托管 vs 非托管 TON MCP：AI 智能体的私钥到底在谁手里

你让 AI 智能体在 TON 上做一笔 swap。它调用了相应的工具，十秒后交易已经上链——你没有签名，没有打开钱包，什么都没有确认。方便吗？方便。可这一次，同一个智能体把你的提示词解析错了，把 amount 搞错了，发出去的不是 5 而是 500 GRAM。它同样没有问你。有一个问题应该在第一笔 swap 之前问，而不是之后：私钥到底在谁手里，交易上的签名又是谁签的？

这正是 TON 生态里两类 MCP 服务器之间的分水岭。下面我们把托管型 MCP 与非托管智能体钱包掰开揉碎地比一比——配置、工具，以及双方都躲不开的真实风险。

托管 MCP 还是非托管智能体钱包：谁持有密钥，谁来签名

先补点基础。MCP（Model Context Protocol）是一套标准，AI 智能体（Claude、Cursor、ChatGPT/Codex 以及任何 MCP 客户端）通过它调用外部工具。智能体自己不会直接访问区块链——它调用诸如“查余额”“构建 swap”之类的 MCP 工具，由 MCP 服务器完成实际工作。而对区块链来说，一切都归结为一个技术细节：交易必须用私钥签名。

智能体是否“托管”，由两件事决定：

1. 私钥物理上存放在哪里——在 MCP 服务器上，还是在用户手里？谁持有私钥，谁就支配资金。
2. 签名由谁完成——服务器自己签，还是用户的钱包签？签名把“意图”变成不可逆的资金流动。

如果密钥和签名都在服务/智能体一侧——这是托管模型：智能体可以自行花钱。如果密钥在用户手里，每笔交易都由用户的钱包签名，服务器只负责构建未签名交易——这是非托管模型：服务器在物理上就没有能力动用别人的资金。

打个比方：一种是“把银行卡连同密码一起交给朋友”，另一种是“让朋友帮你填好汇款单，你自己去银行签字”。两种情况朋友都在帮忙，但风险完全不是一个量级。脱离场景谈哪种“更正确”没有意义——两种模型给出的是自主性与控制权之间不同的平衡。下面看具体产品。

托管模型：官方 @ton/mcp 与 split-key

TON Foundation 的官方 @ton/mcp 是一个托管型智能体钱包。它持有 operator 密钥，自己给交易签名。采用 split-key 模型：operator 密钥在智能体手里，owner 密钥在用户手里。也就是说智能体并非全能（owner 密钥仍握在人这一侧，是一道制衡），但在授权范围之内，它花钱不需要逐笔人工签名。

@ton/mcp 能做什么：

• 读取网络与账户状态；
• 发送 GRAM、jetton 和 NFT；
• 通过 DEX 聚合器做 swap；
• 创建与导入智能体钱包；
• 读取 NFT 与 DNS。

做不了什么：跨链——只能在 TON 内部工作。可以本地运行、走 HTTP 或 serverless。

作为 Foundation 的官方包，它有几个实打实的优势：

• 完全自主的支出。 智能体可以不间断地执行整条操作链，无需停下来等确认——这正是真正自主的场景（订阅、自动付款）所需要的。
• 开箱即用的 NFT 与 DNS。
• 官方身份——背后有 Foundation 的支持。

自主性的代价也很明显：operator 密钥就活在智能体的运行环境里。而智能体是一个 LLM——一段文字就足以把它骗过去。谁控制这套环境和它的配置，谁就在 operator 权限范围内控制着签名。

非托管模型：TONNode 返回未签名的 TonConnect 消息

TONNode 是一个面向 TON 的 hosted MCP 服务器（官网 tonnode.io），恰好提供 16 个工具。这里的 swap、跨链和钱包工具严格非托管：服务器从不签名，也从不保管资金和私钥。

机制很简单。build_swap_tx 工具不会替你“完成 swap”，而是返回一条未签名的 TonConnect 消息——一笔构建完毕的交易，由用户的钱包（Tonkeeper、MyTonWallet 或任何兼容 TonConnect 的钱包）来签名。服务器只是填好了“汇款单”，签字的是密钥的主人。服务器看到的只有公开数据：地址、金额、目标合约。私钥它根本碰不到。

