导语：安全是动态的，而非静态的。加密行业被代码攻克的项目中，不少曾经过大公司审计。Gate 特别策划《大门安全课》第三期邀请 GoPlus Security 与 Gate 安全团队，从安全服务商与交易平台双重视角，讨论 AI 时代加密安全的新变化，以及普通用户如何借助工具在签名前规避风险。
嘉宾简介
GoPlus 合伙人 Adam 是 GoPlus 合伙人、安全研究院负责人。GoPlus Security 正在构建 Web3 和 AI 的首个去中心化安全层。自 2022 年以来，GoPlus 日 API 调用量达到 3000 万次，为用户防止了近千亿美元的潜在损失。
Gate 安全团队负责平台账户、交易与资产安全体系建设，并长期处理用户异常账户申诉与协查请求。Gate 成立于 2013 年，是行业内首家推出 100% 储备金证明的交易平台，目前服务全球超过 6000 万用户。
Q1：审计通过后为何仍被盗、仍出现权限滥用？
Adam 指出，传统合约审计存在四个结构性失效：快照式检查、无法预判未来、外部依赖失控、旧合约集中暴雷。权限滥用更多发生在运营阶段，包括 Owner 权限过大、管理员私钥泄露、多签管理不当、恶意提案和治理攻击等。审计后上线只是安全工作的起点，而非终点。
Gate 安全团队表示，审计能告诉用户代码能做什么，但告诉不了用户项目方打算做什么。很多事故根源在意图。Gate 在上币环节做严格项目筛选和审核，与项目方签署不作恶声明并监督履约，同时对已上架项目定期安全审计、通过链上事件监控持续跟踪合约状态。Gate AI 合约审计功能可让用户提交合约地址、源码文件或 GitHub 链接，几分钟内获得结构化风险报告，重点标出所有者权限、黑名单机制、铸造权限和转账税等风险。
Q2：AI 驱动威胁升级，行业应如何调整？
Adam 认为，攻防成本已严重不对等。攻击从专家手工研究变成自动化流水线，防御侧若仍停留在上线前找一次审计，或出问题后再亡羊补牢，就像用弓箭对抗机关枪。行业应从一次性审计升级为全生命周期持续安全，包括上线前 Token 安全自查、上线时 AI 合约审计、上线后持续安全监控与定期体检。
他建议现在就该做四件事：存量旧合约立即复查；已上线合约进入定期扫描节奏；传统审计之外叠加 AI 审计；交易所在上币流程中嵌入工具化评审。Gate 安全团队则强调，应明确依赖项、限制单次故障可能造成的损害、把网站和发布流程当成保险库的一部分。AI 缩小了发现漏洞与利用漏洞的时间差，交易所、协议和基础设施提供商都需要把共享组件纳入防护范围，并做好遏制演练。
Q3：攻防两端，哪一边受益更多？
Adam 表示，短期看攻击方受益更多，原因包括 AI 大幅降低挖洞门槛、链上沉淀大量旧合约、攻击只需找到一个漏洞即可变现。但防御窗口正在打开。AI 审计引擎对 2026 年真实攻击事件的复核结果显示，多个漏洞可在数分钟至数十分钟内检出。防御方还拥有先手优势、成本优势和知识复利优势。
Gate 安全团队补充，AI 改变最多的是产能。攻击者过去一周能看几十个合约，现在能扫几千个。防守侧需要关注密钥控制权变更、突发升级、系统异常行为、异常云端登录、意外站点上线、软件版本漂移和异常提币等更早信号。同时，漏洞赏金激励方向也应调整，支持复合漏洞赏金。普通用户过去几乎没有任何判断工具，如今可在几分钟内拿到结构化风险报告，这是防守侧受益最大的变化之一。
Q4：完整审计报告应包含什么？安全评分、关键发现、修复建议怎么用？
Adam 认为，一份能指导行动的审计报告至少应包含四个要素：安全评分、关键发现、问题详情、修复建议。安全评分用于快速筛选，不是最终结论；关键发现用于决策，明确哪些是 blocking 级别问题；问题详情用于定位，需精确到合约、函数、代码行，并说明攻击路径与根因；修复建议用于闭环，修复后应重新扫描回归验证。
Gate 安全团队补充，报告里最容易被省略的恰恰是审计目标与限制、范围说明。阅读关键发现时，要把几条单独看都不算漏洞、合起来却意味着控制权高度集中的风险放在一起看。报告生成方式决定其可靠性边界。AI 审计可能存在遗漏、误判或信息滞后，宜用来否决风险，不宜用来批准安全。一份“未发现任何问题”的报告，未必比一份“发现四项风险并已修复”的报告更可信。
Q5：链上与交易所，安全模型有何不同？
Adam 表示，链上自托管的安全等于私钥安全加合约安全。用户是唯一安全责任人，私钥丢失或被盗没有客服可申诉；每次交互都承担授权漏洞、钓鱼签名、貔貅盘等链上风险。交易所托管的安全等于平台安全加账户安全，私钥由平台管理，用户仍需保护账号、密码、2FA、API Key，并选择平台信用有保障的交易所。
Gate 安全团队介绍，平台内从登录到资产离开账户之间有多道关卡，包括资金密码、平台风控、Passkey、指纹或面容验证等。Gate 是首家承诺 100% 储备金的主流交易平台，储备金代码在 GitHub 开源，并设立 SAFU 用户安全资产基金。Gate Vault 采用 MPC 加 2-of-3 签名结构，私钥分片分别由用户设备、Gate 和独立第三方持有，转出有 48 小时延迟到账期。Gate 打金狗（Trenches）工具则可缩短链上交易路径，减少跨链、连接钱包和签名授权等风险点。
Q6：普通用户现在就能做哪些加固？
Adam 建议：交易前核查 Token 安全，识别貔貅盘、恶意增发、黑名单、异常交易税、Owner 权限过大等风险；定期清理合约授权，撤销不再使用的 DApp Approve；账户层使用强密码并开启 2FA，API Key 最小权限管理；防钓鱼成为肌肉记忆；资产按用途分层存放；关注项目的安全态度，而非只看旧审计报告。
Gate 安全团队给出可操作建议：用 Gate AI 提交合约地址，几分钟拿到报告，重点看所有者权限、黑名单与交易限制、铸造权限、转账税；把账户安全分做到 80 分以上；收到自称来自 Gate 的消息时，先到官方验证渠道核验，并检查邮件防钓鱼码；签名前看清授权额度，若要求无限额度，应停下来，拒绝比签了再说更安全。
结语
AI 本身不偏袒任何一方，决定天平的是谁先用、谁能更持续地使用。对项目方来说，审计之后的持续监控比报告本身更重要；对交易平台来说，上架只是审核的开始；对普通用户来说，现在已有更多工具可辅助验证。各方共同努力，攻防两端的天平就会向守门员倾斜。
免责声明：本内容不构成任何邀约、招揽或建议。您在做出任何投资决定之前应始终寻求独立的专业建议。请注意，Gate 可能会限制或禁止来自受限制地区的所有或部分服务。请阅读用户协议了解更多信息。