今天早上收到一封區塊鏈電子報，標題大意是：AI 代理現在有自己的帳戶，可以交易，也可以付款。

我第一個反應不是興奮，而是先查日期。

結果有點微妙。Coinbase for Agents 並不是 8 月 6 日才上線，它在 6 月 11 日就已經推出；8 月 6 日真正的新消息，是 MetaMask 把 Agent Wallet 的早期存取計畫正式推到檯面上。

這兩件事放在一起看，反而比單一產品新聞更有意思。

兩個月前，我在〈等 AI Agent 開始自己付錢，它們就會回頭找上 Web3〉裡寫過：當 Agent 開始呼叫付費 API、購買資料、搬動資產，Web3 才會從「隔壁產業的基礎建設」變成 AI 真正需要的支付與信任軌道。

現在這件事已經不只停在協議簡報裡。

但我的結論也比當時更保守：

AI Agent 能不能替你交易，已經不是最難的問題。真正難的是，它拿得到多少錢、可以碰什麼、什麼情況必須停，以及出事時誰負責。

先分清楚三種東西

「AI 代理有錢包」聽起來像同一件事，實際上至少有三條不同的產品路線。

第一條：讓 Agent 操作你的交易帳戶

Coinbase 官方文件目前把 Coinbase for Agents 定位得很清楚：它透過 CLI 或 MCP，讓 AI Agent 存取 Coinbase Advanced Trade，查價格、預覽訂單、下單與管理投資組合。

這比較接近「把交易所操作介面交給 Agent」，不是直接把一把鏈上私鑰塞進模型。

官方甚至明白建議使用者另外建立一個 Advanced portfolio，只放入願意承擔風險的資金，再把 Agent 權限限制在那個投資組合。API 權限裡的 Transfer 也只允許 Coinbase 內部投資組合之間移動，不允許提領到外部地址。

這個設計看起來不浪漫，卻很務實。

它承認一件事：如果 Agent 做了意料之外的交易，第一個防線不是期待模型突然良心發現，而是先把爆炸半徑縮小。

第二條：讓開發者替 Agent 建立鏈上金融能力

Coinbase 另一套 CDP CLI／MCP，面向的是開發者。它可以接觸 server wallet、鏈上資料、smart account 與 x402 支付等 CDP 能力。

這跟 Coinbase for Agents 的交易帳戶路線不能混為一談。官方比較頁直接把兩者分開：交易者用 Coinbase CLI／MCP；要建立加密應用的開發者，才使用 CDP CLI／MCP。

其中最值得 AI 圈注意的，仍然是 x402。

它把 HTTP 原本就保留的 402 Payment Required 變成實際支付流程：Agent 呼叫受保護的 API，伺服器回傳付款要求，Agent 用錢包簽署付款，再帶著付款資訊重送請求。Coinbase 的 quickstart 甚至直接示範讓後端 Agent 用 Base 測試網上的測試 USDC 購買 API。

這不是「AI 會用信用卡」的漂亮說法而已。它讓資料、推論、研究報告與線上服務，都可能被切成 Agent 可以自行發現、購買與結算的機器資源。

第三條：給 Agent 一個自託管錢包

MetaMask 8 月 6 日公布的 Agent Wallet，則往另一個方向走。

它是專為 AI Agent 設計的自託管錢包，透過 CLI 接上 Claude Code、OpenAI Codex、Hermes Agent 等代理環境，初期支援 EVM 鏈與 Hyperliquid 上的兌換、永續合約、預測市場與流動性操作。

但它真正有價值的部分，不是支援多少 DeFi 功能，而是把「可以做」和「被允許做」拆開。

預設的 Guard Mode 允許使用者設定每日支出上限、協議白名單與策略規則。交易若超出邊界，就暫停並等待 2FA 人工核准。MetaMask 也表示，每筆交易會經過模擬、威脅掃描與 MEV 保護；另有 Beast Mode 減少中斷，但惡意交易的安全檢查仍不會被關掉。

名字有點中二，架構倒是很誠實：自主性不是開或關，而是分級授權。

真正的產品不是錢包，是 Permission Layer

如果只看新聞標題，很容易把焦點放在「AI 終於能自己交易」。

但交易 API、MCP、CLI、錢包和模型，早就不是最稀缺的東西。真正稀缺的是一套不靠 Prompt 自律的權限系統。

我在〈可上線的 AI Agent，不是更會自主〉裡把 Permission Layer 拆成幾個問題：誰在行動、能用哪些工具、能碰哪些資源、動作風險多高、是否需要核准，以及完成後留下什麼收據。

