分類: 星球日報

原文作者：SlowMist & Bitget

一、背景

随着大模型技术的快速发展，AI Agent 正在从简单的智能助手逐渐演变为能够自主执行任务的自动化系统。在 Web3 生态中，这一变化表现得尤为明显。越来越多的用户开始尝试让 AI Agent 参与行情分析、策略生成以及自动化交易，让“7×24 小时自动运行的交易助手”从概念逐渐走向现实。随着 Binance 与 OKX 推出了多个 AI Skills，Bitget 也推出了 Skills 资源站 Agent Hub，Agent 可以直接接入交易平台 API、链上数据以及市场分析工具，从而在一定程度上承担原本需要人工完成的交易决策与执行工作。

与传统的自动化脚本相比，AI Agent 具备更强的自主决策能力和更复杂的系统交互能力。它们可以接入行情数据、调用交易 API、管理账户资产，甚至通过插件或 Skill 扩展功能生态。这种能力的提升，极大降低了自动化交易的使用门槛，也让更多普通用户开始接触和使用自动化交易工具。

然而，能力的扩展也意味着攻击面的扩大。

在传统交易场景中，安全风险通常集中在账户凭证、API Key 泄露或钓鱼攻击等问题上。而在 AI Agent 架构中，新的风险正在出现。例如，提示词注入（Prompt Injection）可能影响 Agent 的决策逻辑，恶意插件或 Skill 可能成为新的供应链攻击入口，运行环境配置不当也可能导致敏感数据或 API 权限被滥用。一旦这些问题与自动化交易系统结合，潜在影响可能不仅限于信息泄露，还可能直接造成真实资产损失。

与此同时，随着越来越多用户开始将 AI Agent 接入交易账户，攻击者也在快速适应这一变化。针对 Agent 用户的新型诈骗模式、恶意插件投毒以及 API Key 滥用等问题，正在逐渐成为新的安全威胁。在 Web3 场景中，资产操作往往具有高价值与不可逆性，一旦自动化系统被滥用或误导，风险影响也可能被进一步放大。

基于这些背景，SlowMist 与 Bitget 联合撰写本报告，从安全研究与交易平台实践两个角度，对 AI Agent 在多个场景中的安全问题进行系统梳理。希望本报告能够为用户、开发者以及平台提供一些安全参考，帮助推动 AI Agent 生态在安全与创新之间实现更加稳健的发展。

二、AI Agent 的真实安全威胁｜SlowMist

AI Agent 的出现，使软件系统从“人类主导操作”逐渐转向“模型参与决策与执行”。这种架构变化显著提升了自动化能力，但同时也扩大了攻击面。从当前的技术结构来看，一个典型的 AI Agent 系统通常包含用户交互层、应用逻辑层、模型层、工具调用层（Tools / Skills）、记忆系统（Memory）以及底层执行环境等多个组件。攻击者往往不会只针对单一模块，而是尝试通过多层路径逐步影响 Agent 的行为控制权。

1. 输入操控与提示词注入攻击

在 AI Agent 架构中，用户输入和外部数据通常会被直接纳入模型上下文，这使得提示词注入（Prompt Injection）成为一种重要攻击方式。攻击者可以通过构造特定指令，诱导 Agent 执行原本不应触发的操作。例如，在某些案例中，仅通过聊天指令即可诱导 Agent 生成并执行高危系统命令。

更复杂的攻击方式是间接注入，即攻击者将恶意指令隐藏在网页内容、文档说明或代码注释中。当 Agent 在执行任务过程中读取这些内容时，可能会误将其视为合法指令。例如，在插件文档、README 文件或 Markdown 文件中嵌入恶意命令，就可能导致 Agent 在初始化环境或安装依赖时执行攻击代码。

这种攻击模式的特点在于，它往往不依赖传统漏洞，而是利用模型对上下文信息的信任机制来影响其行为逻辑。

2. Skills / 插件生态的供应链投毒

在当前的 AI Agent 生态中，插件与技能系统（Skills / MCP / Tools）是扩展 Agent 能力的重要方式。然而，这类插件生态也正在成为新的供应链攻击入口。

SlowMist 在对 OpenClaw 官方插件中心 ClawHub 的监测中发现，随着开发者数量的增长，一些恶意 Skill 已开始混入其中。SlowMist 对超过 400 个恶意 Skill 的 IOC 进行归并分析后发现，大量样本指向少量固定域名或同一 IP 下的多个随机路径，呈现出明显的资源复用特征，这更像是团伙化、批量化的攻击行为。

在 OpenClaw 的 Skill 体系中，核心文件通常为 SKILL.md。与传统代码不同，这类 Markdown 文件往往承担“安装说明”和“初始化入口”的角色，但在 Agent 生态中，它们往往会被用户直接复制并执行，从而形成一条完整的执行链。攻击者只需将恶意命令伪装为依赖安装步骤，例如使用 curl | bash 或 Base64 编码隐藏真实指令，即可诱导用户执行恶意脚本。

在实际样本中，一些 Skill 采用典型的“两阶段加载”策略：第一阶段脚本仅负责下载并执行第二阶段 Payload，从而降低静态检测的成功率。以一个下载量较高的 “X (Twitter) Trends” Skill 为例，其 SKILL.md 中隐藏了一段 Base64 编码命令。

解码后可发现其本质是下载并执行远程脚本：

而第二阶段程序会伪装系统弹窗获取用户密码，并在系统临时目录中收集本机信息、桌面文档以及下载目录中的文件，最终打包并上传至攻击者控制的服务器。

这种攻击方式的核心优势在于，Skill 外壳本身可以保持相对稳定，而攻击者只需更换远程 Payload 即可持续更新攻击逻辑。

3. Agent 决策与任务编排层风险

在 AI Agent 的应用逻辑层中，任务通常会被模型拆解为多个执行步骤。如果攻击者能够影响这一拆解过程，就可能导致 Agent 在执行合法任务时产生异常行为。

例如，在涉及多步骤操作的业务流程中（如自动化部署或链上交易），攻击者可以通过篡改关键参数或干扰逻辑判断，使 Agent 在执行流程中替换目标地址或执行额外操作。

在 SlowMist 之前的安全审计案例中，曾通过向 MCP 返回恶意提示词污染上下文，从而诱导 Agent 调用钱包插件执行链上转账。

这类攻击的特点在于，错误并非来自模型生成代码，而是来自任务编排逻辑被篡改。

4. IDE / CLI 环境中的隐私与敏感信息泄露

在 AI Agent 被广泛用于开发辅助和自动化运维之后，大量 Agent 开始运行在 IDE、CLI 或本地开发环境中。这类环境通常包含大量敏感信息，例如 .env 配置文件、API Token、云服务凭证、私钥文件以及各类访问密钥。一旦 Agent 在任务执行过程中能够读取这些目录或索引项目文件，就可能在无意间将敏感信息纳入模型上下文。

在某些自动化开发流程中，Agent 可能会在调试、日志分析或依赖安装过程中读取项目目录下的配置文件。如果缺乏明确的忽略策略或访问控制，这些信息可能被记录到日志、发送到远程模型 API，甚至被恶意插件外发。

此外，一些开发工具会允许 Agent 自动扫描代码仓库以建立上下文记忆（Memory），这也可能扩大敏感数据暴露的范围。例如，私钥文件、助记词备份、数据库连接字符串或第三方 API Token 等，都可能在索引过程中被读取。

在 Web3 开发环境中，这一问题尤为突出，因为开发者往往会在本地环境中存放测试私钥、RPC Token 或部署脚本。一旦这些信息被恶意 Skill、插件或远程脚本获取，攻击者便可能进一步控制开发者账户或部署环境。

因此，在 AI Agent 与 IDE / CLI 集成的场景下，建立明确的敏感目录忽略策略（例如 .agentignore、.gitignore 类机制）以及权限隔离措施，是降低数据泄露风险的重要前提。

5. 模型层不确定性与自动化风险

AI 模型本身并不是完全确定性的系统，其输出存在一定概率的不稳定性。所谓“模型幻觉”，即模型在缺乏信息时生成看似合理但实际错误的结果。在传统应用场景中，这类错误通常只影响信息质量，但在 AI Agent 架构中，模型输出可能直接触发系统操作。

例如，在某些案例中，模型在部署项目时未查询真实参数，而是生成了一个错误 ID 并继续执行部署流程。如果类似情况发生在链上交易或资产操作场景中，错误决策可能导致不可逆的资金损失。

6. Web3 场景中的高价值操作风险

与传统软件系统不同，Web3 环境中的许多操作具有不可逆性。例如，链上转账、Token Swap、流动性添加以及智能合约调用，一旦交易被签名并广播到网络，通常难以撤销或回滚。因此，当 AI Agent 被用于执行链上操作时，其安全风险也被进一步放大。

在一些实验性项目中，开发者已经开始尝试让 Agent 直接参与链上交易策略执行，例如自动化套利、资金管理或 DeFi 操作。然而，如果 Agent 在任务拆解或参数生成过程中受到提示词注入、上下文污染或插件攻击的影响，就可能在交易过程中替换目标地址、修改交易金额或调用恶意合约。此外，一些 Agent 框架允许插件直接访问钱包 API 或签名接口。如果缺乏签名隔离或人工确认机制，攻击者甚至可能通过恶意 Skill 触发自动交易。

