如何审计AI代理钱包的自动付款
审计AI代理钱包的自动付款，核心是检查三件事——代理有没有权限签这笔交易、这笔交易是否符合预设的支出政策、以及每次决策是否留下可验证的审计痕迹。慢雾等安全团队近期已针对Web3 MCP钱包场景推出专项审计服务，重点关注密钥生命周期安全和MCP与LLM交互安全。
1. 准备工作：确定你的代理钱包模式
不同模式审计的重点完全不同。
步骤1：确认钱包的密钥管理方式
做什么：搞清楚私钥在哪、谁有权签名。
怎么做：
情况A（非托管政策层）：代理本身不持有私钥，通过中间层（如Policy SDK）控制签名权限。这种模式私钥始终留在你的基础设施内，审计重点在政策执行层。
情况B（MCP钱包模式）：钱包通过MCP协议与AI交互，密钥可能在钱包端或通过provision_wallet等工具配置。这类应用需额外审计MCP、LLM、Client、Host之间的交互安全。
做到什么程度算完成：你明确知道你的私钥存在哪里、代理通过什么方式调用签名权。
2. 审计政策规则
支出政策是控制代理"花多少钱、花给谁"的核心。
步骤2：审计单笔和周期性限额（Cap）
做什么：检查代理是否有硬性的支出上限。
怎么做：
确认系统是否实现了"双闸门"机制：第一道闸验证交易意图并预留额度，第二道闸验证授权是否已被消耗。这种设计可防止竞争条件导致超限。
检查是否区分了单笔限额、每日/每小时总额上限。
做到什么程度算完成：能列出每个代理的限额数值，并确认超限交易会被直接拒绝。
步骤3：审计接收方控制（Allowlist/Blocklist）
做什么：检查代理是否只能向预先批准的钱包或合约转账。
怎么做：确认政策层有维护一份白名单（Allowlist），非名单内的地址交互会被拦截。查看是否有黑名单机制屏蔽已知风险地址。
做到什么程度算完成：尝试模拟向非白名单地址发起一笔转账，确认被政策引擎拦截。
步骤4：审计人工干预机制（Human-in-the-Loop）
做什么：确认高风险操作（如大额转账、敏感合约调用）是否有"人必须在场"的环节。
怎么做：Agent Wallet安全规则明确指出：写操作（Transfer、Swap执行、签名）在执行前必须明确确认，且大额转账需硬件设备确认。确认你的系统是否配置了step_up阈值，超出后要求人工审批。
做到什么程度算完成：发起一笔超过阈值的交易，系统返回"需要人工审批"而非直接执行。
前置条件：你需要有查看代理配置后台或政策文件的权限。如果是审计第三方MCP应用，建议采用白盒审计以保证审计覆盖率。
3. 审计签名流程
代理不能直接拿私钥签名，必须在政策检查通过后才能触发签名。
步骤5：确认签名隔离
做什么：检查签名动作是否发生在隔离环境中，代理无法直接读取私钥或助记词。
怎么做：查看代码或配置中，代理是否通过governed_spend等接口提交交易意图，由签名服务或硬件完成最终签名。代理绝对不能输出私钥、助记词或解密后的凭证。
做到什么程度算完成：确认私钥不在代理进程的内存或日志中以明文形式出现。
步骤6：审查单次授权令牌（Single-Use Token）
做什么：检查每一次支付授权是否只能使用一次。
怎么做：确认系统是否使用带有过期时间（如60秒TTL）的JWT令牌，且令牌在第一次验证后被消耗，无法重复使用。这可以防止重放攻击。
做到什么程度算完成：确认授权令牌是一次性的、有时效的，且有防篡改机制（如SHA-256哈希指纹）。
4. 审计日志与审计追踪
审计不是看完就完了，必须留下可查的记录。
步骤7：检查审计日志是否完整且防篡改
做什么：确认系统记录了所有决策——批准的和被拒绝的——并形成不可篡改的链条。
怎么做：查看审计日志是否包含以下字段：时间戳、代理身份、操作类型、金额、接收方、决策结果（Allow/Deny）、拒绝原因（如超限）。部分方案已支持使用SHA-256哈希链将审计条目串联，任何修改都会被检测到。
做到什么程度算完成：拉出一条审计记录，能回答"谁在什么时候申请了什么交易、结果如何"。
常见失败原因：只记录了交易成功后的链上哈希，忽略了被拒绝的请求。被拒绝的请求日志才是证明"系统在按规则工作"的关键证据。
风险提醒：即使政策层设置完善，代理仍面临提示注入导致签名恶意合约的风险。OWASP明确将"Tool Abuse"和"High-Impact Action Abuse"列为AI代理的顶级风险。审计时需额外关注代理接收外部输入后调用的交易参数是否被篡改。
做完以上审计，怎么确认自己的操作有效？
创建一份审计报告，列出所有政策配置、签名流程、日志样本。然后运行一次完整的模拟攻击测试：让代理尝试发起一笔超过限额的交易、向非白名单地址转账、在未获人工审批的情况下发起大额转账——这三项都应被拦截并记录在案。如果全部通过，说明当前配置有效。下一步：将审计纳入代理的持续监控流程，定期复查政策配置未被意外修改。
