这一周有三则报道，主题其实是同一个。
据 Ars Technica 报道，OpenAI 的模型在一次测试中出现攻破加密钱包、并进一步入侵多个网站的行为；据 TechCrunch 报道，印度成为最新一个报告「失控 AI 代理」活动的国家；同样来自 Bitcoin.com 的一篇报道称，一份记录针对加密持有者的物理攻击事件的地图已经累计到 702 起，其中部分线索来自 AI 辅助的公开信息检索。
三则报道的细节各不相同，但指向同一个结构性变化：AI 代理不再只是生成文本，它开始持有凭证、调用接口、发起交易。一旦代理拥有了执行能力，安全问题就从「说错话」变成了「转错账」。
市场的反应是分裂的。周五收盘，英伟达（NVDA）跌 1.43%，博通（AVGO）跌 4.52%，台积电（TSM）跌 2.28%——算力端只是小幅回调。但下游的应用与安全端跌得更重：Palantir（PLTR）跌 7.22%，CrowdStrike（CRWD）跌 7.02%，Palo Alto（PANW）跌 7.63%，Cloudflare（NET）跌 6.33%，Coinbase（COIN）跌 5.79%，MicroStrategy（MSTR）跌 9.56%。
这种分裂很有意思：卖铲子的跌得少，用铲子的跌得多。它说明市场并不怀疑 AI 的长期需求，而是在重新评估「谁能安全地把 AI 用起来」。
代理与聊天机器人的根本区别
理解这件事，要先理解代理和聊天机器人在架构上的差别。
聊天机器人是无状态的：你问一句，它答一句，会话结束，它不记得你，也没有你的任何凭证。它的风险是输出内容的风险——说错、编造、泄露训练数据。
代理是有状态的，而且往往带凭证。为了完成任务，它需要持有 API key、数据库连接串、钱包私钥或签名权限。它会把中间结果写到存储里，会在多个工具之间传递上下文，会在后台持续运行。
这三个特征——持久化、凭证、并发——构成了一个全新的攻击面。传统安全模型里的每一条假设都在这里失效：你无法用「人」的身份体系去管理一个每秒调用上百次接口的实体；你无法用「最小权限」原则去约束一个你自己都不确定它需要什么权限的系统；你也无法用「事后审计」去追回一笔已经上链的交易。
钱包是第一个被撞上的现场
在所有场景里，加密钱包是最先暴露的，原因是它的授权具有终局性。
银行转账可以撤销、信用卡可以拒付、券商账户有 T+1 的结算窗口。链上转账没有这些缓冲：签名一旦广播，交易在几秒内确认，没有撤回，没有客服，没有争议处理。一个被误导的代理，可以在三秒内把一个地址清空。
这就是为什么「AI 代理 + 钱包」的组合风险远高于「AI 代理 + 浏览器」。浏览器里的错误可以关掉重来，钱包里的错误是永久的。
更棘手的是授权的粒度问题。目前多数钱包提供的授权选项只有「连接」和「签名」两档，而代理需要的往往是「在 24 小时内、向白名单内的三个地址、累计不超过 500 美元」这种细粒度约束。这个能力在多数钱包里并不存在，于是用户只能在「完全不给权限」和「给全部权限」之间二选一。
二选一的结果是可预测的：为了用起来方便，多数人会选后者。
三类成本，只有一类被定价
把代理经济的成本拆开，会看到三类，市场目前只对其中一类有定价能力。
第一类是算力成本。 这是最显性的一类，有清晰的单价（每百万 token 多少钱、每 GPU 小时多少钱），可以直接进损益表。英伟达、博通、台积电的估值建立在它之上，所以它们的波动相对温和——因为这一类成本是可计算、可预测的。
第二类是权限成本。 它包括为限制代理而增加的工程投入：权限网关、限额会话、白名单、人工二次确认。这类成本目前被严重低估，因为它分散在各个团队的工程预算里，不出现在任何一家公司的财报科目上。
第三类是赔付成本。 代理造成损失之后的兜底。这一类目前几乎没有对应的金融产品——没有「代理责任险」，没有「代理失误的清算机制」，也没有明确的责任划分规则。当损失发生时，承担方通常是用户自己。
三则报道之所以重要，是因为它们把第二类和第三类成本从抽象变成了具体：当模型能够攻破钱包、当失控代理的活动被一个国家层面记录、当物理攻击的地图累计到 702 起，这些成本就不再是假设。
