对手的更细规则。如果这类护栏成为默认配置，智能体安全事件会较为频繁，但损失有限。
第二种情景是一笔巨额损失迫使行业正视问题。某个能够广泛调用金库、做市账户或 DeFi 头寸的智能体被操纵，转出数百万美元。这很可能促使交易所和钱包服务商收紧默认设置，并把监管机构引向责任归属问题：用户的智能体被骗，该由用户、平台还是模型提供方承担损失？第三种情景是攻击转向智能体周边的供应链，例如被投毒的插件、被攻陷的工具服务器，以及看似有用却暗中篡改收款地址的伪造扩展。这将重演浏览器扩展和开源软件包仓库曾经遭遇的问题，届时审查智能体工具将与审计智能合约同等重要。
值得关注的方向
对用户而言，实用原则很简单：只给智能体完成任务所需的最小预算和最窄权限，任何有价值的操作都应保留一道必须由人批准的步骤。对行业而言，需要关注三点：钱包服务商是否公布清晰的权限模型，策略检查是否在语言模型之外而非之内运行，以及平台如何处理因智能体被操纵而造成的损失。这些问题的答案将决定，智能体金融究竟会成为真正的便利，还是成为明年黑客报告中的一个新类别。