本文研究了一个关键的安全解释缺口：传统金融安全控制通常以单笔交易为粒度进行审批，但真实的市场操纵行为可能分散在多个消息、智能体、资产和时间周期中，单笔交易的合法/非法判定无法覆盖这种跨维度的复杂行为。作者在一个由十个角色化语言模型智能体构成的虚拟交易所中进行了实验：这些智能体可以相互通信、交易参考资产和期货、发行代币并管理集中流动性池，同时被赋予明确的对抗性角色设定。研究通过两条时间盲化的每小时回放路径，在启用或禁用 runner 侧钱包策略的情况下，分析了八个 72 周期轨迹，并保留所有生成消息、策略事件、余额、持仓和周期末市场状态。焦点重建展示了一个完整的“发行—推广—退出”场景：智能体通过私人协调、公开声明、追随者建仓、反复延迟退出，以及一个最终与代币余额变化对齐的非阻塞请求，成功实现了操纵流程，而每一步单独看都未触发策略拦截。实验发现：在启用策略时，门控只会选择性地扣留直接请求，对大多数策略分类候选只是标记而非阻止，且交互过程仍可继续；此外，重复运行显示，即使归一化分数变化排名不一致，类别级和轨迹内部的关系也可能重现。这些结果说明，仅依赖单交易审批结果作为完整安全判断是不充分的，安全评估应将通信、授权和动态状态关联起来。该研究适合 LLM 智能体安全、金融安全、对抗机器学习及 AI 治理方向的研究人员阅读。

本文针对智能体金融（Agentic Finance）中授权与推理混淆的问题，提出了一种基于意图的权限隔离架构（Authority-Inference Separation, AIS）。核心思想是：AI智能体能够选择工具、交易对手和交易参数，但推理本身不应赋予执行金融操作的权力。AIS将金融操作意图作为控制对象，机器生成的提案只有在经过独立确定性控制平面验证后，才能获得临时的可执行授权。该控制平面验证包括注册的智能体身份、责任所有者、授权和风险偏好血统、策略版本、状态、审批以及精确的经济语义。区块链随后用于强制执行已授予权限的操作表示，并记录可移植的结算证据，而机构合法性、服务交付、会计分类和人类责任仍然保留在链下。评估采用了四个域实例化、官方BIS和MAS案例、一个包含48个fixture的可执行原型以及公共账本可观察性测试。在36个合成授权攻击中，直接智能体基线接受了全部36个攻击效果，提示策略基线接受了20个，而AIS零接受；同时，三个方法都接受了8个合法fixture中的全部8个。AIS还拒绝了4个token重放攻击、8个收款人或通道替换，在4个服务交付失败中中止了完成，并填充了全部13个定义的证据字段。对1700笔与公共x402协助方地址相关的Base交易进行的测试表明，公共账本能够提供结算和部分授权参数的证据，但无法确证机构授权、法律问责、服务交付或会计处理。因此，AIS与区块链是互补的：AIS决定某个特定意图是否可以行动，而区块链使被授予的权限具有边界性、可执行性和独立可观察性。