PACE: Policy-Attested Contract Execution for Safe AI Agents in Decentralized Finance
作者: Rabimba Karanjai, Yang Lu, Richard Williamson, Hemanth Hm, Prakhar Mehrotra, Lei Xu, Weidong, Shi
分类: cs.CR, cs.AI
发布日期: 2026-08-18
💡 一句话要点
提出PACE框架以解决去中心化金融中AI代理的安全性问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 去中心化金融 AI代理 安全性 政策认证 交易执行 加密技术 大型语言模型
📋 核心要点
- 现有的去中心化金融AI代理面临安全性挑战，尤其是对提示注入的脆弱性和缺乏有效的交易验证机制。
- PACE框架通过引入类型化交易意图和加密的政策决策记录，确保交易的安全性和可追溯性。
- 在40个任务的实验中，PACE实现了0.00的安全执行率和假阳性率，相比之下，无保护基线的安全执行率为0.80。
📝 摘要（中文）
自主AI代理正在成为去中心化金融（DeFi）操作的接口，如交换、借贷和收益管理。然而，这些代理依赖于大型语言模型（LLMs）进行交易规划，继承了LLM对提示注入的脆弱性，并缺乏将验证者批准绑定到最终链上提交的确切交易的机制。为此，本文提出了PACE（政策认证合约执行），一个交易级授权框架，介于基于LLM的代理和链上执行之间。PACE引入了类型化交易意图、确定性政策验证器和签名的政策决策记录（PDRs），这些记录在加密上将批准的意图、政策和模拟报告绑定到确切的执行字节上，并提供重放和过期保护。实验结果显示，PACE在安全执行率和假阳性率上显著优于无保护基线。
🔬 方法详解
问题定义：本文旨在解决去中心化金融中AI代理在交易执行过程中的安全性问题，现有方法在面对提示注入时缺乏有效的验证机制，导致潜在的安全隐患。
核心思路：PACE框架通过在LLM代理与链上执行之间引入一个交易级授权层，利用类型化交易意图和加密的政策决策记录（PDRs）来确保交易的安全性和可追溯性。
技术框架：PACE的整体架构包括三个主要模块：类型化交易意图的定义、确定性政策验证器的实现和链上PDR签名的执行。每个模块协同工作，确保交易在执行前经过严格的验证。
关键创新：PACE的核心创新在于其引入的加密PDR机制，该机制将批准的交易意图与执行字节加密绑定，显著提高了交易的安全性，区别于现有方法的简单验证机制。
关键设计：PACE的设计中，PDR的签名机制确保了交易的不可篡改性，此外，实验中还识别出宽松的政策设置和触及合约的白名单作为主要的安全组件。实验的气体开销在29,826至31,822之间，显示出良好的性能与安全性的平衡。
🖼️ 关键图片
📊 实验亮点
在实验中，PACE在40个任务上表现出色，实现了0.00的安全执行率和假阳性率，而无保护基线的安全执行率高达0.80。通过消融研究，发现宽松的政策设置和触及合约的白名单是主要的安全因素，显示出PACE在安全性上的显著提升。
🎯 应用场景
PACE框架具有广泛的应用潜力，尤其是在去中心化金融（DeFi）领域。通过确保AI代理在执行交易时的安全性，PACE可以增强用户对自动化金融操作的信任，促进更广泛的DeFi应用。此外，该框架的设计理念也可扩展到其他需要安全验证的自动化系统中。
📄 摘要（原文）
Autonomous AI agents are emerging as interfaces for decentralized finance (DeFi) actions such as swaps, lending operations, and yield management. Because these agents rely on large language models (LLMs) to plan transactions, they inherit the LLM's susceptibility to prompt injection and lack of mechanisms to bind a verifier's approval to the exact transaction ultimately submitted on-chain. We present PACE (Policy-Attested Contract Execution), a transaction-level authorization framework that interposes between an LLM-based agent and on-chain execution. PACE introduces typed transaction intents, a deterministic policy verifier, and signed Policy Decision Records (PDRs) that cryptographically bind the approved intent, policy, and simulation report to the exact execution bytes, with replay and expiration protection. A Solidity smart account enforces PDR signatures on-chain with a measured overhead of 29,826-31,822 gas. We evaluate PACE against six baselines on 40 tasks spanning four attack categories plus benign utility (2,800 trials, 10 seeds). In our deterministic sandbox, PACE achieves a 0.00 unsafe execution rate and 0.00 false-positive rate on benign tasks, compared to 0.80 for the unguarded baseline. Ablation studies identify permissive policy settings (+57.5 pp) and the touched-contract allowlist (+12.5 pp) as the dominant safety components. To test whether the same deterministic floor holds for real model outputs, the artifact additionally provides a three-model live-LLM evaluation over the full task suite with repeated runs. A mainnet-fork harness is included for archive-RPC deployments, but fork results are reported only when the corresponding artifacts are generated. These auxiliary studies are separate from, and never substitute for, the deterministic benchmark. We frame our claims as logic-level safety within a reproducible benchmark rather than deployment-ready DeFi security.