AI代理在加密领域如何运作：工具与智能账户结合

加密货币中的AI代理通过运行一个代理循环，将提示转化为结构化的链上数据查询，然后在交易执行之前通过可编程钱包规则路由任何提议的行动。重要的部分不是“机器人交易”，而是只读智能与链上执行之间的权限边界。

关键要点

• 当“智能”与“执行”分离时，加密代理变得可用：一侧是结构化分析工具调用，另一侧是智能账户授权。
• Dune的MCP服务器通过一个端点暴露12个工具，以便代理可以发现表格，生成DuneSQL，执行查询，并返回可供机器消费的结果，覆盖100多个区块链。
• 安全智能账户用拥有者加阈值替代单键EOA，并可以扩展具有安全关键模块和保护措施，这些措施也可能以不理想的方式失败。
• 链的支持并不统一，因此一个假设特定安全模块或功能可以在一个网络上工作的代理堆栈在另一个网络上可能不可用。

AI代理如何融入加密货币

在屏幕上，“加密中的代理”通常看起来像一个聊天框，可以调出图表，总结流动，有时排队交易。在底层，清晰的心理模型是一个双钥管道：一个只读大脑可以调用结构化分析工具，一组“手”只能在智能账户的规则允许时移动。这种框架回答了加密中的AI代理是什么的问题，而不假装代理是一个有意见的神奇钱包。

大多数团队汇聚的机制是感知-决策-行动代理循环，因为它与加密在数据和执行之间的分裂完美对应。感知不是人类意义上的“观察链”。它是返回结构化输出的工具调用。决策是模型对这些输出的推理步骤，加上你编码的任何政策。行动要么是交易提案，要么是实际的链上执行，具体取决于授权边界的设计。

这个边界是加密与通用自动化的不同之处。一个普通的SaaS代理可以被赋予一个API 密钥和速率限制。一个能够签名的加密 AI 代理距离成为损失事件只有一个糟糕的提示。因此，支撑这一架构的是：（1）给代理提供可靠的、机器可调用的读取，和（2）通过一个强制明确批准、限制或两者兼具的智能账户提供受限执行。

这也是“代理工作流”不再是流行词的地方。工作流是一个可重复的工具调用、输出和交易意图的链条，明确指出安全阈值或保护点可以说“不”的地方。

工具访问链上数据

Dune 的 MCP 服务器是一个具体的例子，展示了 AI 代理在不抓取仪表板时如何工作。它通过一个单一的端点暴露 12 个工具，以便与 MCP 兼容的代理可以发现表格、编写 DuneSQL、执行查询、检索结果，并在 100 多个索引区块链上生成可视化。这很重要，因为代理不再猜测表名或依赖屏幕截图。它正在调用返回结构化结果的函数。

这个过程很简单，也是大多数“代理读取数据并交易”的解释者跳过的部分：

1. 代理在 Dune 的目录中搜索相关数据集和解码的合约表。2. 它从提示生成 DuneSQL，然后通过工具接口执行查询。3. 它以机器可消费的格式检索结果，并在需要时可以呈现可视化。

Dune 的 CLI 将相同的理念推向终端原生自动化。CLI 是为代理工作流构建的，涵盖数据集发现、编写和执行 DuneSQL、管理查询、搜索文档和跟踪使用情况。每个命令输出 JSON 以供机器消费，并附带一个 Skills.md 文件，遵循代理技能标准，以便代理可以学习能力和错误处理，而无需定制集成。

这就是“AI 代理架构加密”的现实：代理框架的好坏取决于它可以调用的工具。如果工具层返回可重复的 SQL 和 JSON 输出，代理可以被审计和重新运行。如果工具层只是一个仪表板和一种感觉，代理只是即兴发挥。

智能账户作为代理执行层

执行是加密代理要么变得足够安全以供使用，要么变得足够危险以避免的地方。常见的错误是给自动化赋予一个外部拥有账户（EOA）。EOA由单个用户控制。私钥，如果有人获得了那个密钥，他们就会获得完全的控制权。这是一个适合人类的干净安全模型。硬件钱包这是一个脆弱的软件模型，适用于无人值守的运行。

智能账户改变了授权模型。它们可以像外部拥有账户（EOAs）一样接收资金和进行交易，但无法主动发起交易。它们的验证和执行逻辑由智能合约代码而不是单一的私钥。正是这一细节使得智能账户成为自然的“代理钱包”层。账户本身成为一个政策引擎。

安全智能账户是该理念最著名的实现。它是一个以多重签名为核心的智能账户：一组所有者和在执行之前所需的确认阈值。所有者可以是外部拥有账户（EOA）、其他智能合约账户，甚至是一个通行密钥。对于代理而言，这意味着默认姿态可以是“代理准备，人类共同签署”，系统仍然使用相同的链上。地址和会计。

Safe 的架构对于部署和操作也很重要。Safe 智能账户采用代理模式部署，其中 Safe 代理将调用委托给单例 Safe 合约，从而降低了部署成本。Safe 代理工厂可以在一个交易中创建代理并运行设置。这些都不是“人工智能”，但它是使受控自动化可行的基础设施。

