把钱包交给AI之前：隐私、授权与责任边界怎么划？

当AI越来越了解你的身份、偏好与资产，它可以替你选商品、下单甚至付款。但便利背后也出现了更棘手的问题：数据会不会泄露？每一笔支付是否获得授权？如果智能体犯错，责任应该由谁承担？

9月23日，在2026上海区块链国际周暨第十二届区块链全球峰会上，一场题为《为AI划界：隐私计算与区块链》的圆桌讨论围绕这些问题展开。Arkreen创始人Leo Lin担任主持人，与Primus联合创始人Xavier Xia、KUN Global首席安全官MOMO、赛昉科技边缘计算事业部研发总监朱潇潇展开对话。

三位嘉宾分别从密码学、支付安全和RISC-V硬件出发，讨论了全同态加密、零知识证明、zkTLS、安全启动、有限授权、Agent信用与责任追溯等关键问题。一个共同判断是：AI不可能绝不犯错，真正可行的路径，是让它只能在明确边界内行动，并让整个过程可验证、可追溯、可止损。

以下为对话实录整理。

AI知道得越多，边界越难划

Leo Lin：我们先从一个具体场景聊起。假如你有一个AI助手，它了解你的喜好和预算，可以帮你买东西、替你付款，确实很方便。但它掌握的隐私会不会泄露？花钱时有没有得到授权？出了问题谁来负责？平台承诺“不使用你的数据”是否足够，还是应该从技术上保证数据始终由用户控制？

MOMO：平台承诺只是承诺，真正的隐私保护应该由技术来完成。AI智能体可以参与支付，但必须受到限制。小额支付、白名单支付可以自动执行；大额支付或首次支付，应该要求用户二次确认和验证。不能因为AI更方便，就把所有权限一次性交出去。

朱潇潇：数据首先应该尽量留在本地。确实需要传到云端或其他平台的数据，也应该先脱敏和过滤。安全不是上层应用把数据加密一下就结束了，而是要从CPU和芯片底层开始，包括安全启动、硬件加密单元、隔离机制以及对特定密码算法的加速，形成贯穿软硬件的完整链路。

借用外部算力，但不交出数据

Leo Lin：如果本地设备算力不足，需要借助第三方计算资源，隐私技术能否让用户使用外部算力，却不交出原始数据，也不暴露接下来准备买什么、以什么价格下单？

Xavier Xia：这正是全同态加密可以发挥作用的场景。通常数据加密后，第三方无法理解语义，也就无法继续处理；全同态加密允许计算节点直接对密文执行计算。用户可以先加密支付偏好、财务信息或其他敏感数据，再把密文交给第三方节点完成验证和结算，最后只把加密结果返回给用户。

第三方能够提供算力，却看不到原始数据。当然，引入新密码技术后，协议设计、性能和成本都会发生变化，工程上仍要做取舍。

MOMO：从安全实践看，可以把它理解为用户提交一个计算任务。数据先在本地预处理，再把必要的信息交给外部环境。重点不是“完全不用外部算力”，而是让原始数据尽可能不离开用户控制范围。

不公开秘密，如何证明AI没有作弊

Leo Lin：如果用户不公开数据、模型细节和交易策略，交易对手凭什么相信AI使用了获授权的模型，按约定流程执行，而且中途没有被篡改？

Xavier Xia：本质上，这是如何验证AI智能体行为的问题。零知识证明可以让一方向外界证明自己拥有某些秘密，或满足某个条件，同时不披露秘密本身。放到AI场景里，可以证明智能体执行过程符合规则。

但把整个模型推理过程都做成零知识证明，技术和计算成本比较重。另一条更轻量的路径是zkTLS。AI智能体往往要调用模型、数据源和业务API，外部很难判断它调用的是指定的大模型、可靠数据源，还是未经验证的第三方接口。zkTLS可以验证数据来自哪个服务、API调用是否符合约定，同时不必暴露完整返回内容。

朱潇潇：硬件也能提供可信基础。一台设备从上电到进入操作系统，要经过多个启动阶段。每一步都可以校验签名和密钥，确认固件、操作系统和上层组件没有被替换。模型版本、密码算法和协议也可以预先约定，形成从芯片到应用的信任链。

MOMO：安全攻防本身就是不断验证的过程。过去做自动化渗透，会记录使用了什么漏洞、经过哪些攻击步骤、最后得到什么结论。AI时代也一样，不能只看一个最终答案，还要能够复盘它调用了什么模型、执行了哪些步骤，以及依据什么得出结论。

