从Polymarket预言机操纵案看AI预言机的价值所在

作者：DeepSafe Research

2025年3月25日，一则关于PolyMarket遭预言机操纵攻击的新闻受到了广泛关注。此前该平台上关于“乌克兰是否会在4月前与特朗普签署矿产协议”的对赌池吸引了约700万美元押注，截至3月25日前夕，所谓的矿产协议未被签署，然而一位鲸鱼操纵了PolyMarket接入的UMA预言机，导致合约判定矿产协议已签署，让许多人蒙受损失。这件事经过舆论发酵后被争相报道，引发了热烈讨论。

这次典型的预言机操纵攻击案中，由于UMA预言机允许持币人对现实事件的结果进行投票，如果更多代币投给了“Yes”，预言机就会判定这件事已发生。持有巨量UMA代币的鲸鱼在3月25日通过多个地址，投下总计约500万枚UMA代币，以此强行让“Yes”的结果通过判定，可谓颠倒黑白。

值得注意的是，这并非PolyMarket第一次出现类似的预言机操控案，此前就曾将委内瑞拉应届总统错判为Edmundo González，以及错判以太坊ETF将在2024年5月31日前被批准，而乌克兰矿产协议对赌结果一事是其中影响最大的。

在矿产协议错判案发生后，虽然利益相关者表达了强烈不满，但Polymarket官方在Discord上回应称，这件事不是因PolyMarket的系统技术故障而导致，因此不会向受损用户退款，只承诺将与UMA团队协作优化机制设计、加强风控。这一回应被很多人认定是“不作为”，同时也让人们对UMA的可靠性产生怀疑。

与Chainlink等针对量化数据的预言机不同，UMA主要用于对任意类型的链下事件进行结果推送，其中很多是无法量化、只能定性的真实事件，比如前文提及的矿产协议是否被签署。若要判定此类复杂事件，不但要有可靠信息源，还要理解相应内容并进行推理，传统预言机显然无法做到。UMA直接通过人为干预的方式判定复杂事件，这种简单粗暴的方法虽然有效，但存在巨大作恶空间。

目前Story Protocol、PolyMarket、Across、Snapshot、Sherlock等多个大项目方均采用UMA预言机作为重要数据源，一旦再遭治理攻击，背后牵涉的损失将非同小可。然而，如果要用技术手段解决UMA的问题，该怎么做呢？

曾有人认为，UMA对恶意投票者的惩罚过轻，如果加大惩处力度，可以防止恶意投票，但这种思路是把权力转交给所谓的“惩罚者”，而惩罚流程或许会比前文中的对赌投票更中心化，本质上是引虎驱狼。

在现实世界中，地方政府与中央政府间的权力平衡和作恶惩罚机制尚且差强人意，在腐败和黑幕遍地的Web3中，我们更不能对“人治”寄以厚望。依赖人治来解决人治本身的问题，很容易陷入“自举”（自己把自己举起来）。只有通过合理的技术手段才能寻找到正确出路。

在本文中，DeepSafe Research对UMA预言机的合约代码进行了解析，结合其相关文档提出了其问题所在。同时，我们构想了一种结合AI Agent与DeepSafe已有技术的方案，尝试利用大语言模型判断现实中的复杂事件。

我们认为，只要将乐观/挑战模式与AI Agent的强大能力相结合，完全有可能打造出新一代的智能预言机，如果这种能验证并推送任意链下消息的设施成功投入生产，届时极有可能实现智能合约和链下世界间的高效交互，开辟前所未有的场景与广阔市场。

UMA乐观预言机的工作流程与代码解析

为了更好的理解智能化预言机的实现思路，让我们先对UMA预言机展开深入探讨。UMA的全称是Universal Market Access，它通过一种名为“Optimistic Oracle”的预言机服务为DAPP提供任意事件的数据。其简要原理如下：

假如你要让UMA判断特朗普是否当选总统，你可以发布一个问题/请求，并提供奖金作为报酬，之后由“断言者/提议者”和“质疑者”针对问题答案进行争议。

UMA设置了名为DVM的仲裁模块，断言者/提议者发布答案后，质疑者可发起质疑，之后会进入投票判决，让UMA持币人判决谁对谁错。如果投票判决认为断言者作恶，系统会惩罚他，并奖励质疑者，反之亦然。而正确投票者们也可获得奖励。

（UMA乐观预言机V3版本的工作流程示意图）

上述模式下预言机会乐观的假设断言者/提议者诚实，如果不诚实就惩罚，所以这种模式被称为“乐观预言机”。上图是乐观预言机V3版的工作流程，也是网上各类资料中主要提及的版本。

目前PolyMarket采用的是更早的Optimistic Oracle(OO)V2版本。OOV2和OOV3虽然大体原理一致，但实现细节有很多差异。鉴于PolyMarket采用的是OOV2，下面我们将主要对V2的实现细节展开解析。

