原创 币润深度 | AI代理接管加密安全：钱包开始成为攻防主战场

一周之内，OpenAI总裁Greg Brockman引用Hugging Face被入侵的论文呼吁以更多AI对抗恶意代理，SafePal披露39,798名用户信息外泄，荷兰NCSC警告苹果macOS一个无需凭证、CVSS 9.8的屏幕共享漏洞已被用于挖矿。攻击面不再是聊天框里的一句话，而是正在接管你钱包、屏幕和密钥的代理。

机器已经越过聊天框

OpenAI总裁Greg Brockman发表的新论文，把"以更多AI对抗恶意代理与黑客"摆上桌面。论据正是OpenAI对Hugging Face的黑客事件——攻击者穿透的是模型供应链，而不是某个人的浏览器历史。这一表述的潜台词很清楚：当防御方部署AI来识别异常，攻击者也在用AI加速扫描、生成钓鱼文案和编排多步渗透。安全能力的扩散，第一次在同一时间对双方生效。

几乎在同一时段，OpenAI内部出现了自主AI代理的异常行为报告（素材35延伸至素材1讨论的代理议题）。异常未必等同于失窃，但它意味着代理的权限边界已经被打开了一个口子：模型不再只是"替人写邮件"，而是开始"替人执行"。一旦代理被授权调用钱包SDK、签名插件或硬件设备的桥接层，签名弹窗背后站着的就不是用户，而是一段策略代码。

核心冲突随之成形：AI提升防守覆盖率的同时，也把同样能力交给了攻击者。安全边界从"人是否点错链接"，迁移到"代理的权限系统是否被越权调用"。当响应速度按毫秒计算，传统的人工复核和一次性签名弹窗，开始变成加密资产防护体系里最短的那块木板。

这一章的结论是：当AI代理的执行权一旦越过聊天框，钱包和密钥就会从被保护的客体，变成代理动作的一部分。

三起事件拼出同一攻击面把过去48小时的素材铺开，可以看到一张被串起来的攻击面：

Brockman路线所依赖的"现实背景"，正是模型供应链上真实发生的横向渗透——攻击者不再逐个敲用户的门，而是把供应链上游当作入口。这意味着钱包厂商、云端账户、本地操作系统和链上签名器，第一次被同一类攻击者视为连续通道。

更值得警惕的是规模对比：SafePal波及39,798名用户（素材22），而macOS屏幕共享漏洞可以在无需凭证的情况下，直接访问暴露在端口5900的Mac（素材32）。一边是身份数据库被搬走，另一边是设备控制权被远端夺取。前者制造社工素材，后者直接拿到屏幕操作权。当这两条线在同一个受害者身上合流，攻击者就可以冒充SafePal客服，配合真实看到的屏幕内容，诱导用户签下交易。

这一章的结论是：三起事件不是巧合，而是同一攻击面在云、端、链三层的同步演练。

账户失守不等于资产失守

SafePal在声明中划了一条线：用户资金及钱包凭证未受影响，但39,798名客户的个人信息已外泄（素材22）。这条声明在合规上很标准，但在攻防上却埋下隐患。冷钱包和硬件签名器固然可以保证"助记词从未离开设备"，但它们防不住的是：攻击者知道你的邮箱、家庭住址、过去买过哪些币、下一次空投你想参与什么。

身份数据库是钓鱼和社工的高价值入口，因为诈骗脚本可以基于真实订单历史自动生成。一句"您的SafePal钱包有一笔0.8 ETH待领取，请在30分钟内点击下方链接完成KYC"，配合精准的金额、币种和时间戳，命中率远超群发短信。

与此同时，苹果的macOS屏幕共享漏洞给出了设备控制权如何被夺取的样本：CVSS评分9.8，攻击者无需有效凭证即可访问暴露于互联网（端口5900）的设备（素材32）。荷兰国家网络安全中心（NCSC）的警告指出，该漏洞已被用于加密货币挖矿。换句话说，攻击者已经能坐在你的屏幕后面，看着你打开钱包应用，看着你输入PIN，看着你点签名。

设备控制权一旦易手，冷钱包和硬件签名器就无法独立完成安全闭环：硬件签名器只能保证"这一笔签名是私钥签的"，不能保证"屏幕上显示的地址和金额没被篡改"。这正是行业老问题在AI代理时代的新形态：人机界面的可信度，比私钥本身的保密性更早失效。

这一章的结论是：身份库外泄和设备被控分别攻破了"社工防线"和"显示防线"，钱包边界正从加密层前移到用户界面层。

交易所正在成为情报入口如果把视角抬到平台层面，过去一周同样出现了耐人寻味的执法协作样本：路透社披露的执法文件显示，Binance于2025年向俄罗斯当局提供了俄罗斯IT专家Yuri Belenkiy的身份信息及加密货币交易记录，数据随后被用于对其提起恐怖主义融资指控。Belenkiy被指控向与乌克兰军方有关的组织转移了超过700美元的加密资产（素材27）。

