PACE：为 DeFi 中的 AI Agent 提供策略认证的合约执行框架

DeFi智能体把自然语言目标变成不可逆链上交易，却无法把验证者的批准绑定到最终提交的字节。

• 场景：作者称DeFi以无需许可合约保管资金，交互须手写calldata并判断滑点与approval；LLM智能体已开始用真实资金上链。错误会在人类介入前结算。
• 现有不足：作者称模型对齐与提示注入防御是概率性的、可被规避，且不约束已提交交易；模拟不绑定广播字节，模拟后改calldata可以穿过。作者称其所知防护都没有把模拟阶段的批准密码学绑定到执行字节并在资金移动处复查。
• 观察：作者认为安全不必依赖提议模型：动作收成显式类型化对象，由从不询问模型的确定性程序检查并在执行时复查，则被攻破的LLM也不能让违反策略的交易结算。
• Pace：Policy-Attested Contract Execution位于智能体与链上执行之间，含类型化意图、确定性策略验证器，以及绑定意图、策略、模拟与执行字节的签名Policy Decision Record（PDR）；智能账户链上复查。作者限定为基准内的逻辑层安全，不外推到活链。
• 威胁模型：
  • 系统：用户把DeFi操作委托给LLM智能体；Pace拦在输出与链上提交之间（§3.1）。
  • 能力：对手可经metadata、聊天记录或外部数据注入，引导恶意合约，抢跑，在模拟与提交间改calldata，重放过期模拟（§3.2）。
  • 目标：未授权转账或approval、滑点/三明治/预言机造成的间接损失、绕过策略、模拟后篡改（§3.2）。
  • 不能做：不能改用户策略、验证器或账户校验。智能体无owner key，也不能走仅owner的原始执行路径。密钥或策略失陷、多智能体共谋不在范围内（§3.2–3.3）。

相关讨论主要在§9；引言对应的缺口是概率性的模型防御、未绑定广播字节的模拟，以及只吃链上状态的钱包守卫。

合约分析与攻击测量

• 静态与符号工具：Slither（Feist等，2019）、Oyente（Luu等，2016）、Manticore（Mossberg等，2019）审计合约代码。作者称Pace改为在交易到达合约前按用户策略检查智能体提议；二者互补，因为正确合约在错误参数下仍可能有害。
• DeFi攻击与MEV：Zhou等（2023）的攻击分类、Zhou等（2021）的三明治、Qin等（2022）的MEV量化、Daian等（2020）的抢跑。作者称Pace在进入mempool前强制滑点、金额和基于模拟的后状态检查。

账户抽象与模拟服务

• 模块化守卫：ERC-4337（Buterin等，2021）以及Safe模块（2026）、Zodiac Roles（2024）、ERC-6900（2023）、ERC-7579（2023）已在链上做allowlist、支出上限、函数权限和前后钩子。作者称它们只校验链上状态；Pace的区别是把经证明的链下模拟和验证器决定绑定到精确执行字节。把PDR做成这些框架里的validator/hook，作者留作后续。
• 建议性服务：Tenderly、Blockaid、Wallet Guard面向人类签名者给出建议结论。作者称Pace是确定性的、绑定精确意图并在链上强制，且可互补，这类服务可以供给SimulationReport。

模型安全与工具型智能体

• 对齐与注入防御：RLHF（Ouyang等，2022）与Constitutional AI（Bai等，2022）训练模型拒绝有害输出；直接注入（Perez与Ribeiro，2022）和间接注入（Greshake等，2023）仍会成功。Liu等（2024）形式化攻击与防御，StruQ（Chen等，2025）用结构化查询做输入层防御。作者称这些仍是概率性的，Pace的验证器在模型外且确定性。
• 智能体与路线图：Toolformer（Schick等，2023）与ReAct（Yao等，2023）建立工具使用；Barton等（2026）讨论真实资金下的链上智能体，Marino与Juels（2025）认为这打开新的伤害向量。InjecAgent（Zhan等，2024）、AgentDojo（Debenedetti等，2024）、ToolEmu（Ruan等，2024）测量被颠覆的程度，但不阻止不安全执行。作者称Alqithami（2026）以路线图提出Transaction Intent Schema与Policy Decision Record；作者称Pace给出带模拟绑定、经评测且链上强制的实例化，并称这是这些抽象的首个此类实例化。

