鹿鹿撸毛日记

最近在认真研究链上AI agent的安全问题，兜兜转转绕回来看到了 @NewtonProtocol ，才意识到这个项目真正难以替代的部分，可能不是vault compliance，而是它对agent授权边界的处理方式。
大概是从今年上半年开始，越来越多协议在生产环境里跑AI agent，不是测试，是真的在管资金、执行策略、跨协议操作。这里有个问题我一直想不明白：这些agent的权限到底被什么控制着？大部分情况下答案是私钥。agent拿着用户给的私钥，理论上可以签任何交易，唯一的限制是代码逻辑。代码写了什么它就能做什么，代码没防住的，它就可能做出去。
这个问题今年在prompt injection攻击里体现得最清楚。攻击者不需要破解私钥，只需要在agent处理的数据里塞进恶意指令，agent就可能被诱导执行任意操作，包括把资金转到攻击者控制的地址。OWASP在2026年的LLM安全报告里把prompt injection列为第一威胁，攻击量同比暴涨340%。更麻烦的是这类攻击没有固定特征，很难在模型层做完整的防御，语言模型本身对指令和数据的边界感知就很脆弱，不是靠过滤能根治的。
我重新翻了 @NewtonProtocol 官网的agent use case，它列出来的四项是：Spending Caps、Approved Payees、Mandate Enforcement、Prompt-Injection Defense。这四个词放在一起的时候，我停了很久。因为它们解决的不是”agent能不能访问链上资产”这个问题，而是”agent在被操控或者被利用的时候，能不能在密码学层面被拦住”。
这两件事差得很远。前者靠权限管理，后者靠执行前的强制性验证。Newton的逻辑是：不管agent的指令从哪里来，不管它的推理过程是否已经被污染，当这个指令到达执行层的时候，Newton的policy会在交易打出去之前检查它是否符合用户预先设定的规则。超出spending cap的不执行，目标地址不在approved payees列表里的不执行，与mandate不符的不执行。这些规则存在链上，由EigenLayer AVS网络里的独立操作者节点评估，每次出一个零知识证明加BLS聚合签名，结果不可篡改，链上留Authorization Receipt可查。就算agent的推理层已经被prompt injection攻破，执行层还有一道独立于模型之外的密码学防线挡着。litepaper里的原话是：spending limits enforced at the cryptographic level，destination addresses whitelisted or blacklisted。这个承诺的落点是密码学，不是代码逻辑，这才是关键区别。
这不是说Newton解决了prompt injection本身，那不现实。Newton解决的是：就算模型层被攻破，链上的资金还能有独立的硬性约束，不能被任意调走。这个切分在软件安全里有经典对应：不要只靠上游过滤，每一层都要有自己的防御。agent security的大多数讨论给的方案是输入过滤、输出验证、人工审批，这些都是软性的，依赖检测准确率，而检测本质上是在和攻击者的创造力赛跑。Newton的方向不同，它不管agent中间经历了什么，只在资金真正移动的那一刻做硬性核查。
一个我没想清楚的问题：policy要用户或协议预先定义，对高度自主的agent来说，规则颗粒度怎么设合适？太细会锁死执行灵活性，太粗等于没有边界。这不是技术问题，是产品设计问题，目前我没看到Newton给出清晰答案，可能也是Mainnet Beta阶段需要跑出来的东西。
$NEWT 的角色：gas支付、agent授权、操作者质押（misbehavior被slash）、治理投票，全走NEWT，类EIP-1559费用机制。总量10亿，当前流通约2.2亿，后续释放压力客观存在。代币能不能撑住，看接入agent数量和receipt产生频率比看价格图有意义。
