今年，加密圈幾個最大的平台都推出了能替使用者動手的 AI Agent。OKX 在 6 月開放了 Agent 市集，幣安 8 月推出 Agent OS、10 月 19 日推出 Binance AI Pro，Minara 9 月把產品搬上了 Agent Harness。每一則公告都在講 AI Agent 能做什麼，卻沒有一則先回答使用者真正該問的問題：這個 AI 在不問你的情況下，被允許做什麼？
這個問題其實可以量化，我們先拿自己開刀。Antalpha 的 MCP 伺服器對任何接上來的 AI Agent 開放 120 個工具，其中 17 個能寫入，另外 103 個只能讀取。下面會說明我們怎麼算、四個平台的做法差在哪，以及一套五級量表，幫你分辨哪些是真正的護欄、哪些只是提示詞裡的一句話。
我們自己的工具清單
Antalpha 的 MCP 端點 mcp-skills.ai.antalpha.com/mcp 支援標準的 MCP tools/list 呼叫，所以這份清單不需要你相信我們的說法。在終端機執行 npx mcporter list https://mcp-skills.ai.antalpha.com/mcp，就會回傳和我們 2026 年 10 月 21 日所數一模一樣的結果。
每個工具的描述裡都帶有能力標籤。12 個標記為 [Write]，5 個標記為 [Read+Write]，合計 120 個裡有 17 個能改變狀態。這 17 個當中有 16 個屬於「交易」類，第 17 個是資安工具 wallet-revoke-page。
![橫條圖：Antalpha MCP 工具依類別分布。研究類 30 個、市場資料 26 個、交易類 16 個且全部可寫入、帳戶類 12 個、安全類 8 個其中 1 個可寫入。]
標籤不只分讀寫。每個工具還帶一個推理等級，分布非常不平均：65 個為低、12 個為中、15 個為高，只有兩個被列為「極高」。這兩個是 wallet-guard-token-deep-scan，以及 transfer-request，也就是把代幣從使用者地址轉給別人的那個工具。
一個誠實的 AI Agent 工具面，大概就該長這樣：AI 拿到的絕大部分能力是查資料，真正能動手的部分集中在一份很短、可以逐條列出的清單裡，審查的人一分鐘就能看完。
護欄分五級
讀完自家的工具定義，得到的東西比一個數字更有用。這 17 個能寫入的工具，約束模型的方式並不相同，而差異剛好排成一道階梯。前三級，在我們自己的工具裡都看得到。
| 等級 | 擋下錯誤動作的是什麼 | 被搞混或被操弄的模型能不能繞過？ |
|---|---|---|
| 架構級 | 模型在結構上根本無法提供危險的值 | 不能 |
| 密碼學級 | 動作需要一個模型產生不了的簽名 | 不能，但使用者可能被騙去簽 |
| 流程級 | 由系統強制執行的獨立確認步驟 | 只有使用者兩次都核准才行 |
| 指令級 | 工具描述要求模型先跟使用者確認 | 能 |
| 無 | 工具一被呼叫就執行 | 能 |
架構級值得多說兩句，因為它很少見，也是唯一一級不靠任何人表現良好。我們的 wallet-revoke-page 會產生一個取消 ERC-20 授權的頁面，它的描述把限制寫得很直接：
Addresses are ALWAYS taken from the live on-chain scan, never from model input. The optional
approvalslist is only a display-label / filter hint: entries that do not exactly match an on-chain approval are ignored.
意思是：地址一律取自即時的鏈上掃描，絕不採用模型的輸入；模型提供的清單只當顯示標籤用，對不上鏈上授權的項目一律忽略。
模型不是「不被信任去指定合約」，而是根本沒辦法指定。地址來自鏈上，模型編出來的任何東西在頁面產生之前就被丟掉了。幻覺出來的地址和被提示詞注入塞進來的地址，會以同樣的方式、因為同樣的原因失敗，而且不需要任何人察覺到攻擊發生。
拿它和密碼學級比較，多數鏈上工具落在這一級。poly-buy 回傳一個簽名網址，描述裡寫明私鑰不會離開錢包。AI Agent 組好意圖，由使用者簽名。這已經很強，但和架構級不同：一個不看就簽的使用者，等於把這層保護交了回去。
transfer-request 在上面再加了一層流程級。它是兩段式工具：第一次呼叫產生風險預覽，第二次才產生簽名網址，描述裡寫明「兩個步驟都需要使用者明確核准」。它也是那兩個「極高」推理等級的工具之一。整份清單裡風險最高的動作，正是被刻意加上最多摩擦的那一個，兩者的關係本來就該如此。
其他三家推出了什麼
以下內容全部出自各家自己的公開資料。
| 平台 | 推出時間 | 約束機制 | 等級 |
|---|---|---|---|
| Binance AI Pro | 2026-10-19 | 隔離的 AI 策略子帳戶，只能手動轉入，AI Agent 無法提領到外部地址；先模擬交易；正式上線前需經獨立的審查與核准步驟 | 架構級，作用在帳戶層 |
| OKX AI | 2026-06-30 | Agent 市集與任務市集，Agent 之間互相雇用、以穩定幣結算，爭議由質押評審網路處理 | 事後處理 |
| Minara Harness | 2026-09-08 | Minara 自述為把研究與執行放進同一個 Agent 工作區，「附帶確認要求與操作限制」 | 依其自述為流程級 |
