币圈从来不缺讲故事的人，缺的是能把故事在代码层面跑通的狠角色。作为长期把“保命优先”刻在脑门上的硬核玩家，我对“链上AI代理”、“可验证自动化层”这种堆砌词汇的缝合怪叙事向来是嗤之以鼻的。十个打着AI旗号的Web3项目，九个底层的逻辑连个高频交互的Python脚本都不如。与其盯着那些被宏观情绪反复收割的K线图，我平时更愿意躲进GitHub里去硬核拆解Sign Protocol的SDK，或者干脆狠下心租台顶配的“裸金属”服务器自己跑全节点查验真伪。

Bis vor Kurzem habe ich das Whitepaper von Newton Protocol ($NEWT) erneut durchgesehen. Dort wird die doppelte Sicherheitsversicherung vorgestellt: TEE (Trusted Execution Environment) in Kombination mit ZKP (Zero-Knowledge Proofs). Dazu kommt dieses zkPermissions-Mechanismus, der angeblich die Rechte des Agents begrenzen kann—erst das hat mich halbwegs zum Stoppen meiner Finger gebracht, die gerade dabei waren weiterzuwischen. Heute reden wir nicht über Glaubensbekenntnisse von Institutionen, sondern nehmen Newton Protocol von unten her auseinander—aus drei Dimensionen: technische Basis, Code-Sicherheit und Spieltheorie-Logik.

Verlockung des Narrativs: begrenzte Autonomie und die Idee von zkPermissions

Man kann nicht leugnen: Die Positionierung von Newton Protocol sitzt ziemlich genau. Sie versuchen, für die On-Chain-Ökonomie eine überprüfbare, automatisierte Schicht zu schaffen. Zusammen mit meinen bisherigen Erfahrungen, als ich in einer EVM-Umgebung Smart Contracts mühsam deployen musste, ist der größte Schmerzpunkt im On-Chain-Authorization-Bereich aktuell „Alles oder nichts“—du autorisierst entweder gar nicht, oder du gibst die Macht über Leben und Tod deines Wallets komplett an einen Dritten ab.

Newton liefert dafür die Lösung: „begrenzte Autonomie“ (Scoped Autonomy). Nutzer zeichnen dem KI-Agenten auf kryptografischer Ebene mit zkPermissions einen „Aktionsradius“ vor. Zum Beispiel kannst du festlegen, dass dieser Agent nur auf bestimmten DEX handeln darf, dass das Ausgabelimit pro Einzeltransaktion 1000 USDC nicht überschreiten darf und dass er nur innerhalb bestimmter Blockhöhen ausgeführt werden kann. Der Agent arbeitet im TEE—dieser „verschlüsselten Blackbox“—und erzeugt bei jeder Ausführung einen ZKP, den er auf die Kette wirft. So beweist das Mainnet: „Ich habe deine Grenzen strikt eingehalten und bin nicht an deine anderen Assets gegangen.“

Und dazu kommt, dass das Entwicklerteam ursprünglich aus dem Umfeld von Engineers an der University of Waterloo stammt—Magic Labs (kumuliertes Funding 90 Millionen USD, PayPal Ventures als Lead). Diese Logik-Kette ist tatsächlich ein paar Stufen höher als bei den Projekten, die einfach „einen Meme-Coin veröffentlicht“ haben und sich dann als AI-Infrastruktur ausgeben. Aber reicht das? Wenn du die dunkle Seite von Code und Hardware-Architektur wirklich durchdringst, wirst du merken: Dieses scheinbar unverwundbare Abwehrsystem hat in Wahrheit jede Menge Luft und ist undicht.

Der tödliche Achillesferse: die Hardware-Blackbox-Risiken von TEE

Die ganze Sicherheitsfundament-Logik von Newton stützt sich zu einem großen Teil auf TEE (z. B. Intel SGX). Im Whitepaper nennt man das „verifizierbare Integrität“. Klingt beeindruckend—aber wenn du als jemand, der Knotenbetrieb wirklich tief erlebt, darüber Bescheid weißt, wird klar: „trust the chip“ ist am Ende immer noch eine Form von zentralisiertem Trust.