放到 Agentic Finance，這套問題會更具體：

  1. 資金隔離： Agent 操作的是專用投資組合或小額錢包，還是整個主帳戶？
  2. 資產範圍： 它只能碰 USDC、BTC，還是任何被包裝成代幣的東西？
  3. 動作範圍： 可以查詢、預覽、下單、授權合約、轉帳，還是連外部提領都開放？
  4. 額度與頻率： 單筆、單日、單一 session 的上限是多少？連續失敗幾次要停？
  5. 對手方與協議： 只能進白名單市場，還是 Agent 自己找到什麼合約都能簽？
  6. 核准： 高風險動作是否綁定精確金額、資產、目的地與到期時間？內容改了要不要重批？
  7. 證據： 執行後是否留下交易 ID、簽名內容、政策版本、模型提案與人類核准紀錄？
  8. 對帳與復原： Agent 說付款完成，鏈上和帳戶餘額真的改了嗎？逾時重試會不會付兩次？

這八題只要有一題的答案是「我們有在 System Prompt 叫它小心」，那就還不能算安全邊界。

Prompt 是行為建議，不是保險箱。

區塊鏈替 Agent 解決了什麼，又沒解決什麼

Agentic Finance 之所以會回頭找上 Web3，不只是因為加密貨幣比較潮。

鏈上系統有幾個天然適合機器的特性：全天候運作、可程式化、結算快速、交易收據可驗證，以及不必替每個 Agent 申請一張塑膠卡。對高頻、小額、跨服務的 API 支付，這些確實比傳統卡片軌道自然。

但區塊鏈不會自動把錯誤判斷變正確。

它能證明某筆交易真的發生過，不能證明那筆交易本來就該發生；智能合約能忠實執行簽名，也可能忠實地把你的錢送進惡意合約；不可竄改的收據有利於稽核，卻也代表執行錯誤之後，通常沒有一個客服按鈕能把狀態倒帶。

Web3 解決的是可執行與可驗證，不是替人消滅責任。

如果是我做 pilot，我會先把 Agent 綁得很不自由

AI 產品展示喜歡把「自主」當成能力上限。真的碰到錢，我反而會從最低權限開始。

第一階段：只讀與提案

Agent 可以查餘額、價格與市場資料，產生交易提案，但不能簽名，也不能下單。先評估它選的資料、推理路徑、風險標記與建議品質。

第二階段：小額、隔離、白名單

使用專用 portfolio 或測試錢包，只放可承受損失的小額資金；限制資產、協議、單筆與每日上限；禁止外部提領。每次執行前先預覽交易，執行後回讀外部狀態並對帳。

第三階段：開放低風險自動執行

只有通過足夠測試、錯誤率與事件回顧的固定流程，才允許低額自動化。高額、陌生合約、新目的地、槓桿與策略邊緣情況，仍然進人工核准。

第四階段：用事故來驗收，不用順利 Demo 來驗收

故意測試行情劇烈波動、API 逾時、重複回應、價格滑點、惡意合約、錯誤鏈別、政策版本變更與人類逾時未核准。Agent 能在該停的地方停下來，比它在順風時完成十筆交易更有價值。

這聽起來不夠「全自主」。

很好。錢包不是拿來替產品簡報製造高潮的。

對企業真正有價值的，不一定是自動炒幣

Coinbase 與 MetaMask 的新聞最容易讓人想到交易，但 Agentic Finance 比自動買賣大得多。

比較可控的企業場景可能是：Agent 依預算購買 API 或資料；替全球工作流進行小額穩定幣結算；在固定供應商白名單內支付雲端或數位服務；監控資金部位並提出再平衡建議；或者在財務人員核准後執行重複、規則明確的轉帳。

這些場景的共同點，不是模型多會猜市場，而是事件到結算的路徑可以被縮短，同時每一個權限邊界仍然能被檢查。

所以我會把導入問題從「哪個模型最會交易」改成：

哪一條事件到付款／交易完成的流程，值得先縮短；其中哪一個步驟，真的可以安全地交給 Agent？

如果這題答不出來，先不要急著幫 AI 開戶。

最後判斷：Agent 有錢，不代表 Agent 長大了

Coinbase for Agents、CDP、x402 與 MetaMask Agent Wallet 放在一起，已經拼出 Agentic Finance 的基本零件：交易帳戶、鏈上錢包、支付協議、模型工具介面與安全閘門。

我先前說，等 AI Agent 開始自己付錢，它們就會回頭找上 Web3。現在看來，這個方向沒有錯。

但下一步真正決定市場能不能走下去的，不是再多一個「一鍵自動交易」按鈕，而是誰能把隔離、額度、白名單、核准、收據與責任歸屬做成預設值。

AI 可以提出動作，錢包可以簽名，區塊鏈可以結算。

最後仍然要有人把界線畫清楚。

不然所謂的 Agentic Finance，只是把「手滑」升級成可以 24 小時高速執行而已。

本文為技術與風險架構分析，不構成投資建議。封面為 AI 生成概念圖，用於說明資金隔離、權限閘門與人工核准，不是 Coinbase 或 MetaMask 的產品介面或合作背書。

參考資料