Algorand 发布开放协议 AC2，让 AI 智能体无法触碰用户私钥

智能体商务背后的控制权难题

Algorand 基金会在其新协议的上线博客¹里，用一段场景开场，凡是把 AI 智能体投入生产环境的人都似曾相识：某位开发者的智能体运行时被恶意的插件依赖攻破，攻击者带走了环境中存放的 API 密钥和会话令牌，还拿到了足够的权限，推送了一次看似获得首席工程师批准的代码合并。团队却无法证明这次合并没有经过人类批准——所谓“批准”，只是 Slack 线程里的一条消息。基金会于 8 月 25 日发布的 AC2²（Agentic Communication and Control Protocol，即智能体通信与控制协议），正是为这一场景写下的答案。几天后，基金会旗下Verifiably Random 播客³的最新一集用标题点明了其中的利害关系：“谁在控制你的 AI 智能体？”

AC2 落在 Algorand 基金会进军智能体商务的核心位置——也就是由机器智能体代用户购买商品与服务。这条路线今年已取得实打实的进展：基金会对 x402 支付标准的实现，在 2026 年上半年被 Coinbase 合并。该标准重新启用了长期闲置的 HTTP 402“Payment Required”状态码，让服务器可以要求付款，而智能体在区块链轨道上仅用一次往返就完成结算。生态内的 AI 基础设施提供商 GoPlausible 于 7 月上线了用于验证和结算这类付款的生产级 facilitator，其公开看板⁴目前记录到累计 877,000 笔结算、结算总额 286,000 美元，其中 77% 发生在 Algorand 主网，平均结算时间为 0.4 秒。首席营销官 Marc Vanlerberghe 在该集中告诉观众，已有 1,000 多名开发者报名参加 Global x402 Challenge——据他说这已产生约 3,000 个端点——并称根据 Token Terminal 的数据，Algorand 的 x402 流量排名第三，仅次于 Base 和 Solana。

然而智能体能做的事越多，危险也就越大。Vanlerberghe 在这一集中的观点很简单：它们是非确定性系统，行为由大语言模型塑造，没有任何演示能够完全预测。放在聊天场景里尚可容忍；但当同一套系统掌握着密码、能读取邮件、能花钱时，就无法容忍了。如今大多数智能体框架的做法，是把用户凭证的副本交给智能体——在这种模式下，攻击者一旦攻破运行时就继承了一切。无论在 WhatsApp、Telegram 还是 Slack 中做聊天确认，都只是增加了人为检查，并没有密码学保障：线程里的一句“同意”，既无法证明是谁发出的，也无法证明他批准了什么。

像 dapp 兑换一样签名，只是对面换成了智能体

AC2 的设计移植了 Web3 中沿用已久的模式。你在 dapp 里兑换代币时，应用从不接触你的私钥：它请求你的钱包连接，你核对并签署交易，随后由 dapp 执行。AC2 让智能体来扮演 dapp。智能体准备好一个动作——一笔付款、一次代码提交、一次 API 调用——并通过端到端加密信道向你的应用发送签名请求。你核对细节，然后用通行密钥批准：这是一种 FIDO2 硬件绑定的身份验证，通过面容、指纹或设备 PIN 确认，密钥保存在设备的安全硬件中，而不是可能被钓鱼的软件里。签名随后被委派回智能体，由它完成该动作。私钥本身始终不离开你的设备。

其传输层由现成的开放标准组装而成，而非另起炉灶：消息格式采用 DIDComm v2.0⁵，初次握手之后使用 WebRTC 进行点对点直连，再叠加基金会基于通行密钥的连接层 Liquid Auth。系统中没有中心化中继——没有居中的运营方能够记录、绘制或阻断这段对话。身份是内建的，而非事后外挂的。用户和每个智能体都持有一个去中心化标识符（DID，即 W3C 定义的、由实体自行掌控而非由权威机构发放的标识符标准），首次配对时两者会以密码学方式绑定。正是这条绑定链路，最终能让商户要求一个陌生的购物智能体证明自己究竟归谁所有——这是聊天界面无法生成的来源证明链。

AC2 明确与区块链无关；它甚至可以在完全没有区块链的情况下运行。由 Pera Wallet, Lda 与基金会合作发布的 AC2 Wallet 应用是一款自托管 Algorand 钱包，因此想要通过智能体花 USDC⁶ 的用户，可以在同一个界面里批准并结算这笔付款。基金会表示，一个基础集成“差不多五十行代码就能跑通基础流程”。