在OOV2中，假如你要让预言机回答一个问题，要先调用requestPrice()函数给出相关参数，问题发布后，让第三方提议者给出答案，再进入挑战期。如果挑战期结束而无人质疑，默认提议者的答案正确。

而在V3版本中，发布问题的人会同时充当提议者，用“自问自答”的方式把问题和答案同时发出，直接进入挑战期。

前面提到，OOV2中用户要先调用requsetPrice()函数给出问题信息，其中最重要的参数包括identifier(标识符)和ancillaryData(辅助信息)等。

identifier用于声明问题类型，典型的二元问题可以用“YES_OR_NO_QUERY”为标识符，量化数据类问题用其他标识符。而ancillaryData里的辅助信息会以自然语言详述问题内容，比如“特朗普是否在2024年当选美国总统”。

除了标识符和辅助信息外，你还要声明提交问题时的时间戳、愿意付出的奖励代币、奖励数额等，这些参数会一并提交给预言机合约。

OOV2合约收到上述数据后，会调用_getId()函数，用“提问者地址、标识符、辅助信息、时间戳”这4个参数计算出一个hash值，作为该问题的ID号，记录在链上。

之后合约会抛出名为RequestPrice的事件，让链下的监听者知道有人发布了新的问题请求。目前UMA官方也有配套的前端UI展示这些等待答案的问题。

Proposer提交答案

如果一个问题被发布且无人给出答案，此时任何人都可以调用proposePriceFor()或proposePrice()函数给出答案，答案据对应的问题ID号存至链上。

这里要注意，发布答案的提议者要质押保证金，且一个问题只会接收第一个提议者的答案，然后立刻变更至Proposed状态(已被提议)。其他提议者只要慢一步，答案都会被拒收。

之后OOV2合约会抛出名为ProposePrice的链上事件，告知外界有提议者向一个问题提交了答案。而UMA官方UI会将该问题归入“Verify”一栏，公示问题的详细信息并吸引社区成员检查答案。

不同的是，OOV2采用“任何人皆可提交答案”且“任何人均可质疑”的无许可制，而OOV3版本增设了Escalation Managers模块，允许项目方预先设置白名单，切换至许可制。

Disputer质疑答案

让我们继续解读OOV2的工作流程。假如有人对某个问题的答案有异议，便可调用disputePriceFor()函数发起质疑，之后该问题会切换至disputed状态(被质疑)。质疑者要质押保证金，如果后面的投票判决认为质疑者有错，会对其进行惩罚。

需要注意，一个问题只能被质疑一次，也就是说只有第一个质疑者的动作会成功。

之后，合约会将有争议的问题移交给DVM仲裁模块，调用名为requestPrice()的函数，向VotingV2也就是DVM模块的主合约传入问题信息，启动投票判决流程。

DVM仲裁模块与“Commit-Reveal”隐私投票

VotingV2合约会将等待投票判决的问题插入PendingPriceRequsetIds队列，然后合约会抛出一个事件，告知外界又有新问题需要投票。之后UMA官方UI会对外公示，指出该问题的答案已被人质疑，需要投票表决。

根据UMA官方的要求，投票人要先质押UMA代币，然后针对待解决的问题给出投票。UMA质押者可获得的APY目前最高约20%，UMA会持续增发来维持高APY，吸引用户质押代币并参与投票。

为了防止质押者不作为，如果质押者不投票，每错过一个问题就罚没0.1%的质押代币，与最终答案不符也会罚没0.1%（过去是0.05%，2024年下半年惩罚比例被上调至0.1%）。

而为了防止有人故意影响别人的投票倾向，UMA采用了“Commit-Reveal”两阶段的隐私投票制。在Commit阶段，投票人会向链上提交一个hash，不直接暴露自己的投票意向。Commit阶段结束后，投票停止并进入Reveal阶段，此时投票人会解密自己的投票信息，证明该信息与之前提交的hash相关联。

换言之，投票时你并不能直接看到别人的投票意向，投票窗口期结束后才能看到。

据UMA代码所示，Commit阶段，投票人要通过commitVote()函数将hash上传至链上，这个hash在链下通过keccak256算法生成，input中包含一个名为price的参数，这个price就是你认为正确的问题答案。

在二元定性的场景中，price可以有True/False两种可能，而在喂价等场景中，price可以是一个数字。

此外，生成hash值的input中还包含一个链下随机数salt，可以防止别人观测到hash值后根据生成算法反推出你的input。只要别人无法在Commit阶段推测出你的input，也就不知道你的price是什么。

在之后的Reveal阶段，投票人需要调用revealVote函数()，将生成hash时用到的input一一给出，其中就包含投票信息price。合约会验证你的input能否与你之前提交的hash对应。若通过验证，便会计票。

