原生智能体（Agent-Native）交易所：让系统在人工智能不可信时仍然安全
记录一次关于"如果交易所里全是 Agent 会怎样"的设计推演——过程、进展、和结论。
起点：一个很小的想法
最初的想法很小：让 Agent 自动上币。让它去发现哪些标的值得上架、去接入、上架、铺单做市、发公告，然后用户就能开仓交易。一条现有的人工运营流水线，逐个环节换成 Agent。
但推下去我意识到，这只是 agent-assisted，不是 agent-native。前者是"用 Agent 替掉每个岗位的人"，天花板是降本增效；后者要问一个更狠的问题：如果这个交易所从第一行代码起就假设交互主体主要是 Agent 而非人，它的原语（primitives）会长什么样？
视角一反过来，很多为人类设计的中间层立刻变得冗余甚至有害。比如"上币"这件事本身可能就不该存在——人类需要一个"这个币现在能交易了"的离散事件、需要 K 线、需要公告；但 Agent 要的只是一个可定价、可对冲、有流动性来源的合约规格。上币于是从"运营决策"变成"流动性涌现"，做市 Agent 的竞争也不再只在价格上，而是在造什么合约上。
方法：用两把镜子，加一个现实的锚
我没有凭空空想，而是用了两套思维工具来回切：
系统论—控制论：诊断"为什么这个系统会这样、怎么干预才有效"。
TRIZ：当遇到"既要 A 又要非 A"的两难时，用它来破矛盾、造解、并预测演化。
再加一条纪律：任何结论都要拿现实里跑着的系统去锚定，不锚就是空中楼阁。这次的锚是 Hyperliquid 的 HIP-3。
几次关键的反转
第一次：1 和 3 是同一个问题的两面。 我挑了两个最想深挖的点——合约设计的竞争市场，和系统性风险。推了一会儿才看清：前者是在扩张可能性空间（让"什么合约能存在"从固定列表变成持续生成），后者正是这个被扩张的空间叠加机器速度的对手方，导致负反馈来不及收敛、系统从渐变跌进飞跃（闪崩）的危险。所以最优雅的设计不是把"创新"和"防风险"分开建，而是让创造合约的那个机制，本身就是约束系统性风险的那个调节器。
第二次：闪崩是症状，不是病因。 用控制论拆，系统性风险的病因有二：一是 Agent 同质化（必要多样性不足，Ashby），大家用同一个模型就会在同一瞬间一起撤流动性；二是反馈速度跟不上，人类那种"暂停 15 分钟"的熔断在机器市场里等于失效。所以干预必须落在最深的一层——改可能性空间的结构本身，而不是最浅的"加个熔断器调参数"（那一层会被机器速度直接吸收）。
第三次：信任根放代码，不放 Agent。 LLM 的概率底座决定了它不能承载确定性工作流。但这只解决了一半——判断（给新合约的尾部风险定价）这一侧还在。真正的设计变量不是"代码还是 Agent"，而是：判断在哪一点被冻结成一个代码可校验的数字？包络留多宽？ 太宽，Agent 能把系统推出安全区；太窄，就退回成一个死参数交易所。
第四次：其实大半是"伪矛盾"。 用 TRIZ 的真伪矛盾检查逐条过"柔 vs 刚"：判断发生在定价时、确定性执行发生在运行时——不是同一时刻，时间分离即可消解；"会判断的"和"可被信任的"必须是同一个东西吗？这是个隐含假设，分开就行。削掉伪的部分，剩下的真核很窄。而 TRIZ 的理想解（IFR）指向一个更漂亮的方向：不要造一个可被收买的定价者，而是让定价成为一个押注竞争市场的涌现属性——提议的 Agent 拿自己的钱下注，出错自己先亏，代码只管托管质押和罚没。Agent 会错、会被诱导、会羊群——这些缺陷不再要紧，因为它在拿自己的钱赌。
现实的锚：HIP-3 与那场闪崩
推到这里我去看 HIP-3，发现它几乎就是这套设计的活体版本，而且已经上线大半年了：质押一大笔代币才能 permissionless 地部署一个永续市场，部署者掌控预言机、杠杆、费率等参数，恶意或失职最高罚没全部质押。几个细节尤其点醒我：
它的罚没是按效果的、不看动机，而且主观中立——协议层只惩罚客观的正确性违规，主观对错交给上层。这等于独立印证了"信任根放代码、判断不进执行层"。
罚没的钱是销毁，不补偿用户——因为一旦流向受害者，就会催生合谋和"制造事故套保证金"。这提醒我：我想要的"自动首损补偿"不是免费的，它带着一个被 HIP-3 刻意回避掉的道德风险。