Theoretisch ist TEE tatsächlich wie ein Tresor einer Schweizer Bank—aber in den realen Angriffs- und Verteidigungsschlachten wurden Hardware-Enklaven wie Intel SGX längst zu Sieben gemacht. Von Foreshadow über SGAxe bis hin zu diversen Downclocking- und Side-Channel-Angriffen sowie physischen Privilegien-„Ausbrüchen“ der letzten Jahre—das Wörterbuch der Hardware-Sicherheitslücken füllt eine ganze Wand.

Noch unheimlicher ist jedoch der logische Bruch: ZKP kann nur die Korrektheit des Berechnungsprozesses verifizieren, aber es kann die Echtheit der Eingabedaten absolut nicht prüfen. Was bedeutet das? „Richtig gerechnet“ und „mit den richtigen Daten verwendet“ sind komplett zwei verschiedene Dinge. Sobald ein Hacker über Side-Channel-Angriffe die höchsten Rechte im TEE-Umfeld erlangt oder die Input-Quellen manipuliert, erstellt der Agent weiterhin gewissenhaft ein perfektes Zero-Knowledge-Proof und wäscht deine Assets dann ganz legal aus. In der Kryptografie nennt man das „Garbage in, valid garbage out“. Sich darauf zu verlassen, AMD oder Intel setzen keine Hintertüren—als Sicherheitsannahme in einer dezentralen Welt ist das schlicht schwarzer Humor.

Nackte Sicherheitsgrundlage: 50 Punkte—CertiK und das schleppende Mainnet

Wenn du denkst, dass Hardware-Sicherheitslücken ein extrem unwahrscheinliches Ereignis sind, dann ist das Weglassen auf der Code-Ebene eine offen ausgelegte Mine.

Ich prüfe Projekte in der Praxis sonst schon ziemlich gründlich—selbst die Commit-Frequenz auf GitHub und die Antwortlatenzen der RPC-Endpunkte schau ich mir bis ins Detail an. Und Newton Protocol, als ein automatisiertes Protokoll, das Nutzer echtes Geld verwalten soll, bekommt bei CertiK Skynet für die Code-Sicherheit nur erschreckende 50 Punkte. Die Fundamentaldaten-Gesundheit liegt sogar bei nur 30 %.

Was bedeutet 50 Punkte? Es ist ungefähr so, als würdest du in einer Klausur ohne Hilfsmittel selbst bei Multiple-Choice-Fragen danebenliegen. In der Historie der Code-Audits steht dort unübersehbar: „Nicht von einer zertifizierten Institution auditiert“, und für den Third-Party-Audit heißt es „keins“. Ein Projekt, das selbst die grundlegendste Sicherheitsbasis nicht erst noch verstärkt—oder sie zwar verstärkt hat, aber den maßgeblichen Tests nicht standhält—und dem du dann die Private-Key-Rechte für sein Smart Contract gibst?

Schauen wir uns außerdem den Umsetzungsfortschritt an. Wie stark ist der Wettbewerb im Bereich KI-Agenten gerade? Phala Network hat TEE-basierte Phat Contracts längst in vielen Varianten durchgespielt, und io.net hat bei dezentraler Rechenleistung bereits mehrere Iterationen hinter sich. In dieser „Fleischwolf“-Rennstrecke, in der „drei Monate zu spät“ einem ganzen Zeitalter hinterherhinkt, dreht sich Newton nach über einem Jahr Launch noch immer in der Beta-Phase. Diese langsam getaktete Lieferung wird zwangsläufig vom realen TVL und den echten Call-Volumes bestraft.

Die ökonomische Mathematik des Zusammenbruchs: massenhafte Unlocks und das umgekehrte Verhältnis der Kosten fürs Fehlverhalten

Zum Schluss rechnen wir die wichtigste wirtschaftliche Rechnung aus. Das ist auch der letzte Strohhalm, der mir endgültig die Idee nimmt, mich aktuell einzuklinken.