可编程控制以实现更安全的自动化

实际上使自动化工作得以实现的控制面板位于 Safe 内部，而不是模型内部。Safe 的多签门槛是一个粗糙的工具。模块和保护措施是手术刀，Safe 将它们标记为安全关键，原因显而易见。

模块通过启用替代访问模式和细粒度权限来扩展 Safe 的功能。Safe 的文档指出了例如允许限额和恢复流程等示例，并明确表示基本的 Safe 不需要任何模块。添加或移除模块需要所有者门槛的确认，模块需要与其他 Safe 合约一样安全，因为它们可以扩展可执行内容。

保护措施是另一种杠杆。保护措施可以根据保护逻辑接受或拒绝交易。Safe 还警告说，保护措施是安全关键的，恶意的保护措施可能会阻止交易的执行并阻止访问存储在 Safe 中的资金。这是人们在将保护措施视为“额外安全”时所忽视的失败模式。保护措施是一个守门人合约。如果它是错误的或敌对的，Safe 在操作上可能会被砖化。

Safe 还支持赞助交易和基于代币的燃料支付，通过一个接受支持的 ERC20 代币并在支付ETH 的同时提交交易的中继服务。相同的中继路径可以用于无以太流，其中第三方代表安全账户支付费用。对于代理系统，这更多的是关于操作设计，而不是便利性。如果代理被期望提交交易，那么燃料费和中继假设就是权限边界的一部分。

这就是“代理循环加密”变得具体的地方：感知和推理可以快速且便宜，但行动是必须通过阈值检查、模块权限和保护逻辑的交易，然后才能进入区块链。

部署和网络支持考虑

许多代理设计因一个无聊的原因而失败：假设堆栈在各个链上是统一的。Safe 发布了一个支持网络列表，显示每条链上智能账户版本及功能或模块的可用性，包括 Safe 4337、Safe Passkey 和 Safe Recovery 等模块。该页面实际上是一个兼容性矩阵，这很重要，因为“我们只会使用模块 X”并不是一个计划，如果目标链不支持它的话。

即使在 Safe 生态系统内，各网络的版本也不同。支持网络列表显示多个智能账户版本（例如 v1.5.0、v1.4.1、v1.3.0 及更早版本），并标记每条链上可用的服务和模块。这种细节决定了代理工作流是否可以按设计部署，或者需要不同的执行姿态。

这也是管道的两个部分需要单独检查的地方。Dune 的 MCP 帖子描述了跨越 100 多条区块链的访问，而 Dune 的代理原生 CLI 帖子描述了跨越 130 多条链的访问。这种差异本身并不是问题，但它提醒我们将“链覆盖”视为验证项目，而不是营销文案。

一个最小的操作检查清单出现了：

1. 确认数据层覆盖目标链及代理感知步骤所需的特定协议表。2. 确认执行层支持 Safe 版本及政策所依赖的特定模块或功能。3. 只有在此之后设计它们之间的桥接，因为桥接是权限和故障模式存在的地方。

需要关注的限制和开放风险

这些来源描述了强大的构建模块，但并未提供一个完整的端到端参考架构，用于分析和执行的自主代理。这个差距很重要，因为自主性不是一个开关。它是一个光谱，而这个光谱上的安全点取决于执行层授予的权威程度。

两个限制立即显现。首先，工具的访问权限仅与其结构一样好。Dune 的 MCP 和 CLI 旨在返回机器可消费的输出，这是正确的方向，但来源并没有量化可靠性、错误率或代理生成不正确查询的频率，而这些查询仍然返回看似合理的结果。其次，Safe 的扩展点显然是安全关键的。模块可以扩大执行权限，而保护措施可以完全阻止执行。这些不是抽象风险，而是设计约束。

在炒作周期中，还有一个治理和运营的限制被忽视。如果一个代理依赖于特定的模块、保护措施或中继路径，那么政策变化、升级或链特定的支持缺口就成为代理的风险面的一部分。Safe 的支持网络矩阵存在是因为功能可用性并不均匀。

最后，“TEE”对话往往被当作万灵药。TEE 可以帮助隔离秘密并证明代码执行，但它并不能取代智能账户权限边界的需求。即使有更强的密钥保管，昂贵的错误仍然是给软件一个单点故障和无限权威。

加密代理正在变得真实，因为基础设施变得真实。困难的部分仍然是相同的：将智能与执行分开，然后限制桥梁，以便系统可以信任资本。

总结

我看到团队过于关注模型选择，而忽视了实际决定代理是否可用的部分：授权边界。当代理能够从单密钥 EOA 提出和执行时，整个系统就继承了最糟糕的自动化安全模型。一把泄露的密钥、一个被攻陷的主机、一个糟糕的集成，结果就是完蛋。

我看到的有效做法是将 Dune 风格的结构化工具视为只读大脑，然后通过 Safe 阈值强制执行，直到工作流程证明其有效性。模块和保护措施是自动化变为现实的地方，而 Safe 明确表示它们是安全关键的。这种姿态使得“加密中的代理”不会变成签署错误的华丽界面。

来源

• Dune
• Dune
• 安全文档
• 安全文档