幣安的做法和我們形成最有意思的對照，因為它從相反的方向回答了同一個問題。幣安把這個原則稱為「有界自主」，它畫的界線圍著帳戶，而不是圍著每一個動作。AI Agent 在一個只有使用者能轉入、而且沒有任何路徑通往外部地址的子帳戶裡運作。牆內它有相當大的自由，牆外它在結構上什麼都做不了。
那是一道架構級護欄，而且是好的那種。它的失效方式也和我們不同。逐筆簽名保護每一筆交易，代價是要使用者讀每一則提示；帳戶邊界不要求使用者逐筆處理任何事，但損失上限就是帳戶裡的金額。兩者沒有誰絕對勝出，只是失效的方式不一樣，而使用者應該知道自己選的是哪一種失效。
幣安也清楚寫出自家檢查不涵蓋什麼，這點值得複述，因為很少有上線公告願意寫：平台的程式碼檢查只確認策略能無錯誤執行，並不評估它會不會賺錢。
OKX 做的是完全不同的事。它的市集讓 Agent 雇用其他 Agent 並在彼此之間結算，控制機制是一套在爭議發生之後才處理的質押評審網路。對一個商務網路來說，這是合理的設計；對資產保管來說則很弱，因為仲裁發生在錢已經動完之後。它適合回答「這個 Agent 有沒有交付它承諾的服務」，不適合回答「這筆轉帳到底該不該發生」。
Minara 的 Harness 頁面提到確認要求與操作限制，但沒有公布細節，所以我們依其自述把它放在流程級，無法從公開資料進一步驗證。
每一種設計，其實在回答不同的問題
把四者並排，會發現它們並不在同一條軸上競爭。
帳戶邊界回答的是：最多會損失多少。簽名閘回答的是：是誰做的決定。評審網路回答的是：出事之後誰來賠。工具描述裡的一句指令回答的是：模型被要求做什麼，而那和模型實際會做什麼，不是同一件事。
一個認真的 AI Agent 平台，大概需要不只一種。只有第四種的那些，值得多看兩眼。
接上 AI Agent 之前該問的四件事
這四個問題，上面點名的每個平台都有公開答案。
有多少工具能寫入？你看得到那份清單嗎？
一份能逐條列出的清單，和一段用行銷文案描述的能力範圍，是兩種不同等級的風險。如果平台支援 MCP，一次 tools/list 呼叫就能回答，不需要信任任何人。
一條錯誤指令的硬上限是多少？
Binance AI Pro 的答案是那個隔離帳戶裡的餘額；逐筆簽名模式的答案是一筆交易。如果得到的是一段關於「謹慎設計」的說明，而不是一個數字或一道邊界，那就代表沒有上限。
保護最危險動作的是哪一級？和保護最安全動作的是同一級嗎？
值得看的不是平均值，而是碰得到錢的那條最弱路徑。
模型本身能提供哪些值？
一個能指定收款地址的模型，就是一個可以被誘導指定錯誤地址的模型。要問清楚：那些危險欄位是來自模型，還是來自鏈上。
Nina 站在哪裡
Nina 是 Antalpha（NASDAQ: ANTA）的 Web3 原生 AI Agent，上面描述的 MCP 工具面，就是 Nina 本身在用、也是外部 AI Agent 可以接入的那一套。Antalpha 的技術文件把架構描述為五步流程，第四步是簽名閘：資產的控制權停在交易草稿階段，留在使用者自己的錢包裡。
有一件事我們不會這樣宣稱：Nina 並沒有因為採用簽名就比 Binance AI Pro 更安全。兩者的設限方式不同，而逐筆簽名把更多工作放在使用者身上。
如果你想自己查證，而不是相信我們，工具清單就在一個公開端點上。把任何 MCP 用戶端指向 mcp-skills.ai.antalpha.com/mcp，列出工具，自己讀能力標籤。如果你數出來的結果和我們發布的不同，以端點為準，我們會更正文章。
常見問題
Antalpha 的 MCP 工具有幾個能寫入？
120 個工具中有 17 個能寫入，包括 12 個標記為 [Write] 與 5 個標記為 [Read+Write]，依 2026 年 10 月 21 日即時 tools/list 端點計算。17 個當中有 16 個屬於交易類。
什麼是「有界自主」？
有界自主是幣安為 Binance AI Pro 提出的原則：AI Agent 負責分析與建議，具實質後果的動作必須經過人工明確核准，且上線中的策略被限制在一個 AI Agent 無法提領的隔離帳戶裡。
帳戶邊界和簽名閘有什麼不同？
帳戶邊界把最大損失鎖在 AI Agent 能動用的餘額內，不要求使用者逐筆處理；簽名閘要求每一筆交易都經人工核准，在使用者確實閱讀提示的前提下，把損失上限鎖在單筆交易。
AI Agent 能自己動用非託管錢包裡的資金嗎？
在每筆交易都需要錢包簽名的設計下不能。AI Agent 可以組好並提出交易，但只有在使用者從自己的錢包簽名之後，轉帳才會發生。
AI Agent 最弱的護欄是哪一種？
在工具描述裡要求模型先跟使用者確認的那一句指令。它完全取決於模型是否遵守自己的上下文，對被搞混或被操弄的模型沒有任何保護作用。
怎麼查一台 MCP 伺服器開放了哪些工具？
用任何 MCP 用戶端呼叫該伺服器的 tools/list 端點，例如 npx mcporter list <伺服器網址>，就會回傳完整的工具清單，以及每個工具的描述與能力標籤。
Nina 是 Antalpha（NASDAQ: ANTA）的 Web3 原生 AI Agent，涵蓋加密貨幣、預測市場與美股：結論前置的分析，附具名來源與時效標記，以及全天候盯盤的哨兵模式。非託管，不持有資金、不代為交易、不抽取本金或利潤；執行路徑上收取一筆透明的路由費。本文僅供資訊參考，不構成投資建議，亦非價格預測。官方管道：antalpha.com、App Store 與 Google Play 上的「Antalpha AI」、x.com/antalpha_ai。