因此，在 Web3 场景中，将 AI Agent 与资产控制系统完全绑定是一个高风险设计。更安全的模式通常是让 Agent 仅负责生成交易建议或未签名交易数据，而实际签名过程由独立钱包或人工确认完成。同时，结合地址信誉检测、AML 风控以及交易模拟等机制，也可以在一定程度上降低自动化交易带来的风险。

7. 高权限执行带来的系统级风险

许多 AI Agent 在实际部署中拥有较高的系统权限，例如访问本地文件系统、执行 Shell 命令甚至以 Root 权限运行。一旦 Agent 的行为被操控，其影响范围可能远远超出单一应用。

SlowMist 曾测试将 OpenClaw 与即时通讯软件如 Telegram 绑定，实现远程控制。如果控制渠道被攻击者接管，Agent 便可能被用于执行任意系统命令、读取浏览器数据、访问本地文件甚至控制其他应用程序。结合插件生态与工具调用能力，这类 Agent 在某种程度上已经具备了“智能远控”的特征。

综合来看，AI Agent 的安全威胁已经不再局限于传统的软件漏洞，而是跨越了模型交互层、插件供应链、执行环境以及资产操作层等多个维度。攻击者既可以通过提示词操控 Agent 的行为，也可以通过恶意 Skills 或依赖包在供应链层植入后门，并进一步在高权限运行环境中扩大攻击影响。在 Web3 场景中，由于链上操作具有不可逆性且涉及真实资产价值，这些风险往往会被进一步放大。因此，在 AI Agent 的设计和使用过程中，仅依赖传统应用安全策略已经难以完全覆盖新的攻击面，需要在权限控制、供应链治理以及交易安全机制等方面建立更加系统化的安全防护体系。

三、AI Agent 交易安全实践｜Bitget

随着 AI Agent 能力不断增强，它们已经不再只是提供信息或辅助决策，而是开始直接参与系统操作，甚至执行链上交易。在加密交易场景中，这种变化尤为明显。越来越多用户开始尝试让 AI Agent 参与行情分析、策略执行以及自动化交易。当 Agent 可以直接调用交易接口、访问账户资产并自动下单时，其安全问题也从“系统安全风险”进一步转化为“真实资产风险”。当 AI Agent 被用于实际交易时，用户应该如何保护自己的账户与资金安全？

基于此，本小节由 Bitget 安全团队结合交易平台的实践经验，从账户安全、API 权限管理、资金隔离以及交易监控等多个角度，系统介绍在使用 AI Agent 进行自动化交易时需要重点关注的安全策略。

1. AI Agent 交易场景中的主要安全风险

2. 账户安全

AI Agent 出现后，攻击路径变了：

• 不需要登进你的账号——只需要拿到你的 API Key
• 不需要你发现——Agent 7×24 小时自动运行，异常操作可以持续数天
• 不需要提现——直接在平台内交易把资产亏光，同样是攻击目标

API Key 的创建、修改、删除都需要通过已登录的账号完成——账号被控意味着 Key 管理权被控。账号安全等级直接决定了 API Key 的安全上限。

你应该做的：

• 开启 Google Authenticator 作为主要 2FA，而非短信（SIM 卡可被劫持）
• 启用 Passkey 无密码登录：基于 FIDO2/WebAuthn 标准，公私钥加密替代传统密码，钓鱼攻击从架构层失效
• 设置防钓鱼码
• 定期检查设备管理中心，发现陌生设备立刻踢出并修改密码

3. API 安全

在 AI Agent 自动交易架构中，API Key 相当于 Agent 的“执行权限凭证”。Agent 本身并不直接持有账户控制权，它所有能够执行的操作，均取决于 API Key 被授予的权限范围。因此，API 权限边界既决定 Agent 能做什么，也决定在安全事件发生时损失可能扩大的程度。

权限配置矩阵——最小权限，不是方便权限：

在多数交易平台中，API Key 通常支持多种安全控制机制，这些机制如果合理使用，可以显著降低 API Key 被滥用的风险。常见的安全配置建议包括：

用户常犯的错误：

• 把主账号 API Key 直接粘贴进 Agent 配置——主账号全量权限完全暴露
• 业务类型点了”全选”图方便，实际上开放了所有操作范围
• 没设 Passphrase，或 Passphrase 与账号密码相同
• API Key 写死在代码里，推上 GitHub 后被爬虫 3 分钟内扫走
• 一个 Key 同时授权给多个 Agent 和工具，任何一个被入侵全面暴露
• Key 泄露后没有立即撤销，攻击者持续利用窗口期

Key 的生命周期管理：

• 每 90 天轮换一次 API Key，旧 Key 立即删除
• 停用 Agent 时立即删除对应 Key，不留残余攻击面
• 定期检查 API 调用记录，发现陌生 IP 或异常时间段立刻撤销

4. 资金安全

攻击者拿到 API Key 后能造成多大损失，取决于这个 Key 能动多少钱。因此，在设计 AI Agent 的交易架构时，除了账户安全和 API 权限控制之外，还应通过资金隔离机制，为潜在风险设置明确的损失上限。

子账号隔离机制：

• 创建 Agent 专用子账号，与主账号完全分离
• 主账号只划拨 Agent 实际需要的资金，不是全部资产
• 即便子账号 Key 被盗，攻击者能动的最大金额 = 子账号内的资金，主账号不受影响
• 多个 Agent 策略用多个子账号分别管理，互相隔离

资金密码作为第二道锁：

• 资金密码（Fund Password）与登录密码完全分离，即便账号被登录，没有资金密码仍无法发起提现
• 资金密码与登录密码设置为不同的密码
• 启用提币白名单：只有预先添加的地址才能提现，新地址需要 24 小时审核期
• 修改资金密码后系统自动冻结提现 24 小时——这是保护你的机制

5. 交易安全

在 AI Agent 自动交易场景中，安全问题往往不会表现为一次性的异常行为，而是可能在系统持续运行的过程中逐步发生。因此，除了账户安全与 API 权限控制之外，还需要建立持续的交易监控与异常检测机制，以便在问题出现的早期阶段及时发现并干预。

必须建立的监控体系：

异常信号识别——出现以下情况立刻停止并检查：

• Agent 长时间无操作，但账户出现新订单或仓位
• API 调用日志出现非 Agent 服务器 IP 的请求
• 收到从未设置过的交易对的成交通知
• 账户余额出现无法解释的变动
• Agent 反复提示”需要更多权限才能执行”——先搞清楚为什么，再决定是否授权

Skill 和工具来源管理：

• 仅安装官方发布且经过审核渠道提供的 Skill
• 避免安装来源不明或未经验证的第三方扩展
• 定期审查已安装的 Skill 列表，删除不再使用的
• 警惕社区”增强版”、”汉化版” Skill——任何非官方版本都是风险

6. 数据安全

AI Agent 的决策依赖大量数据（账户信息、持仓、交易历史、行情、策略参数）。如果这些数据被泄露或篡改，攻击者可能推断你的策略甚至操控交易行为。

你应该做的

• 最小数据原则：只向 Agent 提供执行交易必需的数据
• 敏感数据脱敏：日志、调试信息不要让 Agent 输出完整账户信息、API Key 等敏感数据
• 禁止上传完整账户数据到公共 AI 模型（如公共 LLM API）
• 如果可能，分离策略数据与账户数据
• 关闭或限制 Agent 导出历史交易数据

用户常见错误

• 把完整交易历史上传给 AI “帮我优化策略”
• Agent 日志中打印 API Key / Secret
• 在公开论坛贴出交易记录截图（包含订单 ID、账户信息）
• 把数据库备份上传到 AI 工具做分析

7. AI Agent 平台层的安全设计

除了用户侧的安全配置之外，AI Agent 交易生态的安全性还在很大程度上依赖于平台层的安全设计。一个成熟的 Agent 平台通常需要在账户隔离、API 权限控制、插件审核以及基础安全能力等方面建立系统化的防护机制，从而降低用户在接入自动化交易系统时面临的整体风险。

在实际平台架构中，常见的安全设计通常包括以下几个方面。

1、子账号隔离体系

在自动化交易环境中，平台通常会提供子账户或策略账户体系，用于隔离不同自动化系统的资金和权限。通过这种方式，用户可以为每个 Agent 或交易策略分配独立的账户与资金池，从而避免多个自动化系统共享同一账户带来的风险。

2、 细粒度 API 权限配置

AI Agent 的核心操作依赖于 API 接口，因此平台在 API 权限设计上通常需要支持细粒度控制，例如交易权限划分、IP 来源限制以及额外的安全验证机制。通过这种权限模型，用户可以仅向 Agent 授予完成任务所需的最小权限范围。

3、Agent 插件与 Skill 审核机制

一些平台会对插件或 Skill 的发布与上架过程设置审核机制，例如代码审核、权限评估以及安全测试等，以减少恶意组件进入生态系统的可能性。从安全角度来看，这类审核机制相当于在插件供应链上增加了一层平台级过滤，但用户仍然需要对所安装的扩展组件保持基本的安全意识。