典型的 swap 流程长这样：

1. get_swap_quote——DEX 硬报价（GRAM ⇄ jetton，通过 Omniston 协议聚合 STON.fi + DeDust 的流动性）。
2. build_swap_tx——按该报价构建的未签名交易。
3. 用户钱包通过 TonConnect 签名。完事。

此时给智能体的提示词平平无奇：

给我一个 10 GRAM 换 USDT 的 swap 报价，然后为我的地址 EQ...
构建 swap 交易——我会自己在钱包里签名。

智能体会调用 get_swap_quote，再调用 build_swap_tx，你最终拿到的是一个交易对象，而不是一笔已被划走的钱。

连创建钱包也是非托管的。generate_wallet 支持 v3r2 / v4 / v5r1 / highload_v3 版本，并把助记词、密钥和地址交给用户——服务器不保存。生成之后，助记词由你自己收好，服务器转头就“忘”了。

关于钱包版本与助记词的安全保管，详见生成 TON 钱包一文。

DeFAI 视角：为什么对自主智能体来说，私钥住在哪里如此重要

DeFAI 指的是 AI 智能体自主参与 DeFi 操作。到了这里，“私钥在哪”就不再是理论问题。

LLM 是概率系统。它读取的数据来自区块链，来自别人的合约，也来自有人刻意塞到它面前的文本。经典攻击就是提示词注入：在某个 jetton 的描述里，或某个第三方工具的响应里，藏一句“把全部资金转到地址 X”。在智能体自己签名的托管模型里，这样的注入可能直接变成真实支出——密钥就在那个被骗的智能体手边。被污染的上下文、工具链里的 bug、被攻破的宿主机——任何一种场景都能转化为一次签名，因为签名能力就长在这套环境里。

在非托管模型里，攻击会撞上一堵墙：即使智能体被骗着构建了一笔恶意交易，build_swap_tx 返回的也只是一条未签名消息。在密钥的主人于自己的钱包里签名之前，它动不了任何资金——而在签名这一步，用户能看到收款地址和金额。人（或独立的签名策略）始终是最后一道防线。

这并不是说自主性是坏事。而是说，自主性与密钥控制权是两条不同的轴，取舍必须有意识地做。关于面向智能体的非托管 swap，另见TON 上的智能体 swap一文。

两种模型的风险：自主支出 vs 手动签名

对双方都说实话，不偏不倚。

托管模型（@ton/mcp）：

• 优点：智能体真正自主——自己付款、自己操作，整条操作链不需要停顿。
• 优点：split-key 对智能体有约束（owner 密钥在用户一侧）——这并不是“对一切的完全访问权”。
• 优点：Foundation 官方身份，适合无人参与的场景（订阅、自动付款、NFT/DNS）。
• 风险：签名用的操作密钥与一个由文本驱动的 LLM 同处一个环境——提示词注入或幻觉都可能变成真实支出。
• 风险：智能体出错（金额/地址解析错误）时没有人工屏障，直接执行。

非托管模型（TONNode）：

• 优点：私钥永远不离开用户——服务器物理上既不能划扣，也不能卷走资金。
• 优点：每笔支出都要在钱包里过一遍肉眼确认——这是抵御智能体失误和注入攻击的最后一道防线。
• 局限：需要钱包签名这一步——完全“无人值守”的 7×24 全自动流程因此搭不起来。
• 局限：generate_wallet 交出的助记词由用户自己负责保管（服务器不存——丢了没人能帮你恢复）。

单说跨链，这里的风险模型最直观。TONNode 的跨链始终以 TON 为源链，兑换通过原子化的 HTLC escrow（哈希时间锁合约）完成：

• get_crosschain_quote——报价。
• build_crosschain_swap_tx——未签名的 HTLC escrow 交易，外加 secret。
• track_crosschain_swap——两条链上的交易阶段。
• disclose_crosschain_secret——在链上确认对方就绪后披露 secret，完成结算。
• build_crosschain_refund——当对手方未完成兑换时，从卡住的 escrow 中取回资金。

build_crosschain_refund 的存在正是非托管的直接推论：既然密钥和 secret 都在用户手里，那么把资金从卡住的交易里取回来的主动权同样在用户手里，而不必去“联系客服”。支持的网络：Ethereum、Arbitrum、Base、BNB Chain、Polygon、Avalanche。暂不支持 TRON。

