AI Agent 錢包權限：最大損失與控制設計

把錢包交給代理代表什麼？

不是一個開關，而是一組讀取、建議、簽署、廣播和管理權限。

把每個身分列成矩陣：能讀哪些資料、建立哪些交易、由誰核准、可用哪個簽章者，以及能否修改白名單或限額。真正危險的通常是被忽略的 owner、module、session key 或既有 allowance。

如何留下證據： 保存地址、鏈、角色、資產範圍、合約方法與到期時間。

為什麼直接交付私鑰不是合理基線？

因為拿到私鑰的程序通常能繞過產品層所有提示與核准。

Prompt 規則不是密碼學控制；若 Agent 程序可讀 seed 或原始 key，遭入侵時可在工具外簽署任意交易，也可能把秘密寫入 log。較安全的基線是不可匯出的簽章服務，只接受通過外部策略的有限請求。

如何留下證據： 記錄 key 儲存位置、可讀程序、簽章 API 與拒絕條件。

最大可能損失要如何計算？

對每條可同時運作的路徑取餘額、allowance、單筆與期間上限的有效限制，再納入可重複次數。

單一路徑可用 min(可觸及餘額、allowance、期間限額、單筆限額×未介入次數) 作起點；零或未設定不能當作零風險。再加總可並行身分，加入 NFT、抵押品、bridge 權限和可升級模組。

如何留下證據： 為每個身分保存輸入值、單位、來源和未知值處理方式。

人工核准應放在哪一層？

應在最終交易物件已確定、簽章尚未發生的位置。

核准者要看到鏈、資產、數量、目的地址、合約方法、滑點或 deadline，而不是只看到自然語言摘要。低風險例行動作可由策略自動通過，高價值或新目的地址則升級為獨立通道核准。

如何留下證據： 保存核准畫面欄位、核准者、逾時規則與核准後是否仍可修改交易。

如何限制目的地址與動作種類？

以 allowlist 和 ABI／method 級政策限制，而不是讓模型自由填任意 calldata。

白名單要包含鏈與合約版本；對 router 或代理合約還需檢查最終接收者與內部 call。設定新地址應走較慢的管理通道並有冷卻期，避免 Agent 自行放寬自己的邊界。

如何留下證據： 保存允許的合約、方法、資產、接收者及修改權限。

代理真正需要哪些秘密？

多數 Agent 只需短期、單用途憑證，不需要 seed、提款 key 或管理員權限。

研究與報價可用唯讀 key；下單與提款要拆開；簽章由獨立服務持有。憑證必須限制來源、資源、方法、速率和期限，測試與正式環境也不能共用。

如何留下證據： 建立秘密清冊，列 owner、consumer、scope、期限和輪替方式。

撤銷計畫必須包含什麼？

必須能由未依賴受害 Agent 的獨立通道停止簽章、撤銷 allowance、輪替 key 並隔離資產。

只寫「可暫停」不夠；要演練誰能按下開關、多久生效、跨幾條鏈、是否需要 gas，以及舊憑證是否仍存在備份或 CI。復原還包含重建乾淨環境與確認未授權交易。

如何留下證據： 保存演練時間線、交易 hash、輪替結果、負責人與未涵蓋系統。

如何測試連接錢包時的 Prompt Injection？

在測試網或隔離 fork 中，讓不可信內容嘗試改變目的地址、金額、工具或核准說明。

載荷可放入網頁、代幣 metadata、交易備註和工具回傳。測試重點不是模型是否口頭拒絕，而是外部策略是否阻止敏感物件、log 是否留痕、人工核准是否顯示實際異常。

如何留下證據： 保存載荷來源、最終交易物件、政策結果與是否觸及簽章服務。

從測試網轉到真實資金時要改什麼？

要重新設定身分、額度、監控、核准與復原，不能直接複製測試網參數。

正式環境應從小額專用錢包開始，將鏈 ID、合約地址、gas、MEV、價格來源和通知通道納入政策。先用故障演練驗證停止與撤銷，再逐級提高額度，而不是因測試網成功就一次開放。

如何留下證據： 保存上線檢查表、初始餘額、升額門檻與回滾條件。

驗證工作簿

以下檢查卡把研究變成可重做紀錄。它們不產生投資建議，而是要求保存證據、反例、版本、限制與會改變結論的條件。

常見問題