链上agent规模现在还小，但趋势每个季度都在涨。Newton如果能在这个窗口期把authorization layer的位置占稳，后面进场的东西会很难绕开它。但这还是个如果，验证期才刚开始。
#Newt $NEWT @NewtonProtocol

昨晚十点，@NewtonProtocol 的 Mainnet Beta 正式启动。我本来只想注册个节点扫一眼界面，结果文档点开之后就再也没能关上。中间有三次我说服自己该睡了，结果每次关掉网页不到十分钟又重新打开，总觉得有东西没看透。窗外从黑到灰再到白，直到今天下午我才站起来冲了第二杯咖啡，手有点抖，桌上摊着五张A4纸，画得乱七八糟，有一张还被我翻来覆去折出了毛边。
说实话，我对这种“研究上头”的状态既熟悉又陌生。熟悉是因为以前看白皮书也经常熬夜，陌生是因为这次卡住我的不是某个技术细节没看懂，而是看懂了之后的那种不适感，它逼我重新去想一个很基础的问题：链上交易到底缺了什么。
我不得不承认，在真正钻进架构之前，我对 Newton 的理解是偏的。我以为它要么是又一个 AI 代理平台，要么是给链上交易提速的基础设施。甚至一开始我还跟朋友吐槽过，说现在什么项目都要挂个 AI 的名头。但当我把 Policy Engine 的代码逻辑和验证者网络的交互流程一笔一笔拆开，才突然意识到一个被整个行业忽略了太久的事实：链上交易从来没有真正意义上的“授权”环节。我中间停下来骂了自己一句，做了这么久链上研究，居然从来没从这个角度想过问题。
签名只能证明私钥在你手里，合约只能判断输入是否触发条件。可一笔交易该不该发生，发起方是否受限于当日限额，地址是否触碰了制裁名单，这些判断在目前的链上世界里完全是真空地带。你只要持有一把私钥，就能把合约从头调到尾。这不是安全漏洞，这是逻辑上的结构性缺失。我想到一个画面，以前我们反复加固门锁，却从来没问过一句，打开门之后这个人到底有没有权利走进这个房间。这个比喻冒出来的时候我自己都愣了一下，太简单了，但就是这么简单的事，整个行业居然没人认真去做。
Newton 的切入方式让我当时对着屏幕愣了几秒。它没有选择再去卷交易速度或者 AI 模型的准确率，而是在执行层之上专门构建了一层 Authorization Layer。这层的作用就一个，在交易落地之前，由一组去中心化的验证者来回答“允许还是拒绝”。不是靠某台中心化服务器拍板，而是靠一套可编程的 Policy 系统，配上可验证的密码学证明。我反复看了三四遍这个架构图，总觉得有点不真实，因为这思路太朴素了，朴素到让我怀疑为什么之前没人这么做。
我花了大概两个小时把完整链路串起来。开发者可以提前把业务规则写成 Policy，消费上限也好，身份门槛也好，AI Guardrail 也好，甚至制裁名单筛查。每一笔交易会先被抽象成 Intent，再拆解为 Task，提交给 Newton 网络验证。验证者会同时参考链上状态和链下数据，比对 Policy，只有全部绿灯亮起，智能合约才会收到一个带着证明的授权凭证。如果有一项不满足，交易根本不会被执行。整个流程的输出不是一句“服务器已经检查通过”，而是带着密码学证明的授权结果。我又回去翻了一遍文档确认，生怕自己理解错了。
这套设计最让我触动的地方，在于它坦然承认 AI 会犯错。这个角度太实在了。它从不试图保证 AI Agent 的每一次决策都正确，而是保证 Agent 哪怕产生幻觉，也没办法越过预设的规则边界。我琢磨这个逻辑的时候脑子里蹦出一个画面，银行里交易员再冲动，也刷不爆风控系统设死的单笔限额。这种现实世界早就熟透了的逻辑，链上现在才开始用协议的方式长出来，想想也觉得挺有意思。我以前跟朋友讨论 AI Agent 安全，话题永远绕在模型幻觉和错误率上，但 Newton 换了一个角度，它根本不纠结 AI 对不对，它只问一件事：就算 AI 判断失误，边界还在不在。说实话这个视角的转换让我停了很久，中间还起身去阳台站了一会儿，脑子里一直在转这件事。
