安全就是协议。
六个神经网络——ConsensusAI、VMGuardian、SmartForge、NetOptimizer、Sentinel 和 SentinelDex——作为核心协议组件持续运行，而不是可选插件。这条链结合了后量子密码学（NIST FIPS 204，ML-DSA-65）、强制性的部署前 WASM 安全闸门、带链上 NFT 证书的部署后持续监控、基于会话密钥的原生账户抽象，以及用于免信任客户端验证的浏览器 WASM 模块。
它针对 Web3 安全的四个结构性缺陷：审计成本、量子脆弱性、部署后缺乏持续监控，以及“链上行动总需要一个手握主密钥的人参与其中”的假设。
审计只做一次。漏洞利用却不止一次。
大多数 Web3 基础设施使用 ECDSA 或 Ed25519——在足够大的量子计算机上会被 Shor 算法攻破。NIST 已于 2024 年定稿后量子标准（FIPS 203/204/205）。NeuroChain 从第一天起就使用 ML-DSA-65（Dilithium3）。
专业审计花费数千美元、耗时数周；大多数已部署合约未经审计就上线。NeuroChain 让审计成为强制、自动且即时的环节——每次部署之前进行，成本几乎为零。
传统审计只是某一时刻的快照。VMGuardian 持续循环地重新审计每个已部署合约，并签发反映当前安全评分的链上证书。
让软件代表你进行交易，通常意味着直接把私钥交给它。NeuroChain 则将限定范围、可撤销的会话密钥做成原生原语。
六个模型，一个协议。
评估验证者信任度，依据提议的区块、投出的票和时效在链上重新计算，并驱动 jail/slash。提议者本身按质押确定性地选出，因此所有验证者对其达成一致；该模型从不触及 2/3 安全法定人数。
WASM 字节码安全。一个 10→32→16→1 的 MLP 内嵌于 Rust/WASM（不依赖 ONNX/libm），在真实 CosmWasm 合约和漏洞利用模式上训练。线性、感知指令的特征解码器。0.3×ML + 0.7×启发式，并带有分布外保护。
根据自然语言描述生成合约。返回符合意图并带有安全注释的 WASM 模板，可直接进入部署前闸门。
P2P 路由与分片负载均衡——尽量减少消息跳数，并在分片之间均衡验证者负载。
交易风险。依据金额、gas、nonce 间隔、频率和收款方新颖度为每笔 TX 评分，结果由已提交区块确定性得出。响应是分级的：低风险直接通过，较高风险被暂扣并留有取消窗口，高风险需要所有者本人的密钥。
交易所风险。依据价格影响、储备占比、min_out 余量和频率为每次兑换、资产转账和提现评分，训练数据来自已公开事件分析中的攻击类别。它从不拒绝：高分会暂扣操作或要求所有者的密钥。
NeuroConsensus — Malachite（Tendermint BFT）
共识采用 Malachite（Informal Systems）——以嵌入式 Rust 库形式实现的 Tendermint BFT，安全性与活性均已证明。它对签名方案是泛型的，因此抗量子的 ML-DSA-65 可以直接接入。提议者选择按质押加权且是确定性的，因此每个验证者对同一高度和轮次都算出相同的提议者；AI 只在移除验证者是安全的地方发挥作用——jail 和 slash 将投票权设为零。AI 从不改变 2/3 提交法定人数——拜占庭安全证明得以保持。
共识： Malachite（informalsystems-malachitebft-*），每个分片一个实例 签名： ML-DSA-65（Dilithium3）——作为 Context::SigningScheme 接入 提议者： 权重 = 质押；确定性 seed = height·1_000_003 + round 验证者： 共识密钥只签署区块；验证者由所有者钱包运营 证据： 基于 gossip 的双签检测器 → 销毁 + jail 应用： 状态模块（apply_tx、Merkle 状态根、内存池）= 状态机
分片——上线时一个分片，设计上支持多个
网络以一个分片上线。分片引擎保留在代码中，并在双分片测试序列中运行：每个分片运行自己的 Malachite 实例和自己的验证者子集，跨分片转账成为目标分片区块中的一笔交易，只有在其扣款依据源分片验证者认证的区块验证通过后才会入账。扩展到更多分片是一次计划内的迁移，而不是一个开关。
account_shard = FNV-1a(addr) % n_shards 各分片高度独立跟踪 跨分片： 扣款（源区块，已认证）→ receive tx（目标区块）→ ack | refund global root = SHA3-256(shard_0_root || … || shard_n_root)
状态——RocksDB、Jellyfish Merkle 树与经认证的快照
