为什么“看得见”和“按得下”胜过“软件权限”
该架构建立在Ledger称之为WYSIWYS的原则之上：你所见即你所签。代理在自己的软件环境中准备一笔交易，但批准步骤完全发生在该环境之外：在可信的物理签名器的显示屏上完成。该显示屏在任何人确认之前，会展示交易的准确细节。由于私钥不会离开设备的安全芯片，即便代理被入侵、技能被投毒或发生定向提示注入攻击，仍然可能要求签名器批准某些内容。但它们都无法让签名器在没有人的物理在场情况下进行批准。仅靠软件的“钱包权限”，即便经过精心设计，最终也仍然存在于攻击者试图控制的同一执行环境之中。硬件把最终决策放到了代码无法触及的位置。
Ledger用来证明“摩擦是合理的”的数字
Ledger用两个外部数据来支撑其增加审批步骤的做法。26.1%的漏洞率来自一项独立研究《Agent Skills in the Wild》，该研究扫描了超过31,000个已发布的代理技能，并发现其中带有至少一个缺陷的占比。人为错误的数字是一项被广泛引用的行业指标，Ledger在发布材料中纳入了该数字，但未将其归因到某一特定研究。
Ledger认为，AI攻击面扩张的速度快于大多数防御手段能够追踪的速度，这也解释了第一个数据。第二个数据则指向相反方向：该公司认为，借助代理的准备工作实际上可以减少普通错误，即便它同时在结尾增加了一道人工作业步骤。
从此处开始，对交易者、基金和开发者会带来什么变化
MoonPay和Shisa.ai已经在该架构上运行生产级工具。MoonPay的集成让代理能够识别一笔交易并进行准备，而私钥仍被限制在硬件中，并且每一笔交易仍需要一次按钮按下。企业多签CLI将相同逻辑推入企业金库：在法定人数批准本就因其他原因而放慢执行的场景下，额外的硬件确认在实践中改变不大。零售与高频使用案例与该模型的张力更大：一个能在以毫秒计量的时间窗中发现套利机会的交易代理，无法等待某个人瞥一眼设备屏幕；基于智能合约账户抽象的竞争型钱包设计，已让机器人能够在所有者事先设定的支出上限范围内实现自主执行。Ledger押注是：对大多数用户而言，安全收益会超过速度成本；至于这种情况是否同样适用于对延迟敏感的策略，这是市场会在本次发布之外独立回答的问题。
Ledger已经勾勒了下一步。今年下半年进行的代理身份工作将把每个代理锚定到一个通过硬件注册的、记录在链上的身份，从而替换那些目前代理用来向服务与彼此标识自己的、可被冒用的软件字符串。另一项“Proof of Human（人类证明）”旨在让对方以密码学方式验证：某一给定操作确实由真实的人授权，而不仅仅是某个签名器完成了批准。与此同时，Ledger正在对college.xyz提供5,000美元的开发者悬赏，并在ETHGlobal New York筹备了10,000美元的奖池，面向那些在新栈上构建代理付款与批准工具的团队；这是一个短期推动，鼓励在身份与证明工具到来之前，更多的代理构建社区在硬件门控模型上进行测试。
Ledger 押注硬件，因为 AI 代理开始管理钱包
Ledger于2026年7月16日向公众开放其Agent Stack工具包，让开发者获得一种标准化方式：让AI代理读取加密余额、分析投资组合，然后起草将资金转移的交易，同时永远不触碰其背后的私钥。总部位于巴黎的硬件钱包制造商在发布时围绕一个单一约束进行设计：代理可以起草一次兑换或付款，但要执行它仍必须通过Ledger设备上的物理按钮按下来完成，并由拥有该钱包的人确认。此次发布是在从6月10日开始的预览期基础上进行的，期间运行了超过1,000个测试代理，并标志着该公司2026年AI安全路线图中首次面向公众交付的成果。 一个为“签名”停下来的工具包 Agentic AI在过去两年里一直在自动化研究、监控以及为加密用户起草工作，而下一步显而易见的就是让代理自行转移资金。但这一步会遇到一个特定的信任问题。把私钥交给代理，哪怕只是一次幻觉的价格、糟糕的指令，或一次成功的提示注入攻击，都可能在几秒内掏空账户。彻底把代理从钱包访问中锁出去，那么所承诺的大部分效率也会随之消失。Ledger的答案是在读取与分析侧让代理保持完全能力，同时在执行环节划出一条硬界限。该公司用三个词在其开发者文档中概括了这条规则：代理提出，人类批准。 四个模块，共用一条边界 Agent Stack以四个彼此独立、可组合的组件形式交付，而不是一个被锁死的单一产品，因此开发者只会采用其特定用例真正需要的部分。