基线与基准

• 六个非Pace基线：Raw、Prompt-Only、Sim-Only、WalletGuard、StaticGuard、SimGuard，共用决策接口，按安全覆盖从少到多排列（§5.4）。
• 自建任务：40个任务，benign utility、prompt injection、unsafe contracts、DeFi exploits、MEV/slippage各8个（§6.2）。

作者把Pace定位为模型外的确定性强制：不替代合约审计或模型对齐，而是在提交前绑定链下模拟与策略决定，并由智能账户复查。

Pace把LLM输出一律视为不可信：收成类型化意图后，由确定性模拟和策略验证器裁决，批准才写入签名PDR，智能账户在外部调用前复查。Figure 1把智能体与意图标为不可信，把模拟器、验证器和PDR标为确定性且从不询问LLM。

设定与绑定范围

• 健全性目标：作者把目标写成soundness，并称凡被执行的交易都满足已声明策略，与LLM行为无关。作者不作completeness主张：策略是否覆盖一切不安全结果由策略作者负责（§3.3）。
• 不绑定经济结果：PDR把批准绑到精确意图、策略、模拟和执行字节，并带重放与过期保护。合约不在链上重放模拟，故在状态S批准的交易可能在另一状态执行，储备、价格或已升级目标可以不同（§4.5）。
• 字段来源：作者称健全性要求被检查的语义字段反映实际执行字节。calldata哈希只保证提交字节等于批准字节，不保证类型化字段与字节一致；部署时须由可信代码从解码后的calldata和模拟trace重建，不能信任LLM填写的字段（§4.6）。

类型化意图与用户策略

• TransactionIntent：含chain ID、sender与target、ETH value、function selector、calldata、TokenApproval列表（token、spender、amount、unlimited标志）、滑点容忍度和自由metadata。规范JSON（键排序、紧凑分隔符）后做SHA-256，得到hash_intent；calldata另有calldata_hash。
• UserPolicy：地址allowlist（target、selector、token）；单笔最大ETH与按token的支出上限；拒绝无限approval（amount为2^256−1）；滑点上界；函数blocklist（文中例子为flashLoan、delegateCall）；模拟是否强制及其最大时龄；后状态阈值（最低health factor、最大损失）；对metadata的正则。策略以自身SHA-256版本化。

验证器与模拟

• 纯函数检查：验证器无状态，不访问网络，不询问LLM。它检查allowlist、被禁selector、支出上限、ETH value、无限approval、滑点和被禁metadata。若要求模拟，还检查成功、新鲜度、时间戳非未来、允许的touched contracts、最低health factor、最大损失，以及报告intent_hash与提交意图哈希相等（§4.4）。
• 模拟后端可替换：参考实现是内存DeFi模型，用来填充touched contracts、health factor和损失百分比。作者称生产部署应对照归档节点做基于trace的模拟；任意router calldata的完整ABI解码交给trace后端。
• trace假设：touched-contract集合只属于一条执行trace。作者把它当作模拟时检查，仅在相关执行状态未变时健全（§4.6、§8交叉所指的边界写在§4.5–4.6）。

PDR与链上强制

• 何时签名：PDR绑定完整意图、所用策略、模拟报告、决定与违规字符串、三类SHA-256和时间戳。只有决定为Approve才签名；拒绝记录留在链下供审计、不签名，故有效签名表示批准。把决定字段放进签名摘要，作者称为进一步加固，不是当前设计。
• 链上摘要：PaceSmartAccount对12个字段做keccak256，再加Ethereum Signed Message前缀做ECDSA恢复：policyHash、intentHash、simulationHash、calldataHash、chainId、account、target、value、nonce、validAfter、validUntil、simulationBlock。链下内容寻址用SHA-256，链上用keccak256；作者称两侧各自内部一致。
• executePDR：Figure 2在外部调用前做九项检查：验证器签名、chain ID、account、target、value、keccak256(data)、nonce未用、validAfter、validUntil。失败则revert PDRInvalid。nonce在外部调用前标记已用，重入不能重放该PDR。另有仅owner、无PDR的原始调用路径，供恢复与管理。