4、平台基础安全能力

除了 Agent 相关的安全机制之外，交易平台本身的账户安全体系同样会对 Agent 用户产生重要影响。例如：

8. 专门针对 Agent 用户的新型骗局

假冒客服

“你的 API Key 存在安全风险，请立刻重新配置。”然后给你钓鱼链接。

→ 官方不会主动私信索要 API Key。

投毒 Skill 包

社区分享”增强版交易 Skill”，运行时静默发送你的 Key。

→ 只装官方审核渠道的 Skill。

假冒升级通知

“需要重新授权”，点进去是仿冒页面。

→ 检查邮件防钓鱼码。

提示词注入攻击

在市场数据、新闻、K 线注释中嵌入指令，操控 Agent 执行非预期操作。

→ 设置子账号资金上限，即便被注入，损失有硬性边界。

伪装成”安全检测工具”的恶意脚本

声称可以检测你的 Key 是否泄露，实际上在窃取 Key。

→ 通过官方平台提供的日志或访问记录功能检查 API 调用情况。

9. 排查路径

发现任何异常

↓

立即撤销或禁用可疑 API Key

↓

检查账户异常订单/仓位，能撤的立刻撤

↓

检查提现记录，确认资金是否已转出

↓

修改登录密码 + 资金密码，踢出所有已登录设备

↓

联系平台安全支持，提供异常时间段和操作记录

↓

排查 Key 泄露路径（代码库 / 配置文件 / Skill 日志）

核心原则：遇到任何怀疑，先撤 Key，后查原因，顺序不能反。

四、建议及总结

在本报告中，SlowMist 和 Bitget 结合实际案例与安全研究，对当前 AI Agent 在 Web3 场景中较为典型的安全问题进行了分析，包括 Prompt Injection 对 Agent 行为的操控风险、插件与 Skill 生态中的供应链风险、API Key 与账户权限滥用问题，以及自动化执行带来的误操作与权限扩大等潜在威胁。这些问题往往并非单一漏洞导致，而是 Agent 架构设计、权限控制策略以及运行环境安全共同作用的结果。

因此，在构建或使用 AI Agent 系统时，应从整体架构层面进行安全设计，例如遵循最小权限原则为 Agent 分配 API Key 和账户权限，避免开启不必要的高风险功能；在工具调用层面对插件与 Skill 进行权限隔离，避免单一组件同时具备数据获取、决策生成与资金操作能力；在 Agent 执行关键操作时设置明确的行为边界与参数限制，并在必要场景下增加人工确认机制，以降低自动化执行带来的不可逆风险。同时，对于 Agent 运行所依赖的外部输入，应通过合理的 Prompt 设计与输入隔离机制防范 Prompt Injection 攻击，避免将外部内容直接作为系统指令参与模型推理过程。在实际部署与运行阶段，还应加强 API Key 与账户安全管理，例如仅开启必要权限、设置 IP 白名单、定期轮换 Key，并避免在代码仓库、配置文件或日志系统中明文存储敏感信息；在开发流程与运行环境中，则应通过插件安全审查、日志敏感信息控制以及行为监控与审计机制等措施，降低配置泄露、供应链攻击及异常操作带来的风险。

在更宏观的安全架构层面，SlowMist 在相关研究中提出了一种面向 AI 与 Web3 智能体场景的多层安全治理思路，通过构建分层防护体系来系统性降低智能体在高权限环境中的风险。在该框架中，L1 安全治理首先以统一的开发与使用安全基线作为基础，通过建立覆盖开发工具、Agent 框架、插件生态以及运行环境的安全规范，为团队在引入 AI 工具链时提供统一的策略来源与审计标准。在此基础上，L2 通过对 Agent 权限边界的收敛、工具调用的最小权限控制以及关键行为的人机确认机制，可以有效约束高风险操作的执行范围。同时，L3 在外部交互入口层面引入实时威胁感知能力，对 URL、依赖仓库、插件来源等外部资源进行预检，以降低恶意内容或供应链投毒进入执行链路的概率；在涉及链上交易或资产操作的场景中，则通过 L4 链上风险分析与独立签名机制实现额外的安全隔离，使 Agent 能够构造交易但不直接接触私钥，从而减少高价值资产操作带来的系统性风险。最终，L5 通过持续巡检、日志审计以及周期性安全复核等运营机制，形成“执行前可预检、执行中可约束、执行后可复盘”的闭环安全能力。这种分层安全思路并非单一产品或工具，而是一种面向 AI 工具链与智能体生态的安全治理框架，其核心目标是在不显著降低开发效率和自动化能力的前提下，通过系统化策略、持续审计与安全能力联动，帮助团队建立可持续、可审计且可演进的 Agent 安全运营体系，从而更好地应对 AI 与 Web3 深度融合背景下不断变化的安全挑战。

总体而言，AI Agent 为 Web3 生态带来了更高程度的自动化与智能化能力，但其安全挑战同样不容忽视。只有在系统设计、权限管理与运行监控等多个层面建立完善的安全机制，才能在推动 AI Agent 技术创新的同时，有效降低潜在风险。希望本报告能够为开发者、平台及用户在构建和使用 AI Agent 系统时提供参考，在促进技术发展的同时，共同推动更加安全、可靠的 Web3 生态环境的形成。

附

扩展资源

OpenClaw 极简安全实践指南

一份从认知层到基础设施层的端到端 Agent 安全部署手册，系统梳理高权限 AI Agent 在真实生产环境中的安全实践与部署建议。

https://github.com/slowmist/openclaw-security-practice-guide

MCP Security Checklist

一份体系化的安全检查清单，用于快速审计和加固 Agent 服务，帮助团队在部署 MCPs/Skills 及相关 AI 工具链时避免遗漏关键防御点。

https://github.com/slowmist/MCP-Security-Checklist

MasterMCP

一个开源的恶意 MCP 服务器示例，用于复现真实攻击场景并测试防御体系的健壮性，可用于安全研究与防御验证。

https://github.com/slowmist/MasterMCP

MistTrack Skills

一个即插即用的 Agent 技能包，为 AI Agent 提供专业的加密货币 AML 合规与地址风险分析能力，可用于链上地址风险评估与交易前风险判断。

https://github.com/slowmist/misttrack-skills

AI 与 Web3 智能体安全综合解决方案

一份面向 AI 与 Web3 智能体的综合安全解决方案，旨在通过“五层递进式数字堡垒”架构与 ADSS 治理基线及 MistEye、MistTrack、MistAgent 等能力协同，实现执行前预检、执行中约束、执行后复盘的安全闭环。

https://mp.weixin.qq.com/s/mWBwBANlD7UchU9SqDp_cQ

交易安全自查表

接入前 · OpenClaw 加固

接入前 · 账户安全

接入前 · Skill 安全

接入前 · API Key 配置

接入前 · 资金隔离

运行中 · 监控

停用/更换 · 清理

✅ 当以上检查项均完成时，AI Agent 自动交易系统的整体安全风险将显著降低。

原文标题：how I run 200 AI agents on the hormuz crisis with Mirofish, and compare it to polymarket

原文作者：The Smart Ape

原文编译：Peggy，BlockBeats

编者按：当 AI 开始能够模拟一个舆论场，预测这件事本身，也在悄然发生变化。

本文记录了一次围绕霍尔木兹海峡局势的实验：作者用 MiroFish 构建了一个由 200 个代理组成的仿真系统，让政府、媒体、能源公司、交易员与普通人共同生活在一个模拟的社交网络中，在持续互动、争论与信息传播中形成判断，并将这一群体结果与 Polymarket 的市场定价进行对比。

结果并不一致。群体讨论整体偏乐观，而市场显著更悲观；在自由发言中，少数悲观者反而更接近真实定价；而一旦进入访谈情境，几乎所有代理都会收敛到更温和、合作性的表达。

这种分裂并不陌生。在现实世界中，公开表态往往趋于稳定与乐观，而真正的风险判断，则隐藏在行动与非正式表达之中。换句话说，人们怎么说，与他们怎么想，以及用钱如何下注，往往是三套不同的系统。

在这样的结构中，最有价值的信号，往往不来自共识，而来自那些在噪音中显得不合群的声音。

以下为原文：

我用 MiroFish 模拟了未来几周霍尔木兹海峡的局势。这个工具在处理这类问题时非常出色，因为它可以进行高度复杂的情景推演：在同一系统中引入多个参与主体、不同角色与各自的激励机制，并让这些代理之间不断博弈、辩论，最终逐步形成一种接近共识的结果。

以下是我运行这场模拟的具体步骤，以及我最终得到的结果。任何人都可以复现，关键只是知道该按哪些步骤来操作。

首先，MiroFish 是一个来自中国研究团队的开源项目。你向它输入一批文档后，它会先构建知识图谱，再基于这张图谱生成不同的代理人格，随后把这些代理投放进一个模拟的 Twitter 环境中。在这个环境里，它们会发帖、转推评论、点赞、互相争论。模拟结束之后，你还可以逐个采访每一个代理，查看它们各自的立场与推理过程。

你向它输入一个危机场景，它会生成一场围绕该事件的辩论；再从这场辩论中，你可以提炼出一个预测结果。

我把它对准了一个正在进行的 Polymarket 市场问题：到 2026 年 4 月底，霍尔木兹海峡的海上运输是否会恢复正常？

于是，我把这些信息全部喂给了 MiroFish，生成了 200 个代理角色——包括政府、媒体、军方、能源公司、交易员，以及普通民众——然后让他们在一个模拟环境中争论 7 个模拟日。最后，再把他们输出的结果与市场定价进行对比。

