智能体钱包安全：AI 代理如何以更低风险进行交易

当代理钱包将 AI 代理视为陌生的交易发起方而非可信签名者时，它才是安全的。私钥与代理的推理过程相互隔离，权限受到范围限制且可撤销，每笔交易在签名前都经过检查，因此即便代理遭到操控或发生故障，也能将其控制在可管理的范围内。

MetaMask 在什么是代理钱包？中介绍了代理钱包的概念，在AI 代理如何在不接触您私钥的情况下完成交易中详细说明了完整的交易生命周期，并在为什么每个 AI 代理都需要一个钱包中深入解析了自托管的重要性。以下内容重点探讨当由代理而非真人发起交易时，如何降低相关风险。

代理钱包安全吗？

代理钱包的安全性取决于以下几点：代理能否直接访问私钥、其权限是否受到范围限制或不受限制，以及交易是在签名前还是签名后进行检查。向隔离的、受策略约束的钱包提交操作请求的代理，与持有自身私钥的代理相比，风险状况截然不同。

为什么代理钱包需要不同的威胁模型

面向真人用户设计的钱包，默认人类会在每笔交易签名前进行审查。代理钱包则无法做出这一假设：读取代币元数据、网页或 API 响应的进程，可能同时也是决定下一步签署什么内容的进程。AI 代理如何在不接触您私钥的情况下完成交易涵盖了从意图到执行的完整生命周期。对安全而言，关键在于：代理的不可信输入与其交易签名权限在架构上被允许处于何种相对位置，以及在交易上链之前，是否有独立于代理之外的机制拥有发言权。

代理特有的风险，而非普通钱包风险

提示注入演变为已签名的交易

提示注入将恶意指令隐藏在代理被设计为读取的内容中，例如代币描述、网页、电子邮件或 API 响应，而非直接嵌入与用户的对话。这在钱包场景中比大多数其他场景更为危险：一个被欺骗发送错误邮件的代理只是带来不便，而一个拥有签名权限却被欺骗的代理则可能产生不可逆的交易。

私钥可从代理自身运行时访问

如果代理能够读取自己的签名私钥——无论是通过配置文件、环境变量还是应用内存——那么该代理一旦被攻破，其所控制的资金也将随之失守。以 2026 年 2 月 8 日的一起事件为例，Gitcoin 的 Owockibot 在被明确指示不得分享私钥的情况下，仍在多处暴露了其热钱包私钥；损失之所以得到控制，主要是因为该钱包中仅持有约 2,100 美元。MetaMask Agent Wallet 的服务器钱包模式将私钥保存在代理无法访问的可信执行环境中。此外还提供了一种自带钱包模式，供需要本地密钥控制的开发者使用，其文档明确指出助记词绝不应作为命令行参数传入，而应仅通过环境变量传递，因为命令历史记录和进程列表本身就是潜在的泄露途径。

权限未随任务缩减

一个仅用于查询余额的代理，不需要拥有在任意合约上批准无限代币支出的权限。当权限未能缩减至与当前任务相匹配时，一个被攻破或被误导的代理便可能以钱包的完整权限行事，而非仅限于其应有的狭窄授权范围。

将交易保险误认为安全控制

部分代理钱包在其安全体系之外，还提供出现问题时的赔付机制。Transaction Shield 是 MetaMask 的订阅服务，将交易保护与优先支持相结合，对通过 MetaMask 安全检查但仍造成损失的符合条件的交易，每月最高赔付 10,000 mUSD。该服务明确排除以下情形：Secret Recovery Phrase 或私钥遭泄露或被盗导致的损失、普通市场损失、协议层漏洞利用，以及点对点转账。赔付机制可以弥补那些看似安全却实际造成损失的交易后果。

Guard Mode 与 Beast Mode 对风险敞口的影响

MetaMask Agent Wallet 的两种运行模式决定了哪些控制措施会自动生效，哪些则依赖用户实时发现问题。MetaMask 交易模式文档列出了每种模式在交易执行前强制执行的安全护栏：

两种模式均会拦截 MetaMask 威胁扫描标记为恶意的交易或标记为高风险的合约，且两种模式在此类交易继续执行前均需通过双因素认证（2FA）审批。在 Guard Mode 下，任何超出已配置白名单范围或超过出金限额的操作也会暂停等待审批。而在 Beast Mode 下则不会，因为根本不存在白名单。Beast Mode 并不会专门削弱恶意交易检测能力，它移除的是白名单和支出限额层——而正是这一层，本可拦截那些看似合法、但代理本不应发起的交易。

钱包底层的隔离机制

MetaMask 的面向代理的服务器钱包构建开发者指南描述了通用模式：签名私钥存储在无外部网络连接、无持久化存储的可信执行环境中；代理仅持有用于请求签名的独立凭证；由 enclave 而非代理来验证请求、执行策略并生成签名。代理只负责提议，从不持有私钥。MetaMask Agent Wallet 的架构直接应用了这一隔离原则：在服务器钱包模式下，私钥在代理无法访问的 TEE 中管理，同时用户仍保留自托管权，可导出底层 Secret Recovery Phrase。需要审批的请求会进入 AWAITING_MFA 状态，只有用户通过 MetaMask Mobile 亲自审批或邮件确认才能推进，代理无法代为操作。

将代理接入真实资金前的检查清单：

• 代理的运行时无法读取或导出私钥。

• 签名在隔离环境中进行，而非在代理自身进程中执行。

• 每笔交易设有支出上限，并在滚动周期内受到限制。

• 合约、网络和接收方可加入白名单，而非完全开放。

• 每笔交易在签名前均经过模拟和威胁扫描。

• 策略限制在模型之外强制执行。系统提示是指导，而非约束。

• 权限可随时撤销，或立即终止会话。

• 已标记和已完成的操作均有日志记录，可供审计。

• 该配置已针对提示注入场景进行测试，而不仅限于预期提示。

• 已充分了解任何赔付保障的除外条款，而不仅仅是其涵盖范围。

各类代理钱包模型的安全边界所在

代理钱包厂商正在趋向同一结论：代理本身不应成为安全边界。分歧在于，这条边界究竟应该划定在哪里。

如需对 Coinbase、Cobo、Ledger、BitGo 和 OKX 进行完整的逐厂商评估，请参阅2026 年最佳代理钱包横向对比。

以上这些并不能让代理对操控免疫。现实目标不是打造一个永远不会被欺骗的模型，而是构建一个即便被欺骗也不会演变为无限财务授权的钱包——在这个钱包中，一个被攻破的代理所能造成的最大损害，受到支出上限、白名单以及其永远无法独立触达的签名的共同约束。