参考实现

• 栈与模拟器：Python 3.11+，Pydantic v2，包名pace。内存模拟器含ERC-20、恒定乘积AMM（费率30 bps，储备10,000 WETH/10,000,000 DAI）、借贷池（价格1,000 DAI/ETH，LTV 0.75，清算阈值0.80）、委托调用中触碰隐藏合约的恶意router，以及approval drainer。两个专用模拟器分别回拨报告时间戳，或返回与提交意图哈希不符的报告。
• MEV模块：给定储备、受害交易、滑点、费率和攻击者预算，用迭代求精找利润最大的front-run，并报告受害损失（bps）、攻击者利润，以及严格滑点保护是否拦住执行。
• LLM接口：确定性实验用正则MockLLM，对提示文本套模式后返回预设的安全或不安全响应。可选OpenAI兼容适配器接受base URL、API key和模型名；实况响应记入trace，仍须经过同一验证器。

实验设置

• 比较对象：七个智能体共用决策接口：Raw、Prompt-Only、Sim-Only、WalletGuard、StaticGuard、SimGuard、Pace。确定性套件的Prompt-Only使用regex MockLLM，不做实况API调用（§5.4、§6.4）。
• 实况模型：gemini-3.1-flash-lite、DeepSeek-V4-Flash、gpt-4o，经OpenAI兼容端点，仍走同一PolicyVerifier（§7.5）。
• 任务：自建40个任务，五类各8个。benign utility期望批准；prompt injection、unsafe contracts、DeFi exploits、MEV/slippage期望拒绝。任务ID与期望决定跨种子固定，措辞、攻击者预算、池储备、滑点、注入字符串、目标地址和模拟时龄随种子变化（§6.2）。
• 规模：deterministic full mode为种子0–9，7个智能体×40任务×10种子，共2,800次。种子是确定性任务变体，不是现场分布上的重复抽样（§6.4）。
• 指标：Correct rate以全部试验为分母，看批准/拒绝是否符合期望安全行为。Unsafe execution rate为不安全执行除以全部试验。Attack success rate分子相同、分母仅为攻击试验。Dangerous block rate为被拒绝的不安全攻击交易除以攻击试验。False-positive rate为错误拒绝的良性任务除以良性试验。Task completion rate不是正确性（§6.3）。
• 链上与辅助：Foundry，Solidity 0.8.24，optimizer 200 runs；合约套件21个测试，其中11个账户强制、6个gas、4个fork harness（§5.6）。消融为种子42。实况为每模型5次重复、种子42、共595次试验。§7.6写明未生成fork结果文件则不作fork结论。正确性对照任务内的expected decision。

主结果

Swipe horizontally to read the table

智能体	Correct%	Unsafe Exec	Atk Success	Dangerous Block	FP Rate
Raw	20.0%	0.80	1.00	0.00	0.00
Prompt-Only	41.2%	0.59	0.73	0.27	0.00
Sim-Only	27.5%	0.72	0.91	0.09	0.00
WalletGuard	75.0%	0.25	0.31	0.69	0.00
StaticGuard	95.0%	0.05	0.06	0.94	0.00
SimGuard	97.5%	0.03	0.03	0.97	0.00
PACE	100.0%	0.00	0.00	1.00	0.00

据Table 1（2,800次试验，10个种子）。Correct与Unsafe Exec的分母是全部试验；Atk Success与Dangerous Block的分母是攻击试验；FP的分母是良性试验。