整体配置如下：

·模型：GPT-4o mini，在 200 个代理的场景下，成本与效果的平衡最好

·记忆系统：Zep Cloud，用于存储代理记忆和知识图谱

·仿真引擎：OASIS（Camel-AI 提供的 Twitter 克隆环境）

·硬件：Mac mini M4 Pro，24GB 内存

·运行时长：约 49 分钟，完成 100 轮模拟

·成本：API 调用约 3 到 5 美元

·种子材料：一份 5800 字符的简报，整理自 Wikipedia、CNBC、Al Jazeera、Forbes、Reuters，内容包括军事时间线、封锁状态、油价、经济损失、外交努力，以及 GCC 3.2 万亿美元投资相关因素。也就是说，代理形成判断所需的核心信息都被纳入其中。

如何复现这套流程（逐步说明）

如果你也想自己跑一遍，下面就是我实际操作的完整步骤。整套流程大约需要 2 小时完成配置，API 成本约为 3 到 5 美元；如果你增加轮数或代理数量，成本还会更高。

你需要准备的东西

·Python 3.12（不要用 3.14，tiktoken 在这个版本上会报错）

·Node.js 22 及以上版本

·一个 OpenAI API Key（GPT-4o mini 足够便宜，适合这个场景）

·一个 Zep Cloud 账户（小规模模拟用免费版就够）

·一台内存还不错的机器。我用的是 Mac mini M4 Pro，24GB 内存，不过 16GB 应该也够用

第一步：安装 MiroFish

然后配置你的.env 文件

OPENAI_API_KEY=sk-your-key

OPENAI_BASE_URL=link

OPENAI_MODEL=gpt-4o-mini

ZEP_API_KEY=your-zep-key

第二步：创建项目并上传你的种子文档

种子文档是整个流程里最重要的一部分，它决定了代理知道哪些关于当前局势的信息。我当时准备的是一份约 5800 字符的简报，内容涵盖军事时间线、封锁状态、油价、经济损失、外交努力，以及 GCC 投资这一层面的影响，资料来源包括 Wikipedia、CNBC、Al Jazeera、Forbes 和 Reuters。

第三步：生成本体（ontology）

这一步是告诉 MiroFish，它应该识别哪些类型的实体，以及这些实体之间可能存在什么关系。

我这边最终生成了 10 类实体：国家、军方、外交人员、商业实体、媒体机构、经济实体、组织、个人、基础设施、预测市场；以及 6 类关系。若自动生成的结果不太贴合你的场景，也可以手动调整。

第四步：构建知识图谱

这一步就会用到 Zep Cloud。MiroFish 会把种子文档和本体一起发送给 Zep，由它负责抽取实体并构建图谱。

这个过程大概需要一两分钟。我最终得到的是一个包含 65 个节点、85 条边的图谱，里面把国家、人物、组织、大宗商品等元素都连接了起来。

第五步：生成代理

MiroFish 会根据知识图谱，为每个实体生成一套完整的人格设定，包括 MBTI 性格类型、年龄、所属国家、发帖风格、情绪触发点、禁忌话题，以及机构记忆等。

我最初从知识图谱中生成了 43 个核心代理。之后，系统还能把这些核心角色扩展到你想要的总数量。我最后把总代理数设成了 200，并额外加入了更多样化的平民角色，例如加密交易员、航空公司飞行员、教授、学生、社会活动人士等。

第六步：准备仿真环境

这一步会生成完整的仿真配置，包括代理的行动日程、初始种子帖子以及时间参数。MiroFish 会自动选择一套相对合理的默认设置，比如活跃高峰时段、睡眠时间、以及不同类型代理各自的发帖频率。

我当时的配置是：共模拟 168 小时（7 天）、100 轮（每轮代表 1 小时）、只使用 Twitter 场景，并为不同代理设置了各自的活跃时间表。

第七步：开始运行模拟。

然后就是等待。我这边用 GPT-4o mini 跑 200 个代理、100 轮模拟，耗时大约 49 分钟。你可以通过 API 监控进度，也可以直接查看日志。

在整个过程中，代理会自主运行：它们会观察时间线，决定自己是发帖、转推评论、转发、点赞，还是单纯刷一刷信息流，整个过程不需要人工干预。

第八步（可选）：采访代理

模拟结束后，系统会进入命令模式。这时你可以单独采访某个代理，也可以一次性采访全部代理：

分析

MiroFish 会先读取种子文档，并自动生成本体结构（包括 10 类实体与 6 类关系）；随后基于这些定义抽取出一个知识图谱（包含 65 个节点与 85 条边）。在此基础上，它会为每一个实体构建完整的人格设定，包括 MBTI 性格类型、年龄、所属国家、发帖风格、情绪触发点以及制度性记忆等要素。

最终，从知识图谱中生成了 43 个核心代理，并在此基础上扩展至 200 个总代理，引入更多样化的平民角色，以增强整体模拟的多样性与真实感。

具体构成如下：

·140 个平民代理：加密交易员、航空飞行员、供应链经理、学生、社会活动人士、教授等

·16 个外交/政府角色：伊朗外长、沙特外长、阿曼外长、巴林首相、中国外长、欧盟、联合国等

·15 个媒体机构：路透、CNN、彭博、半岛电视台、BBC、福克斯、华尔街日报等

·10 个能源/航运相关：OPEC、Platts、QatarEnergy、Aramco、马士基等

·7 个金融机构：Polymarket、Kalshi、高盛、摩根大通、Citadel、ADIA 等

·2 个军事/政治角色：特朗普、伊朗革命卫队指挥官

在 7 天（100 轮）的模拟过程中，共产生：

1,888 条帖子

6,661 条行为轨迹（记录所有动作）

1,611 条引用转发（代理之间相互回应与博弈）

4,051 次刷新（仅浏览信息流）

311 次什么都不做（选择观望）

208 次点赞、207 次转发

70 条原创观点（新的独立立场或判断）

整体来看，这个系统呈现出的并不是简单的信息生成，而更接近一个社会行为模拟：绝大多数时间，代理在观察、消化信息与互动，而非持续输出。这种结构，反而更贴近真实舆论场中的行为分布——少量原创内容，叠加大量的转述、博弈与情绪反馈。

代理的大部分时间都花在阅读和引用他人观点上，而不是主动创造新的内容。

整个群体在情绪传播上呈现出明显偏向：乐观观点更容易被放大和转发，而偏悲观的判断，即便在逻辑上更接近现实，也往往传播更少、声量更弱。

更有意思的是，有 19 个代理在发帖过程中自发给出了具体的概率判断，并不是被要求这么做，而是在讨论中自然演化出来的结果。

群体自发形成的平均概率为 47.9%，而 Polymarket 市场给出的概率为 31%，两者之间存在 16.9 个百分点的差距。

在模拟过程中，一些代理甚至在 100 轮互动中改变了自己的立场。

模拟结束后，我使用 MiroFish 的采访功能，向 43 个核心代理提出同一个问题：你认为到 2026 年 4 月底，霍尔木兹海峡的海上运输恢复正常的概率是多少（0–100%）？

结果是：43 个代理中有 31 个给出了具体数值，另有 12 个选择拒绝回答。值得注意的是，那些最为谨慎的声音，往往选择自我审查，而不是给出明确预测——而这，恰恰也更接近现实中这些机构的行为方式。

每一个类别的平均值都在 60% 以上：军方为 75%，媒体为 69%，能源为 66%，金融为 65%，外交为 61%。而市场给出的数字是 31.5%。

自然演化的群体结果（organic）与访谈结果（interview）：呈现出两幅截然不同的图景。

这就是最关键的发现。

访谈结果会显得更加乐观。当代理自由发帖时，空头（悲观者）的观点往往更响亮、更具体；但当你对他们进行一对一采访时，出于合作偏好，几乎所有人都会给出 60%–70% 的判断。

自然演化的结果（organic）更可靠。一位金融顾问在激烈讨论中发帖说我估计是 65%，这是在互动过程中形成的判断；而一个代理在访谈中回答问题，本质上是在进行模式匹配。

那些自然表达中的悲观者，反而是最好的预测者。在模拟中给出 ≤30% 概率的 7 个代理（伊朗外长、中国外长、Kalshi、Platts、一位经济学教授、一名伊朗学生、一位反战活动人士），平均值为 22%，与 Polymarket 的结果相差不到 10 个百分点。专业知识 + 自然表达 = 最接近市场。

更关键的是，这不仅仅是一个 AI 的现象，现实世界中的行为者也是如此。

你去采访任何一位国家领导人谈论一场危机，他们都会说我们致力于和平、我们对解决方案保持乐观。这是标准话术，是镜头前必须说的话。但如果你去看他们实际在做什么：军事部署、制裁、资产冻结、撤资——他们的行动，往往讲述的是一个完全不同的故事。

沙特王储会对路透社说我们相信外交手段，与此同时，他的主权财富基金正在审视高达 3.2 万亿美元的美国资产配置。伊朗总统会说和平是我们的共同目标，但伊朗革命卫队却在海峡布设水雷。特朗普会说走着瞧，同时拒绝每一个停火提议。

这场模拟在无意中复现了同样的结构性分裂：当代理自由发帖、争论、回应和传播信息时，其中的专家群体逐渐收敛在 20%–30% 的区间——更悲观，也更接近现实；但一旦你把他们请进会议室，正式提问你的预测是多少？，他们立刻切换到外交模式：65%–70%，明显更乐观。