还有一个细节让我反复看了好几遍，差点漏过去。验证过程要用到大量链下数据，身份信息、市场数据、风险指标这些。Newton 的处理方式是把敏感数据留在链下，验证者只把验证结果和可验证的密码学证明推上链。链上能看到“这个地址通过了司法辖区检查”，但永远看不到这个地址具体对应哪个国家。授权变得可验证，隐私却不必裸露。我翻过不少项目白皮书，能在隐私和可验证性之间找到这种平衡的，说实话真不多。很多项目要么牺牲隐私换透明，要么保住隐私但没法验证，Newton 这条路走得巧。
关于 Mainnet Beta，我看社区里不少人觉得 Beta 意味着还没准备好。我的理解恰恰相反，甚至觉得这种“没准备好”才是对的。一个授权网络需要在真实环境里接受成千上万笔实际请求的冲刷，才能暴露 Policy 碰撞、验证延迟、经济激励这些在沙盒里永远测不出来的问题。现在开发者已经开始部署 Policy，Operator 开始处理真实任务，配套的 VaultKit 已经在服务需要严格合规的资产场景。这根本不是实验室里的玩具，而是一套正在被现实压力塑形的骨架。官方在 Beta 上线同时就推出 VaultKit，说明它瞄准的一开始就是真实的资产管理和机构级策略场景，不是先画饼再找用例。这个判断我是反复确认了 VaultKit 的接入文档才敢下的，不是随口一说。
再说两句 $NEWT 。让我真正下决心持续关注这个代币的，不是价格走势，是文档里那句“网络的安全和验证需要统一的经济激励来协调”。我盯这句话盯了很久，后来想明白了，它的意思其实很直白。如果未来真的有海量 AI Agent、RWA、稳定币和机构资金跑在链上，每一笔“能不能执行”的判断都请求 Newton 网络来验证，那 NEWT 就不是概念币，而是这层授权基础设施里流转的血液。它的长期价值跟喊单无关，只跟真实授权请求的数量挂钩。这是我愿意长期盯着的逻辑，不是赌一个叙事能不能起飞。
从昨晚到现在我基本没睡，身体确实累了，但思路异常清晰。过去 Web3 疯狂造轮子，造更快的链，造更聪明的 AI，但没有人去造那个“凭什么你可以这么做”的协议层。Newton 干的活，既不是追 AI 叙事，也不是单纯的基建优化，而是在所有喧闹之下，把信任从一句口头承诺，变成了链上可以验证的一层共识。这句话我写了又删删了又写，因为我怕说大了，但最后觉得就该这么说。
这层共识不会在短时间里刷屏所有人的时间线，但每当想到未来链上金融的真正规模，我都觉得，@NewtonProtocol 现在埋下的这粒种子，远比许多热闹的故事更值得等待。@NewtonProtocol $NEWT #Newt

今天我几乎把 @NewtonProtocol 的官方文档从头翻到尾，原本只是想搞清楚 Newton Mainnet Beta 到底更新了什么，结果越看越停不下来。中间还把几张架构图截下来放大，对着流程一遍遍画执行链路，甚至晚上准备睡觉的时候，还突然想到一个问题：为什么官方一直强调 Authorization Layer，而不是大家更熟悉的 Infrastructure、Middleware 或 Oracle？#newt
说实话，一开始我没想明白。
后来把整个流程重新梳理之后，我突然意识到，Newton 想解决的问题，从来不是让 AI Agent 更聪明，也不是再造一条更快的链，而是在链上建立一层“交易授权”能力。很多协议负责执行交易，很多协议负责提供数据，但真正负责判断“这笔交易到底该不该执行”的协议，其实并不多，而这正是 Newton Protocol 最核心的价值。
我以前一直觉得，只要智能合约写得足够严谨，安全性应该就已经不错了。但继续研究才发现，智能合约其实天生有一个限制——它只能看到链上的状态，却看不到链下发生了什么。
举个最简单的例子，一个 AI Agent 发起了一笔资金调度，它可能符合合约逻辑，却已经超过了企业设定的每日额度；又或者一个地址已经触发了风险规则，但这些信息根本不存在于链上。如果这些判断全部交给中心化服务器完成，本质上还是在相信某一个后台，而不是相信协议本身。
