去中心化智能产品如何分配上下文和工具
把模型接到钱包和合约上，并不会让产品天然去中心化。更重要的是区分两类东西：模型生成答案所需的上下文，以及会造成外部影响的工具调用。前者关心隐私、检索质量和延迟；后者关心权限、金额、可撤销性和用户授权。把两者混在同一个 Agent 进程里，是最不该省的设计成本。
上下文默认按敏感数据处理
对话记录、地址关联信息和私有知识库不能因为使用分布式存储就变得可公开。若需要存储在链下网络，应先加密，并清楚定义密钥由谁控制、设备更换时怎样恢复、数据删除或撤销访问怎样处理。哈希或引用上链也可能暴露关联关系，是否上链应由验证需求决定，而不是为了贴上“去中心化”的标签。
检索服务可在链下运行，但需要记录文档版本、权限过滤和失败原因。模型拿到的上下文应该是最小必要集合，不能把整份用户历史与系统密钥一并塞进提示词。检索结果不等于事实，涉及资产和账户状态时仍要从权威链上或服务端来源再次读取。
工具调用必须是受约束的意图
模型可以提出“准备转账”或“调用合约”的候选意图，但它不应持有私钥，更不能自行广播无限制交易。工具层先校验目标链、合约白名单、方法、参数、金额、额度与截止时间，再交给用户钱包、多签或隔离的签名服务。高风险操作应要求明确确认。
type Intent = { chainId: number; target: string; value: bigint; approved: boolean };
function mayRequestSignature(x: Intent): boolean {
return x.chainId === expectedChainId && allowedTargets.has(x.target) && x.value <= valueLimit && x.approved;
}
这个函数只是入口检查。真实系统还需要显示人类可读的交易摘要，处理 nonce、失败、替换交易和确认状态。模拟调用只能帮助发现部分 revert，不能保证随后执行时的价格、区块状态或排序不变。交易未确认前，Agent 不能把动作写成“已完成”。
用可审计的边界连接两层
每次工具请求都应有来源、模型版本、用户确认、参数摘要和结果状态的审计记录，日志中不放私钥和完整敏感上下文。权限要可撤销，session key 要有作用域和过期时间，异常时能停止自动请求并通知用户。
是否采用链上验证、可信执行环境或零知识证明，要从需要验证什么开始判断。它们都不能替代输入校验和授权设计。一个可靠的去中心化智能产品，不是让模型拥有更多权力，而是让模型的建议、用户的决定和链上的执行之间有清楚且可检查的边界。
在测试网和正式环境分别验证这些边界：拒绝的意图是否不会触发签名，撤销权限后旧会话是否失效，链上失败会不会被错误地记为完成。只有把失败路径也纳入产品状态，用户才有能力判断下一步该做什么。
同样要测试模型输出异常、工具超时和索引不可用时的展示。系统应诚实说明无法完成什么，而不是用看似肯定的文字掩盖未知状态。