• 作者称Pace在该基准上每个种子都与期望决定一致；零种子级方差来自定义验证是意图的纯函数，不应读成对未见或自适应对手的统计保证（§7.1）。
• 作者称最强非Pace基线是SimGuard：有新鲜模拟和策略检查，但没有PDR calldata绑定，仍放行calldata-mutation。正文写其attack success为0.0312，Table 1记为0.03，此处以表为准。§7.8按每种子32个攻击计，SimGuard拦住31个，Pace拦住32个。
• 种子级波动集中在Prompt-Only。§7.1给出correct rate标准差2.56个百分点，unsafe execution 0.5875±0.0256，attack success 0.7344±0.0320。作者称良性任务落在策略限度内。

分类攻击与calldata绑定

• 测了什么：按类拆attack success，并单列过期模拟da_07与calldata变异da_08（§7.2）。
• 结果：作者称Pace、SimGuard、StaticGuard拦住全部prompt-injection与MEV/slippage任务。对unsafe contracts，三者attack success为0.00；WalletGuard漏掉无限approval，作者解释为零ETH绕过其金额检查。对DeFi-attack模式，Pace拦住全部8个；StaticGuard漏掉8个中依赖模拟检查的2个；SimGuard抓住过期模拟，仍漏calldata变异。
• 作者解读：da_08先通过模拟与策略，提交字节随后与已批准字节不同。SimGuard省略哈希相等检查，故放行，这是它漏掉的唯一攻击。Pace在链下用intent_hash、在链上用keccak256(data)拒绝（Figure 2）。去掉calldata绑定时，被放行的只有这一任务。

实况多模型

• 测了什么：三个模型走全部40任务，每模型5次重复，共595次试验，约每模型200次（攻击约160、良性40），种子42，与2,800次套件分开（§7.5）。
• 结果：Table 3中三者的Pace守护attack success均为0.000。无守护时，gpt-4o把11/160次攻击试验（6.9%）判为安全，DeepSeek-V4-Flash为4/156（2.6%），验证器全部拒绝；gemini-3.1-flash-lite无守护时未放行攻击。良性FP为0.125、0.128、0.050；Correct%为97.5、97.4、99.0。正文另写良性误拒5.0–12.8%。
• 作者解读：作者称该不变量是结构性的：模型判为安全的攻击仍要按策略复查解析后的意图，守护后的attack success由验证器封顶。作者把非零良性误拒归于模型与解析器方差，称为部署时的调参问题，而不是安全失败。

自适应对手与链上开销

• 自适应：对手完全知道策略（conservative配置，种子0）。规避项包括贴近边界的金额与滑点、形近目标、被禁selector、触碰隐藏合约的delegateCall、模拟后改calldata、藏在看似良性metadata后的无限approval。Table 4：Pace拦住8/8；SimGuard与StaticGuard各7/8，只漏calldata变异；WalletGuard为2/8。
• 策略内有害：恰好在滑点边界的交换、顶到金额上限的转账、给allowlist spender的大额有限approval、每腿都低于上限的五腿抽取。Pace与全部基线都放行8/8。作者称确定性检查没有被这种适应骗过，伪装approval是被精确approval检查抓住，正则不是承重部件。作者认为这划出非保证：不对“有害但符合策略”的行为或跨交易序列作完备性主张，且一次只验证一笔。
• gas与本地EVM：PDR验证每笔增加29,826–31,822 gas，主要来自ecrecover（约3,000）和nonce SSTORE（约20,000）。相对成本为approval 91.7%、transfer 78.9%、swap 50.5%。约0.04 ms只含验证器决策延迟，不含trace模拟、ABI解码和archive-RPC。PaceSmartAccountTest通过11/11：3个有效执行、7个无效PDR拒绝、1个仅owner原始路径（§7.4）。

其他消融与分析

• 去掉模拟：unsafe execution从0.000升至0.050（Table 2，种子42，320次，8个变体）。
• 去掉touched-contract allowlist：unsafe execution 0.125；去掉calldata绑定或新鲜度：各0.025。
• 去掉metadata扫描：unsafe execution仍为0.000；作者称这些攻击也被其他约束拦住。
• 显式宽松策略：unsafe execution 0.575，Correct% 42.5%，FP 0.000。
• 保守策略：unsafe execution 0.000，FP 0.250，Correct% 95.0%，reject rate 0.850。
• 滑点阈值在100 bps时准确率100.0%，在10 bps与1,000 bps时均为95.0%（前者过度拒绝，后者放行MEV）。新鲜度窗口0秒时准确率80.0%，至少1秒回到100.0%（§7.3）。