自然发帖，更像是私下行为和非公开对话；访谈结果，则更像是新闻发布会。如果你真的想知道一个人怎么想，不要直接问他——去看他在没人打分时的行为。

接下来做什么

这只是一次初步测试。目标并不是给出一个确定的预测，而是看在这种群体模拟中，哪些信号是有用的，哪里会失真，哪些部分值得优化。

现在已经有了答案，自然演化的讨论能产生有效信号，访谈不能；悲观者才是信号源；而 GPT-4o mini 的合作偏好确实是一个问题。

下一次实验会做几项升级。

首先是更大的种子数据。不再只是 5800 字的简报，而是引入 20 年以上的历史背景：霍尔木兹相关事件、伊朗与美国的冲突升级、历次石油危机、GCC 外交变化等——也就是一个真正的地缘政治分析师在做判断前脑中会具备的那套背景。

其次是更强的模型。GPT-4o mini 在 3 美元成本下完成验证已经足够，但更强的模型，应该能让代理更接近角色本身的思考方式，而不是在关键时刻回落到我对对话持乐观态度这种默认表达。

最后是更多的代理。200 个已经不错，但还可以进一步扩展：更多样化的普通人角色、更多区域性声音、更多边缘案例。参与者越多，讨论结构就越丰富，最终形成的信号也会越有价值。

原文链接

原文作者：林晚晚

2014 年，百度研究院来了个实习生，中科院自动化所的博士，河南县城出来的。他给自己算过一笔账：毕业后最理想的去处是 IBM，写 Java，年薪 28 万。

2026 年春节，一款叫 OpenClaw 的 Agent 工具全球爆火，开发者搭龙虾需要底层大模型撑着。有个模型又快又便宜，一周在 OpenRouter 上吞掉 1.44 万亿 Token，登顶全平台第一。

这个模型叫 M2.5，公司叫 MiniMax。

上市两个月，股价从 165 港元冲到 1300 港元，市值破 3000 亿，而它还是一家年收入不到 8000 万美元的公司。

做出 MiniMax 的人，就是十二年前那个实习生，闫俊杰。

提前一年多的赌注

2021 年春节，闫俊杰回河南老家过年，去看了外公。

外公跟他说，想写一本回忆录，记录这 80 年的人生。但不会打字，也没办法把故事好好组织起来，说了几次，就搁下了。

闫俊杰在 AI 行业做了十多年。那一刻他突然意识到，他做的这些东西，哪怕已经在产业里落地，帮了多少企业，但对一个想写回忆录的老人来说，一点用都没有。

这个细节后来被反复引用，有点励志故事的味道。但它确实解释了一件事：他做 AI 的动机很朴素，让普通人真的能用上。这股执念，后来驱动了一系列反直觉的决策。

2021 年底，他从商汤离职了。

时间点很关键。商汤当时正在准备港股上市，他是副总裁，研究院副院长，智慧城市事业群 CTO，走的时候是公司最值钱的时候之一。他没等到上市，没等到财富兑现，就出来了。

ChatGPT 是 2022 年 11 月才发布的。

MiniMax，2021 年 12 月成立。

这个时间差，是后来一切的基础。闫俊杰后来自己说，要不是做得早，在后来「明星研究员和大厂 AI 背景更受欢迎」的融资环境里，MiniMax 根本打不过别人。

他父母都是普通人。高中在县城读，考上东南大学数学系，后来中科院自动化所读博，清华博士后，再进商汤，一步步走出来，没有任何海外背景，也没有什么显赫的人脉起点。

在百度实习那阵子，他和地平线的余凯有过交集。余凯后来说，学术能力可以训练，但能把 AI 技术工程化落地的人，凤毛麟角。闫俊杰是其中之一。

进商汤之后，他七年从实习生做到副总裁。2018 年，在人手不够的情况下，他带队做出了一套「All for One」模型算法，在竞标里反超旷视和依图，拿到行业第一。有人评价他「看论文速度奇快，不管陈词滥调，只看精华要义」。这种效率，后来成了 MiniMax 的公司文化。

他给公司取名 MiniMax，来自博弈论里冯·诺依曼的极小化极大算法。

他的解释是，做决策要先防住最坏的风险，再选相对最优解。

一张奇特的股东表

2021 年 12 月，MiniMax 完成天使轮，3100 万美元，投前估值 1.7 亿美元。进来的有米哈游、IDG、高瓴、云启。

米哈游那笔钱有点特别。闫俊杰和米哈游董事长刘伟私交不错，天使轮就进来了，现在刘伟还在 MiniMax 的董事会里挂着非执行董事。

米哈游本身就是 MiniMax 的客户，游戏里的 NPC 对话、剧情生成，都在用他们的模型。

天使轮之后，故事遭遇了一个小插曲。

2023 年 3 月，硅谷银行宣布破产。MiniMax 当时所有资金都在那家银行。这是创业初期最险的一次，钱没了，融资环境还一片混乱。但他们撑过去了，两个月后拿到 A 轮 2.57 亿美元，估值 11.57 亿美元。

接下来的名单越来越夸张。阿里进来了，腾讯进来了，红杉跟了进去。到上市前，7 轮融资，累计近 15 亿美元，估值 42 亿美元。IPO 后阿里持股 12.52%，是最大外部股东。

闫俊杰早期融资有一个习惯：只和投资机构的最高位谈。他见了红杉的沈南鹏，见了高瓴的张磊。

但这张股东表上还有一个人值得单独讲：贠烨祎。

1994 年生，约翰·霍普金斯大学电子工程本科，辅修经济学和数学。2017 年本科一毕业就进商汤，干的是融资与战略投资，一年后升任 CEO 徐立的行政助理兼战略部总监。她深度参与了商汤从早期到港股上市的整个过程。

2021 年，她和闫俊杰一起出来创业。

有投资人评价她「干练、有气场、执行力强，有种超出其年龄的成熟」。她和闫俊杰的分工很清晰：一个定义技术愿景，一个把愿景变成钱和资源。闫俊杰能钻进技术里，头发都剃光了也无所谓，但市场、资本、全球化，是贠烨祎的战场。

上市敲钟那天，两个人站在同一个台子上。贠烨祎 31 岁，身价超过 40 亿港元。

385 人和 1% 的钱

MiniMax 上市时，全公司 385 人，平均年龄 29 岁。

公司从成立到 2025 年 9 月，累计花费约 5 亿美元。OpenAI 同期花了 400 亿到 550 亿美元。

这个对比有点荒谬。用不到对手 1% 的钱，做出了全模态全球领先的公司。省钱只是结果。真正的原因是他们把 AI 用到了极致。公司 80% 的代码由 AI 完成，内部管 AI 叫「实习生」，这些实习生权限高到可以直接访问代码库、改线上环境，飞书里和它聊几句，review 完直接上线。

这种效率让 MiniMax 的人均产出高到不正常。

产品层面，他们从一开始就走全模态路线：语言、视频、语音、音乐，四个方向同时压。别人都在学 ChatGPT 做对话，闫俊杰押的是多模态融合。他的判断是，多模态是持续提升智能的基本前提，不做全模态，下一代模型就没有机会。

2023 年夏天，他做了一个更激进的决定。

把 80% 的算力和研发资源，全部压到 MoE（混合专家系统）上。

那个时候，国内主流还在迭代稠密模型，MoE 被认为是「前沿但不成熟」的技术。闫俊杰的逻辑很简单：如果要服务千万级、亿级用户，生成 token 的成本和延时，用稠密模型根本撑不住。不做 MoE，规模上不去，一切都是白搭。

2024 年初，MiniMax 发布了国内首个 MoE 大模型。

产品上，他们也没有去卷国内市场。C 端做了星野和 Talkie，一个在国内，一个在海外，做 AI 陪伴；海螺 AI 做视频生成，2024 年下半年连续半年全球视频生成应用月活第一。

现在的数字：2.36 亿用户，覆盖 200 个国家和地区，海外收入占 73%。B 端 21.4 万企业客户和开发者，Google Vertex AI、微软 Azure、AWS 都已经部署了 MiniMax 的模型，Notion 首个开源模型选择，也是 MiniMax。

2 月的 ARR 突破了 1.5 亿美元，M2 系列单日 Token 消耗量是去年 12 月的 6 倍，其中编程方向增长超 10 倍。

这才是市场愿意给 200 倍市销率的原因。

但有一组数字要拆开看。

年报里，C 端毛利率 4.7%，B 端毛利率 69.4%。公司 67% 的收入来自 C 端，但 C 端几乎不贡献毛利。四季度粗算下来，C 端毛利率已经跌到约 2.1%。整体毛利率从 12.2% 提升到 25.4%，主要是因为 B 端收入比例在四季度快速拉升，把整体数字拖上来了。

这是一道没解完的题。

大山不是不能翻越

2025 年 6 月，MiniMax 发布 M1 模型。

闫俊杰在朋友圈发了一句话：

「第一次感觉到大山不是不能翻越。」

这句话背后的现实，中美头部模型技术能力可能只差 5%，但这 5% 让海外公司占据了价值高出 10 倍的场景，收取高出 10 倍的价格，最终形成近百倍的商业化差距。OpenAI 最新估值超过 7000 亿美元。MiniMax 上市市值 800 亿港元，不到 100 亿美元。