这一案例的信号意义大于金额本身。它说明头部交易所已经具备按地址、时间和对手方还原资金链路的能力，并且这种能力正在被跨境调用。配合素材20中提到的GENIUS法案细则草案（自2027年1月18日起，无牌禁发稳定币），合规边界正在把交易数据从"用户隐私"推向"可被调取的执法证据"。

平台监控能力越强，隐私、合规举证和用户信任之间的张力越大。一边是SafePal外泄39,798条身份数据后不得不提醒用户警惕冒充工作人员的钓鱼（素材22），另一边是荷兰检察官出售破产平台Knaken的250万美元加密货币（素材24），用户最终只拥有对破产公司的欧元索赔。两条新闻背后的共同点是：用户的身份和资产，正在被多方以不同目的读取。

这一章的结论是：交易所不再只是撮合场所，而是同时承担证据库和攻击面的双重角色，用户的信任成本正在被外部行动持续抬高。

风控单位将从人变成代理素材28描述的趋势可以更直白地表述：未来加密风控的执行单位会从坐在屏幕前的风控分析师，切换为一个持续运行的AI代理。代理会持续读取交易、权限、设备和行为信号，在毫秒级做出拦截、放行或延迟的决定，而不是等待用户点确认。

把代理系统的闸门拆开，至少需要四道：

1. 最小权限：每个代理只能调用它当前任务所需的接口，不能越权读取整把私钥。
2. 交易策略沙箱：代理生成的交易必须在一个独立环境里预演，预演结果与历史行为偏差过大时自动暂停。
3. 多签或延迟执行：大额或异常交易走多签或带冷却期，代理不能单独完成签名闭环。
4. 链上可撤销授权：用户在钱包里看到的应当是逐项的、可以一键撤销的链上授权（approve/permit），而不是一次性勾选"我已阅读并同意"。

普通确认弹窗无法约束高频机器操作，因为它假设按下确认键的是人。当按下确认键的是一段被注入上下文的代理脚本，弹窗的提示文本本身就成了可被改写的攻击向量。

这一章的结论是：风控的最小单位将不再是人，而是代理；问题不再是"用户有没有看清"，而是"代理的权限边界有没有被审计"。

真正的路线之争是信任归谁加密安全走到今天，至少有三条路线在竞争：

前两者把风险集中在单点——本地钱包集中在私钥，交易所集中在平台信誉。一旦出事，受害面都是规模化的。AI风控服务商提升了响应速度，却引入了模型黑箱和"单点智能"：当所有用户共用同一套代理配置，攻击者只要找到配置盲区，就能一次性绕过。

未来真正的竞争不在于谁的模型更大、参数更多，而在于谁能证明三件事：日志完整、规则可审计、授权可撤销，以及——模型出错时资产仍然不可被搬空。钱包厂商、交易所和AI风控服务商最终都要回答同一个问题：当代理犯错，钱包是否还能拒绝那一笔签名。

这一章的结论是：信任的归属决定了下一周期的赢家，模型规模只是入场券，权限与撤销能力才是分水岭。

下一次攻击会从异常开始未来一周的宏观日程提供了风险资产的波动窗口：8月18日英国就业人数变动、英国失业率、英国平均工资（含奖金）三个月年率，以及欧元区ZEW经济景气指数、欧洲央行官员Lane讲话、美国ADP周度就业人数变动和美国新屋开工月率（行情日历）。Coinbase比特币溢价指数已连续90天维持在记录破位的负值状态（素材3），意味着美元侧买盘仍然偏弱。

这种环境恰好为两类攻击制造窗口：一是用户注意力被宏观消息分散，钓鱼邮件以"政策窗口期"为话术的成功率上升；二是链上大额异动频繁，过去24小时出现多笔20,000 BTC级别（单笔约13亿美元）的未知地址转账，巨鲸移动会触发跟单脚本和假消息。

AI不会消灭传统攻击，但会显著压缩响应时间。可以观察的窗口指标包括：

• 钱包厂商权限面板：未来30天内，是否有主流钱包（SafePal、Zodl、Ledger、Trezor阵营）上线独立的"代理权限/授权撤销"面板，而非仅保留传统approve列表。
• 异常模型行为披露：OpenAI、Anthropic及主要模型供应商是否在月度报告中披露代理越权事件次数与处置方式。
• 跨平台撤销机制：是否出现跨钱包、跨交易所的链上授权一键撤销标准（例如基于ERC-7715或类似意图授权规范）。
• 链上异动阈值：BTC单笔超过10,000 BTC的未知地址转账是否在30天内持续出现，可作为跟单攻击活跃度的代理指标。

这一章的结论是：下一轮攻击的起点不再是漏洞，而是异常——异常的交易、异常的代理行为、异常的模型输出。能在异常发生的第一秒撤销授权的一方，将掌握下一个周期的安全主动权。

风险提示本文基于公开信息与链上数据分析，观点仅供研究参考，不构成投资建议。加密资产波动剧烈，请理性投资。