Newton 的思路让我眼前一亮。
它没有把这些判断继续放在中心化系统，而是做成了可验证的 Policy Engine。开发者可以提前把消费限额、身份要求、司法辖区限制、制裁名单检查、AI Guardrail 等规则写成 Policy，然后每一次交易都会先形成 Intent，再生成 Task，请求 Newton 网络完成验证，只有满足对应 Policy，智能合约才会继续执行。整个过程最终输出的是带有密码学证明的授权结果，而不是一句“服务器已经检查通过”。这意味着信任开始从人为判断，转变成可以验证的协议流程。
我当时看到这里，真的停下来发了一会儿呆。
因为以前大家讨论 AI Agent 安不安全，总喜欢讨论模型会不会幻觉、会不会犯错。但 Newton 换了一个角度，它并不试图保证 AI 永远正确，而是保证 AI 即使判断失误，也不能绕过预先定义好的规则。这种设计让我觉得更符合真实世界，因为现实里没有绝对不会犯错的系统，真正重要的是犯错之后还能不能突破边界。
继续往 Mainnet Beta 的资料看，我发现官方把它称为 Authorization Layer，其实一点都不夸张。它会结合链上状态以及链下数据，例如身份认证、市场数据、风险指标等，对交易进行实时判断，最终链上保存的是验证结果和可验证证明，而不是隐私数据本身。隐私没有暴露，可验证性却依然保留，这一点让我觉得非常巧妙。
还有一个细节，我反复看了几遍才真正理解。
很多人把 Mainnet Beta 理解成“还没准备好上线”，但我现在反而觉得恰恰相反。真正复杂的基础设施，不是等所有东西都完美了才放出来，而是在真实环境里持续验证整个授权网络是否稳定运行。开发者开始部署 Policy，Operator 开始处理真实请求，SDK、VaultKit、各种风险模块不断接入，这些都需要真实网络反馈，而不是实验室数据。Mainnet Beta 更像是在验证整个授权体系，而不仅仅是在测试几个功能。官方同步推出基于 Newton 的 VaultKit，也说明它已经开始服务真实的资产管理和机构级策略场景，而不是停留在概念阶段。
我还注意到一个容易被忽略的地方。
Newton 并没有试图替代智能合约，它更像是在智能合约前面增加了一层可组合的授权系统。协议原来的业务逻辑几乎不用重写，只需要接入 Policy，就能够增加身份校验、消费限制、风险控制、AI Guardrail 等能力。这种模块化设计让我想到一句话：未来真正重要的，也许不是谁能写出更多合约，而是谁能让更多协议共享同一套可信规则。
再聊聊 $NEWT 。
很多人只关心价格，我反而更关注它在整个网络里的作用。随着越来越多应用调用 Newton 进行授权验证，网络需要统一的经济激励来协调验证、治理和安全。真正决定 NEWT 长期价值的，不会只是短期市场情绪，而是未来到底有多少真实交易愿意把“是否允许执行”交给 Newton 去判断。只有验证请求不断增长，这套网络的价值才会真正体现出来。
研究完整个 Newton Mainnet Beta，我最大的感受只有一句话。
过去几年，Web3 一直在解决“如何执行交易”，AI 一直在解决“如何自动完成任务”，但真正缺失的，是“谁来证明这件事本来就应该被执行”。Newton 正在补上的，就是这一层长期被忽略的基础设施。
它可能不会像热门 Meme 一样几天刷屏，也不会因为一句口号就吸引所有人的注意，但如果未来越来越多 AI Agent、RWA、稳定币、机构资金都开始进入链上，我反而觉得，这种把授权、风险和信任做成协议的项目，才更值得长期观察。
至少，看完 Newton Mainnet Beta 之后，我已经不会再把它简单归类成一个 AI 叙事项目了。它真正想建立的，是链上金融未来不可缺少的一层信任基础。
@NewtonProtocol $NEWT #Newt