文档自己写着"最终形态不应需要罚没、最可能的结果是从不发生"——这就是 TRIZ 的理想解：最好的威慑是从不触发，因为结构让作恶变得无意义。
然后现实给了一记更硬的教训。2026 年 5 月，一个做私有公司（SpaceX 等）合成永续的平台，因为单一链下预言机源返回了错误数据，标记价在约半小时内暴跌 45%，触发连环清算。这场事故几乎把我们讨论的所有风险一次性演示了一遍：
它回答了我一直悬着的问题——在"预言机→标记价→清算"这条快路径上，根本没有留给任何判断或挑战的时间。所以 Agent 能贡献价值的地方全在事前（选标的、设包络、定 bond、设计预言机的源冗余）；运行时是 Agent 的禁区，只能跑确定性代码。
但隔离起作用了：平台代币当天几乎没动，市场把它当成孤立事件而非系统性风险。一个市场炸了，传染被关在自己的市场里。
而善后是裁量式补偿，不是机制自动首损——不可预期、不可审计。这恰好是我们设计要机械化的地方。
经济模型与一记冷水
经济模型可以参考那套"手续费→持续回购代币"的飞轮，但我们抄不干净：那套飞轮之所以强，是因为要喂的嘴少；而我们的设计多了一个它没有的角色——独立的、自押保证金的监控者。索取者一多，要么回购强度下来（代币叙事变弱），要么挤压监控者（削弱刚设计好的安全层）。这是个真实的经济矛盾，不是一张分配表能糊过去的。
而最该记下的一记冷水，是关于 PMF 的。把信号分三层看：
A 层——permissionless 长尾/异类市场（股票、商品、pre-IPO）：已验证，很热。这半年的增长几乎全来自这些新品类，纯加密成交反而在下滑。
B 层——Agent 替用户交易：有真实牵引，但被信任和骗局卡住，连监管都发了消费者警告。
C 层——"整个交易所内部全是 Agent"这个特定论点：没有任何直接的 PMF 证据。
于是最诚实的判断是：用户根本不想要"一个 agent-native 交易所"。 他们要的是别处上不了的市场、更紧的价差、7×24、安全、低费。Agent-native 是实现这些的手段（看不见的后台引擎），不是面向用户的卖点。 最大的产品风险，是"为了 Agent 而 Agent"。
脊梁
推了这么多轮，所有结论其实收敛成同一句话：
永远不要指望一个概率性、可被收买的组件是对的；而是把系统结构设计成——当它错的时候，损害是有界的。
它在每一层重复出现：有界合成（不让任意合约出生）、市场隔离（一个炸了不传染）、风险定价的自押保证金（创造者的错由它自己的钱兜）、Agent 只在事前（运行时是禁区）、监控者只有单调朝安全的非对称权限（看守者的错只会过度谨慎）。
这也顺带重新定义了"让 AI 真正融入"：不是 AI 无处不在，恰恰是想清楚哪里坚决不放 AI。 AI 的价值是人类无法规模化的那部分劳动——7×24 地覆盖成千上万个长尾市场的判断与广度；但它绝不能上确定性关键路径。融入的深度，由你划这条边界的清晰度决定，不由 Agent 的数量决定。
进度与下一步
现在手上有一份 v0.1 的架构、一个 MVP 仿真验证计划（注入羊群冲击，对照有无非对称监控，看系统留在稳定盆还是跌进飞跃）、一版经济模型、和一份三层 PMF 判断。
下一步是我最喜欢的一个转折，也来自一条方法论原则——把问题包含进框架，而不是回避它（这正是 TRIZ 的"变害为利"）。agent-native 下，高频军备竞赛不会消失，反而加剧：Agent 更快、不知疲倦，会去抢预言机更新的时点、抢撮合顺序。与其用摩擦和禁令去压，不如用频繁批量撮合让"更快"在关键缺口上变得毫无价值——而且它顺手给出离散快照，把之前"快路径没有干净快照"的卡点一并解掉。一个结构改动，内化掉好几个害。这是下一轮要对着真实撮合引擎代码去钻的东西。
还有三个我没敢拍板、需要运营现实来定的问题：监控者的经济平衡、自动首损的道德风险折中、以及"agent-native 是手段不是卖点"这个战略选择该怎么重排产品叙事。
留在这里，作为一次推演的存档。结论不重要，重要的是那条脊梁——让系统在 AI 不可信时依然安全——我认为它不止适用于交易所。