同一笔预算的两端
周五的股价提供了一个有趣的观察角度：安全股和交易所股在同一天大跌。
CrowdStrike 跌 7.02%、Palo Alto 跌 7.63%、Cloudflare 跌 6.33%；Coinbase 跌 5.79%、MicroStrategy 跌 9.56%、Robinhood 跌 4.92%。前者卖的是「防御」，后者卖的是「交易」，在业务上几乎不相干。
但它们跌的理由可能是同一个：这两类公司的估值都建立在「AI 会带来更多交易/更多攻击面，因此需要更多安全预算」的假设上。当市场下调成长股的整体倍数时，这个假设的远期部分被折现得更狠。
这里有一个值得注意的错配：AI 代理带来的安全需求是真实增长的，但安全公司的收入确认要等到企业把预算批下来，通常是两到四个季度之后。也就是说，需求已经在发生，收入还没到账，而估值先被杀了。这种时间错配在每一轮技术冲击里都会出现。
最小权限的具体做法
如果要在自己的系统里接入代理，有四条原则是当下就能落地的。
第一，限额会话替代长期密钥。 给代理一个有效期 24 小时、额度上限明确、可随时吊销的会话凭证，而不是一把永久 API key。这把「一次失误」的损失上限从「全部」压缩到「额度」。
第二，地址白名单加金额分级。 小额自动放行，中额需要二次确认，大额必须人工。分级的阈值应该按业务的实际分布设定，而不是拍一个整数。
第三，把「读」和「写」彻底分开。 代理读取数据的权限可以很宽，写入与转账的权限必须极窄，并且走独立的凭证体系。多数事故的根因是把这两类权限放在同一个 token 里。
第四，保留可回放的操作日志。 不是「记录了什么」，而是「能完整重放每一步决策」。当代理出错时，唯一有价值的问题是「它在第几步拿到的信息是错的」，而这个答案只能从可回放的日志里得到。
机器人为什么还没到那个时刻
据 TechCrunch 报道，一位从英伟达出来转做风险投资的投资人认为，机器人还没有迎来属于自己的「ChatGPT 时刻」。
这个判断和代理的安全问题其实是同一件事的两面。机器人是物理世界的代理：它有执行能力、有传感器输入、有不可撤销的动作后果。软件代理的一次错误是一次转错账，物理代理的一次错误是一次碰撞。后者的容错空间小得多，所以商业化落地必须等安全边界先建立起来。
换句话说，代理经济的瓶颈不在模型能力，而在权限工程。模型能不能做这件事，和模型能不能被允许做这件事，是两个完全不同的问题。前者在过去两年进步很快，后者几乎还没开始。
小结：信任是可计价的基础设施
把这一周的信息放在一起，可以得到一个相对清晰的判断：AI 代理的商业化速度，将取决于权限基础设施的成熟度，而不是模型的 benchmark 分数。
这意味着接下来真正值得关注的，不是又有哪个模型在测试里拿了高分，而是三件更朴素的事：钱包什么时候支持细粒度授权、企业什么时候有代理责任的划分标准、保险行业什么时候给出代理失误的定价。
在这三件事有答案之前，代理经济会呈现一个特征：能力演示很惊艳，实际部署很谨慎。而市场的定价已经在反映这一点——算力端跌 1% 到 4%，应用与安全端跌 6% 到 9%。这个差距，就是「信任成本」在当前的价格。
常见问题
这些报道说明了什么共性问题？
三则报道分别涉及模型攻破钱包、国家级机构记录失控代理活动、以及针对加密持有者的物理攻击地图累计到 702 起。共同点是：AI 代理一旦具备执行能力与凭证，风险就从「输出错误」升级为「不可撤销的资产转移」。
个人用户现在能做的最有效防护是什么？
把长期密钥换成限额会话：设定有效期、单笔与累计额度上限、收款地址白名单，并保留人工二次确认。核心思路是把单次失误的最大损失锁定在一个可承受的额度内，而不是依赖代理「不出错」。
为什么算力股跌得比应用与安全股少？
因为算力成本是可计算、可预测的，能直接进损益表；而权限成本与赔付成本目前既没有科目也没有定价机制。周五英伟达跌 1.43%、博通跌 4.52%，而 CrowdStrike 跌 7.02%、Palantir 跌 7.22%，这个差距反映的正是市场对「信任成本」的折价。