Accounts · Blocks · Txs (+ from/to/block/ts) · Stakes · Delegations · Rewards Nodes · Humans · Contracts · Contract-state · Events · Models · Proposals · Votes Certs · Oracle · Vault · Cross-shard (+ index) · Params · NFT · Slashes · Evidence Checkpoints · Templates · Meta — 共 41 个 CF 账户的 Jellyfish Merkle 树，按每次变更更新（无需每个区块完全重建） 对每个共识列的 lattice-hash 承诺 → 每个区块一个状态根 状态同步：新节点恢复一个由提交证书（>2/3 质押）验证的快照 防双签：验证者绝不会对同一高度签名两次，即使在恢复之后 供应不变量：每个节点检查其账本等于其持有量
原生资产与批量拍卖交易所
资产是链的原生资产，而不是合约。兑换排入每个区块的批次，资金池两个方向都以同一个统一价格成交——区块内的顺序无法被用于三明治攻击。每次兑换都带有最低输出。NRO 是手续费货币，不是资金池资产；投票可以改变这一点。SentinelDex是一个独立模型，在共识中为每个 DEX 操作评分：有风险的操作要等待取消窗口结束，或需要所有者确认。
后量子密码学
TX + BFT 签名： ML-DSA-65（Dilithium3）——NIST FIPS 204，无回退
地址派生： 助记词 → SHA3-256 → ML-DSA-65 密钥对
address = neuro:<SHA3-256(pubkey)[..15]>.human (address = f(pubkey))
浏览器验证： WASM 中的 ML-DSA-65
路线图： ML-KEM (FIPS 203) · SLH-DSA (FIPS 205)每次部署，都由 AI 审计。
VMGuardian 是 Rust 节点内部强制性的部署前闸门——在 API 层面无法绕过。该模型是一个 897 参数的 MLP，内嵌于 Rust/WASM，不依赖 ONNX 或 libm，在真实主网合约和已知漏洞利用模式上训练。评分将一个小型 ML 组件与启发式规则引擎相结合，并带有分布外保护：两者意见不一致时，回退为仅使用启发式。
deploy TX → apply_tx:
1. 校验 WASM magic + 大小上限
2. hash(bytecode); 在白名单中？→ 跳过闸门，最高分
3. analyze(bytecode) → risk_score + violations[] （ML 混合 + 线性解码器）
4. risk ≥ deploy_risk_threshold？→ 拒绝 + 记录 | 否则部署
security_score = 由 (1 − risk_score) 推导检测规则
动态 call_indirect 之后紧跟存储写入——这是 DAO 黑客事件和数十起 DeFi 漏洞利用背后的经典资金抽取途径。
没有结构性边界的循环——gas 消耗攻击 / DoS。通过 O(n) 控制栈分析检测（取代了此前的 O(n²) 扫描）。
存在 memory.grow——合约可在运行时分配任意内存，有导致宿主 OOM 或 gas 消耗攻击的风险。
大量宿主函数导入——一旦任一宿主函数存在漏洞，攻击面就更大。
特征提取器是一个线性、感知指令的 WASM 解码器——单次遍历即可正确跳过立即数和前缀操作码族，堵住了早期逐字节扫描方法中的拒绝服务漏洞。
真正的 WASM，按 fuel 计量。
合约是由 wasmi 解释器运行的真正 WebAssembly，采用基于 fuel 的 gas——而不是模拟。宿主函数提供真实的存储、余额、转账、跨合约调用，以及经节点验证的上下文（调用者、区块高度、历史质押）。
get_storage / set_storage — 按字节计价，防状态膨胀上限 get_balance / transfer — 转账依据合约余额校验 emit_event / set_return — 事件 / 调用返回数据 call_contract — 同步跨合约调用（深度有限） get_caller() — 经节点验证的 TX 签名者（不是客户端提供的字段） get_block_height() — 经宿主验证的高度（时间锁无法伪造） get_stake / get_stake_at — 实时 + 历史质押（快照投票）
Out-of-gas → trap → revert，100 毫秒以内 存储按字节计价，“gas 便宜、磁盘昂贵”无法造成 DoS 地址后缀：.human · .node · .app · .vault · .agent ——按角色区分类型，而非装饰