用户实际可以批准哪些动作

意图与执行之间的那一层

AC2 在整个智能体技术栈中最具分量的位置，与 Google 的 AP2 协议相邻——AP2 于 2025 年底发布，Algorand 是首批合作伙伴之一。AP2 定义了智能体如何记录意图授权，也就是对它获准做什么的可审计描述，却没有规定这份授权如何送达到用户、用户又如何签署。AC2 恰恰就是那个缺失的机制：智能体发送授权，用户在自己的设备上签名，签名再交回智能体据以执行。同样的分权逻辑也适用于 x402 支付：智能体拼装付款细节，用户批准，智能体完成调用。

Korea IT Times 的分析⁷在评述此次发布时，强调了这套设计能保证什么、不能保证什么。AC2 确立的是“谁批准了某个具体请求”，而不是判断这个请求是否恰当。如果钱包没有清楚呈现收款方、金额与后果，用户仍可能批准一笔恶意的或构造误导的交易——密码学证明能确立批准确实发生过，却无法证明用户理解了自己批准的是什么。而且由于当前版本对每个动作都要求签名，该设计带有审批疲劳的风险：被提示轰炸的用户可能干脆不再阅读。基金会公布的下一步是有界委托——让用户一次性设定支出上限、允许的交易对手和时间窗口，此后智能体可在这些限制内自由行动，仅在有例外时才回到用户这里。

自托管的取舍同样值得一并说明。钱包条款写得十分直白：“如果你丢失设备或助记词，你对通过 AC2 关联的任何内容的访问权限可能会永久丧失。”没有人持有密钥副本可供恢复。

诞生仅一周的规范

上线当天交付的是一份开放的规范与参考实现⁸——标注为 2026 年 4 月 1 日的草案——以及 SDK、CLI 和面向开源智能体框架 OpenClaw 的参考插件，三者均为 1.0.0⁹ 版本。早期采用情况之所以能量化，正因为它规模很小：该 GitHub 仓库有 20 个 star，npm 遥测显示 OpenClaw 插件过去一周被下载 458 次，SDK 被下载 247 次——这些数字符合“上线才几天”的状态，而非广泛部署。正如 Korea IT Times 的文章所说，一份开放规范只有在钱包、智能体框架和服务提供商一致实现它之后，才会成为行业标准；此次发布的只是启动了这一进程，并未证明这一进程。

OpenClaw 用户今天就可以试跑这套流程：安装并启用 AC2 插件，运行设置命令，重启网关，然后扫描二维码配对 AC2 Wallet（Android 和 iOS 版本均已提供）。这正是 Bruno Martins 在播客里演示的内容——与一个智能体对话并现场批准一个动作。该集最后，DeFi 负责人 Fred Estante 纵览了更广阔的生态——DeFi、x402 的采用以及即将到来的治理变动——提醒人们 AC2 只是整体推进中的一环，而非一件独立工具。

私钥在谁手里

这一集标题提出的问题，在加密世界有一个自反式的答案：谁掌握私钥，谁就控制账户——“不是你的私钥，就不是你的币”。AC2 把这条纪律从账户延伸到智能体。智能体可以很快、很便宜、不知疲倦，但在 AC2 之下，它在结构上无法未经询问就采取行动——而它收到的每一个回应都是签名，而不是一条聊天消息。这项协议的命运，如今取决于那些选择把这一区别变成标准的钱包和智能体框架。

来源

• Verifiably Random S4:E2 — 谁在控制你的 AI 智能体？AC2 登场（YouTube）³
• AC2 Protocol²
• AC2 Protocol 介绍：AI 智能体缺失的安全层 —— Algorand 基金会¹
• algorandfoundation/ac2（GitHub）⁸
• GoPlausible x402 Facilitator 看板⁴
• AC2 Protocol¹⁰
• Algorand 推出 AC2，让 AI 智能体远离用户私钥 —— DailyCoin¹¹
• Algorand 为 AI 智能体构建人工审批层 | 视频¹²
• 智能体商务中的信任¹³
• Verifiably Random - 播客 - Apple Podcasts¹⁴
• Global x402 Challenge¹⁵
• 介绍 GoPlausible x402 Facilitator：Algorand 上智能体商务的支付与智能¹⁶
• OpenClaw — 开源 AI 助手¹⁷
• AC2 Protocol²
• 第 4 季第 2 集 - 谁在控制…… - Verifiably Random - Apple Podcasts¹⁸
• 第 4 季第 2 集 - 谁在控制你的 AI 智能体？AC2 登场 - Verifiably Random | Acast¹⁹
• AI 智能体支付创 2026 年新高，周转账量达 870 万笔²⁰