钱包不能把总钥匙交给AI

Leo Lin：AI智能体如果可以替用户付款，是不是应该把钱包完整私钥交给它？还是只给一组有限、可随时撤回的权限，例如限定金额、资产、收款方和授权时间？

MOMO：不应该把完整私钥交给AI。更合理的方式，是在限定时间内授权它向指定对象支付一定金额。比如自动支付水电费，可以设置时间窗口和金额浮动范围。智能体只拥有完成这项任务所需的权限，而不是控制整个钱包。

支付证明也可以与链上机制结合，用来确认授权和交易是否匹配。核心原则是最小权限，既满足业务需要，也限制潜在损失。

Xavier Xia：我同意有限授权。白名单地址、金额上限、有效时间和可调用合约，都可以通过智能合约约束。隐私计算解决“不该看见的信息不能看见”，区块链则适合执行“不能越过的规则”。两类技术结合，才能让AI在处理资金和敏感信息时既可用又受控。

朱潇潇：私钥还涉及存储位置。它可以保存在主芯片的安全区域，也可以使用独立安全芯片。硬件隔离、安全存储和可信启动需要为上层的限额、限时和授权策略提供底层保障。

Agent之间如何建立信任

Leo Lin：未来可能是我的Agent直接和另一个人的Agent谈判、交易。双方第一次见面，既不认识对方，也不了解背后的控制人。它们应该看身份、历史行为、资金担保，还是可验证的执行证明？

MOMO：单看某一项不够。身份、设备、历史交易和行为模式都要纳入验证，还需要多方共同确认。安全判断很少依赖一个信号，而是把多个维度汇总后形成风险结论。

Xavier Xia：Agent也需要逐步积累身份和信誉。链上可以记录它过去完成过什么任务、是否按约执行，也可以引入保证金等机制。小额、低风险业务可以更宽松；大额支付或涉及敏感身份的业务，仍应遵守传统金融中的严格规则。

公开上链的信息应遵循最少披露原则。凡是可能伤害用户或暴露业务策略的上下文，都不应该直接公开。即便内容已经加密，交易时间、调用频率和交互路径等旁路信息也可能暴露机构正在做什么，因此不是“加密后全部上链”就万事大吉。

朱潇潇：Agent的信任机制可以类比人的信用评分。对方可以参考其历史行为和评级，大额交易再增加人工确认或额外担保。Agent是数字化主体，如果关键记录可验证，未来有机会形成链上信用。

AI犯错后，责任如何划分

Leo Lin：如果交易真的造成损失，责任在用户、Agent开发者、模型提供方，还是算力、协议和钱包服务商？又该怎样在保护隐私的同时把责任查清楚？

MOMO：AI一定会犯错，不能假设它永远正确。责任需要按环节划分：用户应为错误授权承担相应责任；模型提供方和开发者也要为模型与代码问题负责。更重要的是，在系统设计阶段坚持最小权限，并保证过程可验证、结果可追溯、事件可复盘，把错误造成的影响限制在可承受范围内。

朱潇潇：从设备角度，可以通过可信启动、设备身份和安全日志判断哪台设备、哪个阶段出现异常。硬件安全单元需要保证记录的唯一性和准确性，为后续责任认定提供可信依据。

Xavier Xia：软件和硬件都可以生成可验证的证明，也就是Attestation。证明可以放到链上，让任何人核验，但它本身不应泄露隐私信息。零知识证明可以与硬件证明结合，先从较粗粒度的关键步骤验证做起，再逐步扩展到更复杂的执行过程。

允许犯错，但不能越界

Leo Lin：最后一个问题。在保护用户隐私的前提下，我们最终需要的是一个绝不犯错的AI，还是一个即使会犯错，但只能在授权范围内行动、过程可以验证、出了问题可以追查、损失可以控制的AI？

朱潇潇：肯定是后者。工程上不可能保证AI完全不犯错。能够做的是从硬件到应用逐层校验，保证系统尽量安全可靠；面对高风险操作或信用不足的主体，仍然需要人工干预。

MOMO：我总结为四点：数据可控、授权最小化、过程可验证、结果可追溯。AI会犯错，但只要错误能够被发现、被补救，风险就有机会控制住。

Xavier Xia：AI本质上是概率系统，即使使用最新模型，也无法保证每一次输出都正确。关键不是幻想一个永不犯错的AI，而是确保它即使犯错，也不会触及用户最根本的利益。区块链和密码学的价值，正是在AI高度繁荣的时代，为个人隐私、资产和权利保留清晰边界。

Leo Lin：今天我们从“AI替人付款”这个具体场景出发，讨论了AI可以知道什么、能够做什么，以及犯错后怎么办。隐私计算可以保护用户信息，区块链可以核验授权、执行规则并保留证据。最终的问题是：我们愿意把什么交给AI，又该怎样守住边界。

本文为现场圆桌实录整理，仅作交流学习用途；个别产品与技术表述以实际情况为准。