In Newtons Design gibt es einen scheinbar perfekten Mechanismus aus „Aufbau von Reputation“ und Strafe: Knoten müssen $NEWT-Token als Kaution hinterlegen. Wenn ein KI-Agent Ärger macht, werden die staked Coins eingezogen und als Entschädigung für die Nutzer verwendet. Im Idealfall gilt: Die Kosten für Fehlverhalten sind höher als der Nutzen—das System ist sicher.

Aber diese Logik zeigt heutzutage im Jahr 2026 bereits deutliche Anzeichen für eine schwere Todesspirale. Am 24. Juni 2026 erlebte Newton einen massiven Unlock von bis zu 37,22 %—etwa 139 Millionen Token wurden wie eine Flut an den Markt gespült. Der Wert dieser freigegebenen Tranche machte zeitweise rund 64,9 % der zirkulierenden Marktkapitalisierung aus. Die wahnsinnige Freisetzung seitens Early Investors und Teamanteilen zapfte direkt die Liquidität aus dem Orderbuch ab.

Wenn der Tokenpreis in einen Lawinenrutsch fällt, wird dieses vermeintliche „Sicherheits-Staking-Modell“ zur Farce. Stell dir vor: Ein Agent kann über das Manipulieren von Rechten einen Liquiditätspool im Wert von 100.000 US-Dollar abziehen. Und die gestaketen $NEWT—wegen des Kurseinbruchs—werten auf dem Sekundärmarkt jetzt nur noch 10.000 US-Dollar. Welche Wahl wird er treffen? In absolutem Interessegefälle kann die Straf- und Einziehungsmechanik den Verlust der Nutzer schlicht nicht decken. Das ist keine Strafe—das ist auf Systemebene eine Aufforderung für Hacker, Arbitrage zu betreiben.

Schlusswort und Diskussion: notwendige Ursünde oder eine Sackgasse?

Zusammengefasst ist Newton Protocol derzeit ein typisches „Narrativ ist weit größer als Sicherheit“-Halbfertigerzeugnis. Die Idee von zkPermissions ist ausgesprochen innovativ, die papierene Stärke des Teams steht außer Frage—aber die Blackbox-Risiken von TEE, die nackte Sicherheit mit 50 Punkten, der massive Kapitalschlag durch riesige Unlocks und die schleppende Lieferung: Diese vier großen Berge drücken sich auf alles. Jede einzelne schwere Position wäre ein Verrat an der Vernunft.

Für dieses Projekt ist meine Strategie sehr klar: die Untergrenze „Leben zuerst“ kompromisslos halten—und als Beobachter nur mitlaufen. Erst wenn im echten Mainnet TVL erfolgreich läuft, die CertiK-Bewertung auf über 85 steigt, der vollständige öffentliche Auditbericht veröffentlicht ist und der Verkaufsdruck des Unlock-Peaks vom Markt vollständig verdaut wurde, werde ich überhaupt nicht einmal daran denken, mit dem Geld, das ich locker habe, hier anzufassen.

Zum Schluss werfe ich die Frage allen wirklichen Kennern von On-Chain-Interaktionen zu:

Ist diese „Hardware-Blackbox“-Achillesferse von TEE im aktuellen kryptografischen Rahmen wirklich grundsätzlich lösbar? Wenn man ein hybrides Architekturdesign mit „TEE-Cluster-Multisig + ZK + MPC (Secure Multi-Party Computation)“ verwendet, kann man die Trust-Lücke dann vollständig zunähen? Oder bedeutet es, dass solange wir echte Chips verwenden, diese als „notwendige Ursünde“ für Web3-Infrastruktur für immer existieren wird?

Willkommen in den Kommentaren—hinterlasse deine fundierten Meinungen.#Newt $NEWT #技术分析 #AI代理代码拆解 @NewtonProtocol