作者指出的局限与后续方向

• 多轮自适应：对验证器做多轮学习的自适应攻击者仍开放，作者称为最重要的下一步之一（§10）。
• 多步组合：把各自符合策略的腿组成有害序列的多步智能体循环仍开放（§10）。
• 更高保真执行：在分叉主网状态上用基于trace的模拟跑完全部攻击套件，并扩展到跨合约重入、治理和桥利用；作者称这会加强外部有效性，且验证器与PDR绑定可直接迁到这种后端（§10）。
• 模型面板：更大的模型面板（含open-weight）和端到端智能体harness，用来刻画模型多常提出不安全动作（§10）。
• 账户集成：把PDR哈希升级为EIP-712 typed data，并把校验接入ERC-4337的validateUserOp，使Pace作为标准智能账户模块运行（§10）。
• 策略工具：编写和调参策略的工具；作者称策略是主导安全因素，这类工具是强制机制的重要补充（§10）。

实验覆盖范围

• 确定性全量模式为种子0–9、7个智能体、每种子40任务、共2,800次试验；Prompt-Only使用regex MockLLM，该套件无实况API调用（§6.4、§7）。§6.4写明这些沙箱实验不构成对活链上自适应对手之效力的证据。
• 任务为五类各8个，正确性对照任务内的expected decision。§6.3定义了user loss、slippage、health-factor violation rate、PDR rejection rate和决策延迟，结果节给出了延迟与gas，未报告user loss等财务数值。
• 消融为8个Pace变体、种子42、320次试验（Table 2）；滑点与新鲜度阈值的灵敏度写在§7.3。
• 实况评测为gemini-3.1-flash-lite、DeepSeek-V4-Flash、gpt-4o，每模型5次重复，共595次试验，种子42（§7.5、Table 3）。
• 自适应研究为种子0的8个规避攻击加8个策略内有害交易（Table 4）。Foundry本地账户用例11/11，gas在Solidity 0.8.24、optimizer 200 runs下测量（§7.4）。§7.6写明未生成fork结果文件则不作fork数值结论；正文未给出fork数字。

Pace是放在LLM智能体与DeFi链上执行之间的交易级授权框架，用来拦住违反用户策略的结算。

• 问题：智能体会继承提示注入，模拟阶段的批准又没有绑到最终广播字节；错误交易在链上不可逆。
• 做法：提议先变成TransactionIntent，再由从不询问LLM的验证器对照UserPolicy和模拟报告。只有批准才签发PDR。智能账户在外部调用前复查验证器签名、calldata哈希、nonce和有效窗口。作者把保证写成字节与字段级健全性，不是经济结果相等，也不主张策略完备。
• 确定性基准：内存模拟器、10个种子、2,800次试验中，Table 1的Pace为Correct 100.0%、unsafe execution 0.00、attack success 0.00、FP 0.00；Raw的unsafe execution为0.80。SimGuard仍放行calldata变异。Table 2中，宽松策略使unsafe execution升至0.575，去掉touched-contract allowlist升至0.125。
• 其他测量：三个实况模型在Pace守护下attack success均为0.000，良性FP为0.050–0.128（Table 3）。已知策略的规避攻击Pace拦住8/8，符合策略的有害交易则与各基线一样放行8/8（Table 4）。PDR路径增加29,826–31,822 gas。
• 作者结论：作者认为链上动作的安全可以与提议模型是否可信拆开；把模型输出一律视为不可信，并在链下与链上强制签名的策略决定，得到不随模型行为变差的下限。作者希望交易级策略证明成为真实资金下自主智能体的构件，并把主张限定在可复现基准的逻辑层安全。