能够自我稳定的费用。
EIP-1559 风格的自适应费用市场。每个区块记录一个基础费，它随区块填充目标而变动。费用在销毁（通缩）和区块提议者之间分配。所有内部运算都使用最小计价单位；服务器为每个金额字段附上人类可读的值，因此前端从不自行换算单位。
base_fee：高于目标 → 上调 · 低于目标 → 下调 · 等于目标 → 不变 fee = gas_used × (base_fee + priority) → base 在销毁/提议者间分配，priority 归提议者
在浏览器中验证。
一个紧凑的 WASM 模块运行与节点相同的 Rust 验证逻辑——因此客户端结果无法被服务器伪造。它包含用于证明的 ML-DSA-65 签名验证。
发送前在本地验证 TX：余额、nonce 序列、gas 估算。成功时返回 null，否则返回错误字符串。
对 WASM 字节码运行 analyze_v2 混合评分（ML + 启发式）——risk_score、model、ml_score、issues[]。浏览器内的结果会先于任何 API 往返返回。
验证节点对 VMGuardian 评分的 ML-DSA-65 签名——这是服务器证明徽章背后的免信任证明。
SHA3-256 Merkle 路径验证，与节点自身的状态模块完全一致。检查点交叉校验会获取一个独立的根，以识破撒谎的节点。
约 115 KB · 与节点自身状态模块相同的 Rust 源码 懒加载 + 预热 · IndexedDB 缓存（以哈希为键）· 依据版本清单自检
你的代理可以在链上行动。它永远看不到你的主密钥。
大多数链把账户抽象作为智能合约钱包标准外挂上去。NeuroChain 则把会话密钥、赞助 gas 和代理身份视为协议原语——与处理普通转账的是同一层。
.human 或 .agent 账户可授予一个限定范围、可撤销、带有独立支出限额的密钥。每个会话密钥操作仍然要签名，仍然在共识路径上验证——会话密钥是受约束的凭证，而不是后门。
地址按角色区分类型：.human、.node、.app、.vault 和 .agent。.agent 地址是为自主或半自主行为体打造的链上身份，而不是临时装扮成代理的个人钱包。
状态中的 gas 池原语让代理在起步时无需持有自己的余额即可交易——省去了“先给机器人充值，它才能做任何事”这一经典接入步骤。
会话密钥的权限由授权限定，而不是取决于对持有它的软件的信任。撤销授权是一项签名的链上操作，而不是提交客服工单。
代理能发起的风险最高的操作，恰恰是它无法完成的：确认只能由所有者的主密钥完成，而会话密钥在共识检查本身中就被禁止确认。委托始终只是委托——代理执行，所有者依然做决定。
一个独立的 MCP 服务器提供读取工具（余额、浏览器数据、模型注册表）和写入工具（转账、质押、合约调用），其权限受会话密钥约束——因此由 LLM 驱动的代理可以在人类事先设定的限额内在链上行动。
会话密钥转账如何获得授权
grant：所有者签名 { session_pubkey, scope, spend_limit, expiry } → 由共识记录
agent tx：由会话密钥签名 → apply_tx 检查授权有效、在 scope 内、未超限额
revoke：所有者签署 revoke 操作 → 授权从下一个区块起失效，无需等到 expiry特权操作——授予、撤销、提高限额——仍然需要所有者的主密钥。会话密钥只能在授权有效期内做其范围允许的事情。MCP 服务器把这一能力直接开放给 AI 代理：用于读取链上状态的读取工具，以及使用会话密钥签名的写入工具（转账、质押、合约调用）——因此由 LLM 驱动的代理在人类事先设定的限额内交易，而不是事后补救。
NRO——一种审计额度。
代号 NRO · 固定供应量 · 基本单位 uNRO（1 NRO = 1,000,000 uNRO） 每个区块都会销毁一部分 gas 基础费（通缩）· L1 原生单位
NRO 用于支付 gas、验证者质押、按质押加权的治理、高级地址注册和合约生成。.human 地址免费——由助记词派生，无需 NRO。购买的名称是一个 NFT，也是其所有者地址的别名：发送给它的一切都会到达所有者地址，并且它随 NFT 一起转移。按长度定价以及在售的最短名称都是治理参数——名称从五个字符起开放，更短的需经投票。
按质押加权，抵御闪电攻击。
委托：佣金有上限；委托人获得 reward × (1 − commission) 罚没：双签 → 销毁 + jail（投票权为零）；在销毁与举报者奖励之间分配
快照投票
治理读取的是投票者截至某个过去区块的质押——来自一份只追加的检查点历史，每次 stake/unstake/register/slash 都会写入。提案在创建时确定其快照区块，因此在投票前临时质押不会带来任何额外权重。