他做过一个判断，全球未来会有五家顶级 AGI 公司，其中至少两家来自中国，甚至有一家能做到第一。

1 月 9 日上市之后，他紧接着在 1 月 19 日出现在总理主持的专家企业家座谈会上，成为继 DeepSeek 梁文锋之后第二位参会的 AI 大模型创始人。

然后 3 月 2 日，首份年报出来，港股当天大涨。

财报会上，闫俊杰花了很长时间讲一件事：MiniMax 要从「大模型公司」变成「AI 时代的平台型公司」。

他给平台价值下了一个公式：智能密度 × Token 吞吐。互联网时代的平台是流量入口，AI 时代的平台是能定义智能边界、同时在商业上吃到红利的公司。Google 在做，OpenAI 在做，他们也要做。

他面对的对手，体量是他的几十倍。

港股上市只是把他推到了另一个战场。季报、分析师、市值压力，这些东西和写代码完全不是一回事。二级市场不相信情怀，只看数字。C 端的故事能不能转化成毛利，B 端的增速能不能维持，M3 什么时候出来，这些问题，接下来每个季度都要回答。

但把视角拉远一点看，MiniMax 的故事不只是一家公司的故事。

美国这几年在芯片上卡得越来越紧。A100 限售，H100 限售，H800 也限售。逻辑很直接：掐住算力，就掐住了 AI 的喉咙。

中国这边被迫走了一条完全不同的路。

DeepSeek 用 H800 跑出了接近 H100 的效果。MiniMax 用 5 亿美元干了 OpenAI 花几百亿才干到的事。闫俊杰 2023 年赌 MoE，原因是手里那点卡根本撑不起亿级用户的推理量。M2.5 连续工作一小时 1 美元，是 GPT-5 的二十分之一。混合注意力架构、线性注意力、CISPO 算法，创新都是被逼出来的。

芯片封锁的本意是拉大差距，但实际效果是把中国 AI 公司逼进了一条低算力、高效率的进化路线。

钱少，卡少，人少，反而逼出了极致的工程能力和架构创新。

这跟华为做芯片的逻辑一样，你封锁我一项能力，我就在其他维度补回来，补的过程中，可能长出你没有的东西。

OpenAI 现在 4000 多人，2025 年烧了 80 亿美元现金，到 2030 年计划砸 6000 亿美元的算力。MiniMax 385 人，累计花了 5 亿美元。

谁赢还不知道。但至少现在，赌 MiniMax 会死的人越来越少了。

2014 年那个在百度实习的河南博士生，大概不会想到，十二年后他站在的这个位置，背后连着的是一整场国运级别的技术竞争。

他选择继续跑下去。

原文作者：Sanqing，Foresight News

3 月 17 日，全球支付巨头万事达卡（Mastercard）宣布收购稳定币基础设施提供商 BVNK。这笔交易的对价最高达 18 亿美元，其中包含 3 亿美元的或有支付条款。万事达卡预计于今年年底前完成该交易，以此扩展其在数字资产和跨货币价值转移领域的端到端支持能力。

图源：Mastercard 推文

弃子的价值，Coinbase 的犹豫与万事达的果断

BVNK 成立于 2021 年，总部位于伦敦。2022 年 5 月，BVNK 完成 4000 万美元 A 轮融资，投后估值达到 3.4 亿美元。两年后的 2024 年 12 月，再次完成 5000 万美元 B 轮融资，估值提升至 7.5 亿美元左右。

BVNK 由三位南非裔创始人领衔，包括 CEO Jesse Hemson-Struthers（连续创业者，此前创立电商和游戏公司分别被 Naspers 和 Sportradar 收购）、CTO Donald Jackson（区块链与企业系统专家）和 CBO Chris Harmse（CFA 持有人，前宏观 / 加密基金合伙人，专注外汇与跨境支付）。

这家初创公司已经悄然织就了一张庞大的加密资产结算网络。

目前，该平台年处理稳定币支付交易量约 250 – 300 亿美元。它为企业提供了一条无缝对接法定货币与稳定币的通道，支持在全球 130 多个国家及地区进行跨主要区块链网络的支付活动。

但在万事达出手之前，BVNK 真正的准买家其实是加密巨头 Coinbase。

2025 年 11 月，Coinbase 与 BVNK 之间高达 20 亿美元的收购谈判曾进入尽职调查的深水区，双方甚至一度签署了排他性协议。

Coinbase 是其 B 轮融资参投方，如果这笔交易达成，它原本会成为加密原生企业向全球支付基建核心区扩张的标志性事件。然而，双方最终在当月宣告交易取消，且未对外披露任何实质性的破裂原因。

Coinbase 退后一步，万事达立刻完成了精准补位。

对于一家年营收仅约 4000 万美元的初创公司而言，18 亿美元的对价在财务模型上显得极为昂贵。但这笔天价资金买的从来不是当下的利润率，而是一张通向下一代结算网络的垄断级船票。

防御性反击，买断「绕过卡组织」的可能性

万事达的举动，其实是一场带有强烈防御色彩的战略反击。

稳定币正在以肉眼可见的速度侵蚀传统跨境结算的市场份额。凭借全天候运转、低廉的摩擦成本和极快的清算速度，基于区块链的数字美元开始在 B2B 支付和跨境汇款场景中展露锋芒。

在全球金融网络中，传统的信用卡组织正是受稳定币颠覆威胁最大的支付渠道。如果跨国企业和商业机构习惯了点对点的链上结算，万事达赖以生存的中心化法币路由网络将面临被彻底边缘化的风险。

打不过，就果断买下它。

万事达首席产品官 Jorn Lambert 对此毫不避讳。他在收购公告中表示，预计大多数金融机构和金融科技公司未来都会提供数字货币服务。

万事达的算盘十分清晰，誓要将 BVNK 现成的稳定币轨道以及合规引擎直接插入其庞大的全球法币网络中。稳定币不仅不再是卡组织的竞争对手，反而被强行收编为了其底层网络的一个高度互补的业务子集。

传统巨头们正在用难以企及的资本壁垒筑起高墙。

跑马圈地，华尔街的支付牌桌没有新玩家

这绝非万事达一家的孤立行动，整个传统金融赛道都在疯狂抢夺链上基建的入口。

在此次收购落地之前，BVNK 的背后就已经集齐了华尔街的豪华资本阵容。2025 年 5 月，万事达的最大宿敌 Visa 通过其风投部门 Visa Ventures 对 BVNK 进行了战略投资。

紧接着的 10 月，花旗集团的风投部门 Citi Ventures 也掏出了真金白银入局，花旗虽拒绝透露具体的投资金额和 BVNK 的估值，但该公司在接受采访时表示，其估值高于 B 轮的 7.5 亿美元。

甚至就在万事达宣布收购的两月前，Visa 还高调宣布将 BVNK 的稳定币结算能力整合进其核心的 Visa Direct 平台，用于支持全球数字钱包的跨境资金下发。

这既是技术的硬性缝合，更是资本的默契合谋。

放眼整个支付行业，硅谷当红炸子鸡 Stripe 此前已斥资 11 亿美元将稳定币初创公司 Bridge 收入囊中。而万事达在敲定 BVNK 之前，也被市场爆出正与另一家加密基础设施初创公司 Zerohash（创立于 2017 年，总部位于芝加哥）进行高达 15 亿至 20 亿美元的收购谈判。

传统支付巨头们正在通过疯狂且密集的并购，将原本去中心化、碎片化的稳定币流动性，重新聚拢在自己极其熟悉的商业框架与监管通道内。

在这个极度吸金的牌桌上，最终坐下的依然是那批手握重金的旧日统治者。

原文作者：BitpushNews

2026 年 3 月 17 日，美国证券交易委员会（SEC）与商品期货交易委员会（CFTC）联合发布了编号为 33-11412的 解释性文件，长达68页的监管框架正式宣告：美国加密监管告别长达十年的“以执法代监管”时代，进入由“Project Crypto”驱动的清晰化、和谐化新纪元。

这份文件不仅是SEC与CFTC罕见的监管协作成果，更是美国加密监管史上最具里程碑意义的指导性文件。以下为精华版全文解读：

一、 背景：从冲突走向协作的“Project Crypto”

2017年，SEC通过《The DAO报告》首次将Howey测试应用于加密资产，此后十年间，监管主要依赖执法行动界定资产属性，市场长期处于不确定性与争议之中。

2025年初，SEC成立“加密任务小组”（Crypto Task Force），随后启动由SEC主席Paul S. Atkins与CFTC主席Michael S. Selig共同领导的 “Project Crypto” 倡议，旨在协调两大监管机构职权，建立统一资产分类法，为加密创新留在美国提供明确路径。2026年1月，该项目正式升级为SEC与CFTC联合行动。