| 模块 | | --- | 功能 | | --- | | 设备管理工具包技能 | 基于Markdown的说明文档，可将Claude Code、Codex或Cursor等代理框架接入Ledger签名器，而无需自定义钱包集成代码 | | Ledger钱包CLI | 让代理在只读场景下自由检查余额并查看历史记录。准备发送或兑换也同样适用，但任何会转移价值的操作都会在此暂停，等待物理确认 | | Ledger企业CLI | 将代理连接到Ledger Enterprise，以便其起草交易，并为机构账户支持治理工作流，而无需持有任何密钥 | | Ledger企业多签CLI | 允许代理为机构账户起草并查询多签操作，尽管达到法定人数的批准与硬件签名仍会成为任何实际执行前的门槛 |
为什么“看得见”和“按得下”胜过“软件权限” 该架构建立在Ledger称之为WYSIWYS的原则之上：你所见即你所签。代理在自己的软件环境中准备一笔交易，但批准步骤完全发生在该环境之外：在可信的物理签名器的显示屏上完成。该显示屏在任何人确认之前，会展示交易的准确细节。由于私钥不会离开设备的安全芯片，即便代理被入侵、技能被投毒或发生定向提示注入攻击，仍然可能要求签名器批准某些内容。但它们都无法让签名器在没有人的物理在场情况下进行批准。仅靠软件的“钱包权限”，即便经过精心设计，最终也仍然存在于攻击者试图控制的同一执行环境之中。硬件把最终决策放到了代码无法触及的位置。 Ledger用来证明“摩擦是合理的”的数字 Ledger用两个外部数据来支撑其增加审批步骤的做法。26.1%的漏洞率来自一项独立研究《Agent Skills in the Wild》，该研究扫描了超过31,000个已发布的代理技能，并发现其中带有至少一个缺陷的占比。人为错误的数字是一项被广泛引用的行业指标，Ledger在发布材料中纳入了该数字，但未将其归因到某一特定研究。
| 指标 | | --- | 数值 | | --- | 来源 | | --- | | 具备至少一种安全漏洞的AI代理技能 | 26.1% | 《Agent Skills in the Wild》（arXiv，2026年1月） | | 可追溯到人为错误的安全漏洞/泄露事件 | 大约60% | 未归因的行业数据，Ledger引用了该数据 | | 在私有预览期间测试的代理 | 超过1,000 | Ledger在6月10日发布的预览帖 |
Ledger认为，AI攻击面扩张的速度快于大多数防御手段能够追踪的速度，这也解释了第一个数据。第二个数据则指向相反方向：该公司认为，借助代理的准备工作实际上可以减少普通错误，即便它同时在结尾增加了一道人工作业步骤。 从此处开始，对交易者、基金和开发者会带来什么变化 MoonPay和Shisa.ai已经在该架构上运行生产级工具。MoonPay的集成让代理能够识别一笔交易并进行准备，而私钥仍被限制在硬件中，并且每一笔交易仍需要一次按钮按下。企业多签CLI将相同逻辑推入企业金库：在法定人数批准本就因其他原因而放慢执行的场景下，额外的硬件确认在实践中改变不大。零售与高频使用案例与该模型的张力更大：一个能在以毫秒计量的时间窗中发现套利机会的交易代理，无法等待某个人瞥一眼设备屏幕；基于智能合约账户抽象的竞争型钱包设计，已让机器人能够在所有者事先设定的支出上限范围内实现自主执行。Ledger押注是：对大多数用户而言，安全收益会超过速度成本；至于这种情况是否同样适用于对延迟敏感的策略，这是市场会在本次发布之外独立回答的问题。 Ledger已经勾勒了下一步。今年下半年进行的代理身份工作将把每个代理锚定到一个通过硬件注册的、记录在链上的身份，从而替换那些目前代理用来向服务与彼此标识自己的、可被冒用的软件字符串。另一项“Proof of Human（人类证明）”旨在让对方以密码学方式验证：某一给定操作确实由真实的人授权，而不仅仅是某个签名器完成了批准。与此同时，Ledger正在对college.xyz提供5,000美元的开发者悬赏，并在ETHGlobal New York筹备了10,000美元的奖池，面向那些在新栈上构建代理付款与批准工具的团队；这是一个短期推动，鼓励在身份与证明工具到来之前，更多的代理构建社区在硬件门控模型上进行测试。