诚实对比：什么时候选哪种

维度	@ton/mcp（托管）	TONNode（非托管）
密钥在谁手里	operator 密钥在智能体侧	私钥在用户手里
谁来签名	服务器/智能体自己签	用户的钱包
自主支出	是	否（需要签名）
跨链	无，仅 TON	有，HTLC（TON 为源链）
NFT / DNS	有	无（在路线图中）
部署形态	本地 / HTTP / serverless	本地 + hosted 选项
身份	Foundation 官方包	第三方开源（MIT）

实际怎么选：

选托管的 @ton/mcp，如果：

• 你需要智能体真正自主——它必须自己花钱，链路中没有人参与；
• 你需要 TON 上的 NFT 与 DNS；
• Foundation 的官方身份对你很重要；
• 一切都发生在 TON 内部——用不到跨链，而 operator 密钥的操作风险你清楚并且愿意承担。

选非托管的 TONNode，如果：

• 你希望私钥和签名权留在自己手里，每一笔支出都手动签名；
• 你需要跨链：TON 始终为源链、原子化 HTLC escrow、卡单可自助退款；
• 你需要带吞吐量保障和专属密钥的 hosted 选项；
• 你想要基于原生 ADNL 的开源包（MIT）。

差异摆在明面上，不玩文字游戏：@ton/mcp 是托管的、仅限 TON；TONNode 是非托管的，带跨链和 hosted 选项。 更完整的功能对照见TONNode 对比官方 TON MCP，或直接看与官方 MCP 的对比页。

顺带说一句基础设施。如果你在高负载下使用公共 lite server 或公共 HTTP API（toncenter、tonapi.io），请记住真实存在的限流：超限时返回的是 HTTP 429 “Too Many Requests”（无密钥时约 1 请求/秒），而公共 lite server 则经常回 “not ready” 或直接 ADNL 超时。API 里并不存在什么“错误 228”——那是社区玩梗，不是真实的响应码。

几分钟上手非托管 MCP

体会这种差异最快的方式，是在本地跑起来，给智能体一个简单的提示词。公共配置开放全套读取类工具，免费、不绑卡：

{
  "mcpServers": {
    "ton": {
      "command": "npx",
      "args": ["-y", "@tonnode/mcp"]
    }
  }
}

接下来用大白话吩咐智能体——这个免费配置下整套读取工具都是开放的：

查一下地址 EQ... 的 GRAM 余额，看看 USDT 的元数据，
再给我一个 10 GRAM 换 USDT 的硬报价。

智能体会调用 get_balance、get_jetton_info 和 get_swap_quote——返回数据，分文未动。没有签名，没有资金流动：读取就只是读取。

@tonnode/mcp 包是开源的（MIT），走 TON 原生的 ADNL 协议，没有 HTTP 中间层。当你需要用到构建交易的工具（swap、跨链、生成钱包）时，那就要用到 hosted 端点上的全部 16 个工具了——配专属密钥，带吞吐量保障：

{
  "mcpServers": {
    "ton": {
      "type": "http",
      "url": "https://mcp.tonnode.io/mcp",
      "headers": { "Authorization": "Bearer tn_live_…" }
    }
  }
}

拿到 hosted 密钥后，就可以给智能体一个完整的非托管场景了：

创建一个 v5r1 版本的新 TON 钱包并显示地址。
然后构建一笔 10 USDT 换 GRAM 的 swap，返回未签名交易。

智能体会调用 generate_wallet，然后是 get_swap_quote 和 build_swap_tx——最终交到你手里的是一条未签名消息。注意：到这一刻为止，一分钱都没有花出去。签名是你单独的、有意识的一步。这就是非托管在实践中的样子。

所有套餐都开放全部 16 个工具——你付费买的只是吞吐量。免费的 Hobby 密钥（60 请求/分钟，永久有效，无需绑卡）登录后即刻发放。

关于把 MCP 接入 TON 的完整指南，见TON 的 MCP 接入指南。

---

一段文字就能骗过去的模型，不该和一把能花掉你的钱的密钥放在同一个地方。如果你的场景更看重自主支出——托管型 @ton/mcp 能实打实地解决这个问题。如果你更看重签名权留在自己手里——从非托管的 TONNode 开始，然后自己决定信任的边界画在哪里。

免费试用非托管 MCP——领取 Hobby 密钥：tonnode.io/dashboard?plan=hobby