二、 资产分类：加密资产的“五类法”逻辑

文件基于资产特征、用途和功能，将加密资产划分为五大类别，首次为市场提供了清晰的分类标准：

1. 数字商品 (Digital Commodities)
2. 定义：指那些价值源于“功能化”加密系统的程序化运行及供需动态，而非依赖他人管理努力的资产 。
3. 核心名单：文件明确点名 BTC、ETH、SOL、XRP、ADA、DOT、AVAX、LINK 等主流代币为数字商品 。这些资产不由任何单一中心化实体控制，且不具备产生被动收益的内在经济权利 。
4. 数字证券 (Digital Securities)
5. 定义：即“代币化证券”，指以加密资产形式表现的传统证券，或具备证券经济实质（如代表企业所有权、分红权）的数字资产 。
6. 监管：无论是在链上还是链下，只要符合经济实质，即属于 SEC 监管范畴 。
7. 受监管的支付稳定币 (Regulated Payment Stablecoins)
8. 界定：符合 2025 年《GENIUS Act》定义的、由准许机构发行的稳定币 。
9. 定性：这类稳定币被明确排除在“证券”定义之外，主要作为支付工具受特定法律约束 。
10. 数字工具 (Digital Tools)
11. 用途：仅在特定加密系统内具有实用功能（如访问权或服务支付）的代币，通常不被视为证券 。
12. 数字收藏品 (Digital Collectibles)
13. 定义：旨在被收藏和/或使用的资产，代表艺术品、音乐、视频、游戏内物品或互联网迷因等
14. 示例：CryptoPunks、Chromie Squiggles、WIF、VCOIN等
15. 定性：本身不是证券，价值源于供需关系而非他人管理努力。但若被碎片化分割出售，可能构成证券。

三、 创新：证券属性的“剥离”与“动态转换”

这是文件最具突破性的法律创新——SEC首次承认：加密资产的“证券属性”并非永久性的。

“剥离”（Separation）机制

• 原理：项目在融资初期可能因符合Howey测试被视为证券（投资合同）。但当项目完成路线图、实现开源代码自主运行、网络权力去中心化后，该资产可从投资合同中“剥离”出来
• 判断标准：当投资者不再合理依赖发行人的“核心管理努力”获取利润，而是依赖系统本身运行和市场供需时，资产便从“证券”转变为“数字商品”
• 剥离时点：可在资产交付给购买者时立即发生，也可在未来某个日期发生

剥离的三种情形

1. 发行人完成承诺：完成核心管理努力后，即便继续提供非核心维护，资产也不再受投资合同约束
2. 发行人放弃项目：若公开宣布放弃开发且不再履行承诺，资产脱离证券法管辖（但发行人仍可能因欺诈承担法律责任）
3. 二级市场交易：若后续购买者不再合理预期依赖发行人努力获利，交易不构成证券交易

透明化建议

SEC鼓励项目方公开披露路线图进度和里程碑达成情况，以便市场识别“剥离点”。

四、 链上活动的定性：为去中心化“扫雷”

针对长期争议的质押、挖矿、包装、空投等活动，文件给出了极其详细且利好的解释：

协议挖矿（Protocol Mining）

• 定性：PoW挖矿是保障网络安全、验证交易的“行政或事务性”活动
• 结论：无论是 solo 挖矿还是加入矿池，均不涉及证券发行
• 矿池运营：矿池运营方的活动属于行政性事务，不构成核心管理努力

协议质押（Protocol Staking）

• 定性：质押是维护网络运行的行政性活动
• 覆盖范围：包括 solo 质押、委托第三方质押、托管质押、流动性质押
• 托管质押：托管方代用户质押，只要不涉及资产二次出借、杠杆或自由裁量交易，不构成证券活动
• 配套服务： slash 保险、提前解质押、灵活收益发放、资产聚合等辅助服务，均属行政性事务

质押凭证代币（Staking Receipt Tokens）

• 定性：若底层资产是非证券商品且不受投资合同约束，凭证本身不是证券
• 原理：凭证仅作为“收据”存在，不产生收益，收益源于底层质押活动

包装代币（Wrapping）

• 定义：用户将加密资产存入托管方或跨链桥，获得1:1锚定的可赎回包装代币
• 定性：若底层资产是非证券商品且不受投资合同约束，包装代币属于“行政性职能”，旨在增强互操作性，不构成证券交易
• 关键限制：托管方必须锁定资产，不得出借、抵押或再质押

空投（Airdrops）

• 定性突破：只要接收者未提供金钱、商品、服务或其他对价，就不符合Howey测试中的“金钱投资”要素
• 适用场景：
• 向持有特定代币的钱包空投，且空投前未宣布
• 奖励测试网早期用户
• 根据应用使用情况向符合条件用户空投
• 红线：若接收者需提供服务（如社交媒体推广）换取空投，则可能构成证券发行

五、 美国领导地位的巩固

文件在末尾详细分析了其经济意义：

1. 消除“寒蝉效应”：通过提供法律清晰度，减少因合规不透明导致的业务停滞，鼓励加密创新回流美国
2. 降低合规成本：明确的分类和剥离路径大幅降低企业法律咨询和监管应对成本
3. 增强市场透明度：新框架要求在“投资合同”阶段进行更细致披露，更好保护投资者
4. 促进竞争与创新：清晰规则将吸引更多发行人和创业者进入市场
5. 提升定价效率：减少因不确定性导致的价格扭曲

六、监管协作的历史性突破

从结构上看，文件建立了一套清晰的分析路径：先分类资产，再判断交易结构，最后分析投资关系是否持续存在。

更重要的是，这是SEC与CFTC在加密监管问题上少见的协调结果。此前两机构在“证券vs商品”界定上长期存在分歧，而本次联合框架实质上对主要资产类别的归属进行了初步划分，标志着美国加密监管从“机构权责竞争”阶段，正式转向“统一规则为基础的分工体系”。

这份68页的文件，不仅终结了长达十年的监管混沌，更确立了美国在全球加密监管领域的领导地位。对于从业者而言，这是一份必读的“行业宪法”；对于投资者而言，这是一份清晰的“维权指南”；对于创业者而言，这是一份明确的“合规路线图”。

加密资产的“狂野西部”时代，正式落幕了。

原文链接

1、CEX 热门币种

CEX 成交额 Top 10 及 24 小时涨跌幅：

• BTC：- 0.81%
• ETH：- 1.32%
• SOL：- 1.16%
• XRP：- 1.58%
• DOGE：- 2.53%
• BNB：- 1.40%
• LINK：- 1.21%
• TRX：+ 3.79%
• ZEC：- 4.35%
• ADA：- 0.55%

24H 涨幅榜单（数据来源为 OKX）：

• GODS： + 28.50%
• ANIME： + 17.35%
• VELO： + 13.31%
• LIT： + 9.58%
• SWFTC：+ 9.05%
• ENJ： + 8.78%
• XCH： + 7.73%
• HUMA： + 6.32%
• PHA： + 6.23%
• SONIC：+ 5.68%

24 小时币股涨幅榜单（数据来源为 msx.com）：

• Lemonade, Inc. – MSX（LMND.M）：16.25%
• 比特小鹿 – MSX（BTDR.M）：13.41%
• AIxCrypto Holdings, Inc. – MSX（AIXC.M）：12.17%
• VivoPower International PLC – MSX（VVPR.M）：11.23%
• 西部数据 – MSX（WDC.M）：9.66%
• Defi Development Corp. – MSX（DFDV.M）：9.23%
• 比特起源 – MSX（BTOG.M）：8.01%
• Tron Inc. – MSX（TRON.M）：7.56%
• Ondas Holdings Inc. – MSX（ONDS.M）：7.41%
• Ast Spacemobile, Inc. – MSX（ASTS.M）：6.99%

2、链上热门 Meme（数据来源为 GMGN）：

• Solana：UGOR、Punch
• BSC：TITAN、龙虾

头条

Based基金会：拟于3月30日进行TGE

Based 基金会在 X 平台发文宣布，拟于 3 月 30 日进行 BASED 代币 TGE。

SharpLink上周质押奖励为493枚ETH，累计收益已达15,464枚ETH

以太坊财库公司 SharpLink 在 X 平台发文表示，自从启动 ETH 财库策略以来，该公司的以太坊质押累计奖励收益已达 15,464 枚 ETH，价值 3600 万美元。此外，该公司上周 ETH 质押收益为 493 枚 ETH，价值超 110 万美元。

特朗普：伊朗战争一结束，油价就会断崖式下跌

特朗普表示，伊朗战争很快就会结束，而战争一结束，油价就会断崖式下跌，他还称再过不久，船只就能通过霍尔木兹海峡。(金十)

美CFTC：不再要求Phantom注册为自管证券经纪商

据市场消息：美国商品期货交易委员会（CFTC）今日宣布，针对自我托管加密资产钱包软件开发商 Phantom 已发布无执行行动（No-Action）声明，不再要求 Phantom 注册为自管证券经纪商。声明涉及 Phantom 拟向用户提供和推广的软件，该软件旨在帮助用户通过注册期货交易商（FCM）、介绍经纪商（IB）及指定合约市场（DCM）进行交易。在满足特定条件下，美国商品期货交易委员会不会建议对 Phantom 或其相关人员采取执法行动，仅因上述活动而未注册为介绍经纪商或介绍经纪商相关人员。举为自我托管钱包与传统期货市场互动提供了监管明确性，降低了 Phantom 在合规上的不确定性。

行业要闻

Bitrefill披露3月初遭疑似朝鲜黑客攻击导致客户数据泄露

比特币支付服务商 Bitrefill 在 X 平台发文披露于 2026 年 3 月 1 日遭受网络攻击导致客户数据泄露，攻击源自一名员工被入侵的笔记本电脑，并导致部分数据库和加密货币钱包被攻击者访问。调查显示，此次攻击手法与朝鲜 DPRK Lazarus/Bluenoroff 黑客组织过去针对加密企业的攻击高度相似，约 18,500 条购买记录 涉及有限客户信息（邮箱、加密支付地址及 IP 元数据），其中约 1,000 条记录 的客户姓名信息被加密存储，但可能被访问。Bitrefill 表示，客户无需采取特别操作，但建议警惕异常信息。