治理 DAO
链上 DAO 模板实现了时间锁、快照投票和监护人（仅能取消）。投票者身份来自经节点验证的调用者身份，绝不来自 payload 字段。执行是原子性的——任一操作失败都会回滚整个提案。
propose → cast_vote（权重 = 快照时的质押）→ queue → timelock → execute quorum = 快照时总质押 × quorum_bps · approval = for / (for + against) 监护人可取消恶意提案；若提案人质押跌破阈值，任何人都可取消
签名证明所有权。
.human 地址在数学上与其密钥绑定（address = SHA3-256(pubkey)[..15]），并由同一个 ML-DSA-65 密钥对签名——因此对转账的有效签名即可证明所有权，无需首次使用即信任。转账在每个节点的 apply_tx 内部验证（共识层，拜占庭安全）。其他每项操作都完整签名：签名覆盖其作用的每个字段，因此无论区块提议者还是中继节点都无法更改收款方、金额或投票，钱包也会在签名前展示该操作。
地址由公钥派生，但控制它的密钥集合保存在复制状态中。密钥可以轮换或替换而不丢失身份：轮换是一笔交易，其签名必须既能控制当前身份，又覆盖确切的变更内容，因此提议者既无法伪造它，也无法替换它。
丢失全部密钥的所有者事先指定监护人；恢复由他们通过共识发起并批准，而不是由客服处理。任何人，包括验证者，都无法对未指定他们的身份发起恢复。
特权操作——投票、NFT 转移、会话密钥授权、vault 付款——由节点准备，并在其专属域下对其作用的每个字段签名。提议者或中继节点只要改动一个字段就会破坏签名，共识会拒绝它。每项资产和 DEX 操作同样如此，其金额由节点在钱包签名前换算。
钱包签的就是它展示的内容。资产和 DEX 操作附带由节点依据确切 payload 生成的人类可读摘要；任何内容都不会盲签，针对非当前解锁钱包的请求会被拒绝。
共识密钥只签署区块。每个验证者——包括创世验证者——都由创世配置中指定的所有者钱包运营，就像 Cosmos 的运营者账户或以太坊的提款凭证那样；没有所有者的付费地址不接受任何密钥。
购买的名称是其所有者的别名，付款归所有者，并可作为 NFT 转让。协议名称以及由治理维护的保留名称注册表，对除投票允许的所有者之外的所有人关闭；形如密钥派生地址的名称永远无法购买。资产代号和资产名称也以同样方式检查。
apply_tx 在每个节点上为每笔已签名转账验证签名并固定密钥——拜占庭提议者无法让伪造转账骗过跟随者。
VMGuardian 在合约进入状态之前扫描每个 WASM 合约。风险达到或超过阈值即直接拒绝。没有 API 后门；治理紧急开关和按哈希的白名单仅用于紧急情况。
后台循环重新审计已部署合约；评分出现有意义的漂移时，会通过共识铸造一笔证书更新交易。Sentinel 在每笔交易进入内存池之前为其评分，结果由已提交区块确定性得出，因此每个节点得到相同的数值。
投票权重是提案快照区块时的质押，取自只追加的检查点历史——在投票前临时质押不会带来任何额外权重。
AI 模型版本通过 BFT 交易注册，设有仅限验证者的闸门和超级多数投票法定人数；权重通过 P2P 同步并自动激活。
一个紧凑的 WASM 模块运行节点自身的 Rust 验证逻辑——TX 检查、字节码扫描、Merkle 证明和 ML-DSA-65 证明——因此客户端结果无法被不诚实的服务器伪造。
链上 NFT 安全证书
{ "contract_hash": "WASM 字节码的 sha3-256",
"security_score": 92, // 由 VMGuardian 计算，而非客户端提供
"violations": [], // 干净合约为空
"certified_by": "neuro:vmguardian.node",
"level": "Bronze | Silver | Gold" }
部署时铸造，评分出现有意义的漂移时由监控循环更新
在浏览器中从部署交易链接以一条命令交付。
docker-compose up -d # 节点 + 网关 + Web docker-compose --profile monitoring up # + Prometheus + Grafana 所有配置均通过环境变量完成，没有硬编码值
指标：区块高度 · 对等节点数 · 内存池大小 · 总质押量
基础费 · 已销毁费用 · 按规则统计的部署拒绝 · 模型注册表状态
限制：按 IP 的 RPC 和 P2P 限流 · 网关限流 · 全面使用饱和运算哪些已交付，接下来做什么。
保护这条链的模型足够小，小到可以被证明。这就是方向：安全审计的结果附带密码学证明，而不是某个受信方的签名；这份证明随资产跨链流转，而不是被锁定在产生它的那条链上——可验证 AI 与互操作性在此交汇。