AI代理錢包安全升級 Virtuals Protocol防堵提示注入攻擊

Virtuals Protocol（VIRTUAL）正針對鎖定AI代理錢包的「提示注入」（prompt injection）威脅，強化錢包層級的安全防護。在AI讀取外部輸入並自動執行交易的環境中，除了模型本身的安全性之外，如何控制實際資金執行的結構已成為核心焦點。

根据CryptoBriefing的報導，Virtuals Protocol在Base（BASE）上營運可程式化代理錢包，並公開了Solana（SOL）擴展相關文件，同時導入旨在降低提示注入風險的安全政策。「提示注入」是指攻擊者在外部文件或訊息中埋藏隱藏指令，藉此干擾AI模型的判斷，誘導使用者做出非預期行為的攻擊手法。

Virtuals Protocol因應方案的核心是錢包本身。官方安全頁面公開了針對代理錢包的「錢包政策」（Wallet Policy）與代理錢包「多重驗證」（MFA）功能。錢包政策以白名單方式，限制各代理錢包簽署者可互動的合約與錢包範圍。

多重驗證則用來阻擋新增簽署者、變更錢包政策、匯出私鑰、於後台手動提款等敏感操作。即便外部輸入干擾了模型的判斷，錢包權限與提款流程仍會在另一個獨立環節受到限制，這是整體設計的核心邏輯。

Virtuals Protocol的ACP CLI文件也展現相同方向。文件列出ACP_ONLY、DENY_ALL、No Policy等政策預設，並說明政策會綁定在簽署者身上，由伺服器端於每筆交易執行時套用。也就是說，即使代理讀取並判斷外部輸入，實際的資金移動仍會在另一層政策中再受一次限制。

這個問題並非單一海外專案的個別安全議題。隨著AI代理持有錢包、自行完成支付、交易與資料採購的架構日益普及，模型錯誤或惡意輸入都可能立即轉化為鏈上資金移動的風險。本刊此前也曾報導過Gemini AI代理曝出權限提升攻擊路徑的案例。

Base官方部落格指出，2024年10月至2025年2月期間，透過Virtuals Protocol在Base上推出的代理已接近1萬6000個。文中並提到，以2026年5月29日為基準，過去30天內x402上共發生310萬筆交易，價值移轉規模達120萬美元。代理經濟與支付基礎設施結合的速度正在加快。

「x402」是在網路環境中，連結支付請求與結算流程時常被提及的一套支付標準。AI代理若要自動處理API使用費、資料存取權限與數位服務費用，錢包與支付權限必須同步運作。此時只要一次錯誤指令，就可能直接觸發實際付款或代幣轉移，因此支出上限與核准流程格外重要。

資安業界也將提示注入視為獨立的風險類別。OpenAI在3月11日發布的文章中指出，提示注入已不只是單純的輸入過濾問題，而是愈來愈接近社交工程攻擊。其核心主張是，與其追求完全攔截攻擊，不如將系統設計成即使攻擊成功也能限制損害範圍。

Google威脅情資（Threat Intelligence）團隊也在4月23日公開的網頁文章中表示，已針對公開網路上的間接提示注入模式進行監測。Google指出，觀察到的惡意嘗試包括資料外洩與破壞性指令等形式，但這類攻擊是否已進入大規模高度化階段，仍需持續觀察。

實際的金錢損失案例也已出現。Giskard在2026年5月7日整理了一起事件：一名X（前身為Twitter）用戶以摩斯密碼訊息，成功誘騙Grok與Bankr錢包系統，將價值15萬美元的DRB代幣轉走。Giskard將此事件定調為「編碼型提示注入」與「過度代理權限」結合所致。

Virtuals Protocol的復原文件，也針對「已遭入侵」的情境另外訂有處理流程。文件說明，若代理擁有者的EOA錢包遭到入侵、且代理錢包內仍有資金，應立即將資金轉移至未受入侵的錢包，再透過官方Discord支援頻道申請代理轉移。文件並註明，這項轉移程序通常至少需要2週時間。

這個問題同樣可能延燒到本地的交易所、錢包、託管與開發基礎設施業者。隨著AI代理與開發工具愈來愈深入串接內部文件、程式碼庫、客服系統與支付帳戶，權限管理與提示注入防禦勢必成為營運標準的一環。加密貨幣企業AI安全維運標準的討論，也與這股趨勢環環相扣。

因此，這次事件的關鍵並不在於Virtuals Protocol單一功能的推出，而在於AI代理錢包整體的設計原則。若要讓代理像真正的經濟主體一樣運作，錢包、白名單、支出上限、核准流程與稽核紀錄就必須同步到位。Virtuals Protocol透過錢包政策、多重驗證與伺服器端政策執行，提出了一套限制此類風險的架構。