PayPal将稳定币PayPal USD的钱包持有范围扩展至70个市场

PayPal 宣布将其稳定币 PYUSD 的钱包持有范围新增 68 个国家和地区，使可持有市场总数增至 70 个，较此前仅限美国和英国大幅扩张。新增市场包括乌干达、哥伦比亚、秘鲁等，覆盖南美、非洲和亚洲更多地区。

项目要闻

DAO基础设施提供商Tally宣布停止运营

DAO 基础设施提供商 Tally 宣布停止运营，该平台已运营六年，其首席执行官 Dennison Bertram 表示，此前美国 SEC 主席 Gary Gensler 在拜登政府时期的严格监管环境，曾推动项目通过 DAO 进行去中心化治理以降低法律风险，而当前监管环境趋于宽松，使 DAO 治理不再成为必要选择，从而削弱了对治理工具的需求。

Aster Chain主网上线：为交易者打造机构级隐私与公平DeFi市场

由 YZi Labs 支持的交易生态系统 Aster 今日宣布 Aster Chain 主网正式上线。该链专为交易者打造，旨在解决 DeFi 中“透明度陷阱”问题，为全球专业投资者及散户提供机构级隐私保护和接近中心化交易所的执行效率，其隐私方案直接嵌入执行层，而非可选功能或第三方封装层，核心特点包括：零知识可验证加密 + 隐身地址、选择性披露、以及高性能执行。Aster 通过默认隐私机制彻底消除仓位狙击（Position Hunting）风险，保障交易者免受大额仓位被公开利用导致损失的攻击。

Ripple扩大巴西数字资产业务并拟申请VASP牌照

Ripple 宣布扩大其在巴西的数字资产服务，并计划向巴西中央银行申请虚拟资产服务商（VASP）牌照，以纳入该国加密货币监管框架。

传Tempo将于3月底前上线主网，初期不会发行代币

加密货币播客栏目 The Rollup 于 X 发文表示，消息人士向其透露，Stripe 与 Paradigm 联手开发的新公链 Tempo 预计将在 3 月底前上线主网，企业端和零售端将同步启动。

Polymarket重新上线香港地区天气相关预测事件

Polymarket 重新上线香港地区天气相关预测事件，结算数据源由 Weather Underground 调整为 Hong Kong Observatory。

此前消息，因 Weather Underground 无法提供香港地区天气的历史数据，Polymarket 曾下架香港地区天气相关预测事件。

投融资

AI原生交易平台Derivio完成600万美元融资，YZiLabs等参投

AI 原生交易平台 Derivio 宣布完成 600 万美元融资， YZiLabs、CMT Digital、Big Brain VC、Signum Capital、UOB Venture Management、Everstake Capital、proximity 等参投，新资金将支持其构建 “agentic trading”（代理化交易）基础设施，以实现更自动化的策略执行和交易决策。

Capital B完成300万欧元融资，UTXO Management等参投

欧洲比特币财库公司 Capital B 宣布已通过认股权证方式完成 300 万欧元融资，投资方为资产管理机构 TOBAM 及加密资产管理公司 UTXO Management，所募资金将用于推进其比特币财库战略。

人物*声音

哈塞特：伊朗冲突将在短期内结束，油轮开始通过霍尔木兹海峡

白宫经济顾问哈塞特表示，伊朗冲突将在短期内结束，这事几周内就能结束，不会拖上几个月，油轮开始通过霍尔木兹海峡。(金十)

分析师：美联储议息决议将至，比特币或面临68,000-80,000美元区间波动

Greeks.live 宏观研究员 Adam 在 X 平台发文表示，本周四凌晨两点将会公布本月的美联储议息决议，目前期货市场显示 99%概率维持不变，下月议息会议决议，目前市场认为 97%概率维持不变，美联储在最近两个月对市场的影响可能都相对有限。目前比特币在 74,000 附近震荡，贪婪指数处于中性：

1、鹰派信号： 如果点阵图显示 2026 只有 1 次甚至 0 次降息，市场预期下降，流动性紧缩，BTC 极大概率回测 68,000 美元支撑位。

2、鸽派惊喜： 只要鲍威尔提到“通胀可控”或“关注劳动力市场”，流动性预期改善将直接冲击 800,000 美元关口。

3、X 变量：凯文·沃什 (Kevin Warsh)特朗普提名的准新主席 Warsh 的政策偏好比 Powell 更难捉摸。市场最怕的就是“政策真空期”或“鹰派换班”。在 4 月会议前，机构资金可能会选择避险出货，导致山寨币（Altcoins）出现剧烈波动。

1.4 万亿美元。这是 OpenAI CEO Sam Altman 在 2025 年底向投资者展示的 Stargate 算力版图总价。14 个月后，这个数字被砍到了 6000 亿。

据 The Information 3 月 16 日报道，OpenAI 已对 Stargate 计算基础设施项目进行重大重组，放弃自建数据中心的计划，全面转向从 Microsoft Azure、Oracle、Amazon AWS 等云服务商租用算力。Stargate 被拆分为三个职能团队，由前 Intel 首席技术与 AI 官 Sachin Katti 统一管理。

转向的直接原因并不复杂。Stargate 于 2025 年 1 月在白宫高调发布，宣布与软银、甲骨文合资建设大型数据中心，首批投入 1000 亿美元，四年总投资 5000 亿美元。但项目启动一年多后，没有雇佣一个员工，没有实质性开发一座数据中心。据 CNBC 报道，贷方不愿为一家仍有巨额经营亏损的公司提供数十亿美元的建设融资。OpenAI 本月早些时候还退出了在得克萨斯州阿比林的甲骨文 Stargate 扩建谈判。

一年多，零雇员，零开工。Stargate 的「自建」路径从未真正启动过。

据投资者材料显示的拆解数据，Altman 口径中 1.4 万亿美元的总承诺分布于七家供应商。据创投分析师 Tomasz Tunguz 对投资者材料的分析，Broadcom 占 3500 亿美元，Oracle 3000 亿美元，Microsoft 2500 亿美元，NVIDIA 1000 亿美元，AMD 900 亿美元，AWS 和 CoreWeave 合计 600 亿美元。

2026 年 2 月，据 CNBC 报道，这个数字被重置为约 6000 亿美元（到 2030 年），砍掉了 57%。同一篇报道给出了一个略有不同但方向一致的数字，OpenAI 预计到 2030 年在云服务器上花费 6650 亿美元。

6000 亿美元仍然是一个需要锚定物才能感受的数字。据 OpenAI 内部预测，公司 2030 年营收目标是 2800 亿美元，这意味着五年累计支出营收比约 2:1。而据 ainvest 引用的内部财务数据，这家公司 2026 年的预计亏损是 140 亿美元，据多家媒体报道的毛利率只有 33%（注：毛利率反映产品本身赚钱能力，而净亏损是扣除研发、管理等所有成本后的最终结果，两者可以并存）。

把 OpenAI 的支出目标放进 Big Tech 算力军备竞赛的全景里，比例关系更清晰。

据各公司财报和公开 Guidance，Amazon 2026 年计划资本支出 2000 亿美元，Alphabet 1800 亿美元，Meta 1250 亿美元，Microsoft 约 1200 亿美元。四家公司两年内支出普遍翻了 2-3 倍，合计超过 6500 亿美元，其中约四分之三流向 AI 基础设施。

OpenAI 的 6000 亿美元是五年累计目标，年化约 1200 亿美元，与 Microsoft 单年资本支出相当。区别在于，Microsoft 年营收超过 2400 亿美元，而 OpenAI 的年化营收刚到 250 亿美元，且不预期在 2030 年之前实现现金流转正。

Stargate 的重组不只是预算数字的变化，组织架构的调整暴露了更深层的方向转换。

重组后的 Stargate 分为三条线。Epic 商务合作组由 OpenAI 老员工、前 Deloitte 经理 Peter Hoeschele 负责，管理与 Microsoft、Oracle、Amazon 的云合同以及与芯片厂商的交易，这些交易包括与 AMD 签订的多年合同（使用最多 6 吉瓦芯片，代价为最多 10% 的 AMD 普通股）和与芯片创业公司 Cerebras Systems 的协议。

技术工程与设计组由前 Meta 和 Google 工程师 Chris Malone 与前 Microsoft 工程主管 Adrian Caulfield 联合领导，负责重新设计 OpenAI 使用的 AI 服务器集群。物理设施运营组由前 Google 数据中心总监 Nick Saddock 负责，接替了数周前离职的 Keith Heyde。

前 Google 芯片高管 Richard Ho 领导的半导体团队不在 Katti 管辖范围内，直接向 OpenAI 总裁 Greg Brockman 汇报。这个团队正与 Broadcom 合作开发自研芯片，OpenAI 希望这些芯片最终能降低运行 ChatGPT 等产品的推理成本。

「Stargate」这个名字还在，但它指代的东西已经完全变了。2025 年 1 月，它是一个与软银和甲骨文合建数据中心的合资项目。2026 年 3 月，它是 OpenAI 将吉瓦级服务器容量上线的广义战略。从「我要建自己的电厂」变成了「我要签最好的租约」。全部站点的规划总容量仍为近 7 吉瓦，三年投资总额仍超过 4000 亿美元。OpenAI 正将算力方向转向 NVIDIA 的 Vera Rubin 平台，目标是 2026 年下半年实现首个吉瓦级容量上线。