Reveal窗口期关闭后，计票会自动结束，照理来说整个工作流程也接近收尾。但要注意，EVM体系内的智能合约无法主动发起动作，必须有外部力量调用合约才行，所以，收尾阶段需要有人调用settle()和settleAndGetPrice()函数，将Requester发布的问题变更为“settled”（已解决）状态，问题答案也会传回给函数调用人。

当然在settle之前，智能合约会根据链上的计票结果判定正确答案是什么。前面有提到，Voter会在投票判决阶段提交一个price，这个price是自定义的。智能合约会统计哪个price得到的票数最多，然后以这个price为有效答案。

而在具体计票时，单纯统计参与投票者质押的代币量，1枚UMA代币计1票，要收集到足够的票数才行（目前的默认条件是，参与的总票数超500万，且超65%的质押态UMA都支持同一个答案才行）。

之后合约可根据投票结果奖励或惩罚Proposer/Disputer，以及Voters，这需要有人调用updateTrackers()函数，一般情况下会有专门的Keeper节点来触发这个操作。

此外，若无人针对Proposer进行质疑，投票判决无需进行，OOV2合约可以独自承担从问题发布到敲定答案的整个流程，无需VotingV2合约的介入，这是UMA在设计上的简洁之处。

UMA的问题有哪些？

1.UMA的安全模型显然不符合其官方陈词

在UMA白皮书和Medium文档中，UMA官方曾宣称，安全前提是作恶成本>作恶利润，并举了这样1个例子：

假设投票投纵攻击的总利润为1亿美元，若要保证安全，要让获取51%投票的成本长期保持在1亿美元以上。然而根据现实情况来看，UMA代币最高时达40多美元，而当前币价仅1.3美元，跌超95%，项目方显然没有进行有效护盘。

其次，由于UMA对错误投票的惩罚力度极低（当前的罚金仅0.1%），投票人总可以递交与事实不符的结果，若攻击成功又可以事后把币卖掉，所以其实际作恶成本并不遵循前述安全模型。

理论上攻击者可通过类似租赁的手段拉拢投票人（类似于在比特币靠贿赂或租赁矿机发动51%攻击），而无需直接买币，其获取超50%质押代币的成本肯定比UMA官方估算的低得多。

再者，根据2025年5月的数据，UMA官方将投票阈值上调至65%，而处于质押状态的可投票UMA不到2400万枚，攻击者控制约1560万枚代币便可操纵预言机，以当前UMA单价1.3计算，这些代币价值约2000万美元。

而根据UMA官网的自我宣传，UMA预言机接入的多个平台上总计有超14亿美元资产，显然潜在的作恶利润显然要远大于作恶成本。

2.UMA的隐私投票效果有限

UMA的“Commit-Reveal双阶段隐私投票”照搬了Gitcoin上一个叫Austin Thomas Griffith的人的想法。照理来说这种方法会在投票时加密，投票结束后解密，的确可以保护隐私，但UMA为防止票数不足，添加了“Roll(滚动）”机制。

假如这一轮收集到的票数不足，就要再加一轮投票，此时新进投票人可以看到前一轮已解密的投票结果，这时有明确的作恶空间存在。

这里我们可以设想一种场景：假设当前质押态UMA总计2000万枚，一个答案凑齐1000万票便可敲定（1枚质押态UMA为1票），而问题是“马斯克是否会在2025年被刺杀”。

第一轮投票结束后，有800万票认为yes，800万票认为no，此时没有一个答案满足1000万票的阈值，自动进入第二轮投票。如果这时剩下的400万票被鲸鱼控制，他完全可以出于自身利益投任何一个答案，而非出于对事实的尊重。

很显然，隐私投票能生效的前提是，在第一轮投票周期内便收集到足够的票数，如果不能满足这个要求，就没有什么隐私保护可言。

此外，虽然第一轮投票时不能在链上观测别人的意向，但操纵者完全可以在社交媒体上宣布把大量代币投给某个结果，在社区情绪层面煽风点火，亦或私下里勾结其他大户。

在乌克兰矿场协议对赌案中，虽然媒体普遍认为是一位叫borntoolate的鲸鱼用500万枚UMA（约占质押态UMA的25%）决定了最终答案，但实际上这背后可能还存在私下里的串谋。所以，UMA的隐私投票治标不治本，无法高效率的反作恶。

而如果让官方介入惩治恶意投票人，只是在自举漩涡中越陷越深。在本文开篇我们曾指出，如果由人工介入的形式惩处恶意投票者，是在用人治的方式解决人治的问题，这里涉及到大量的权力来源与分配困境，最后还不如直接放弃。

解决方案：用AI Agent替代人类

针对以上痛点，业内开始设想引入AI Agent来执行预言机裁定工作，减少对人为投票治理的依赖。但AI Agent主要的缺点在于容易出现幻觉，根据Chainlink官方的测试结果，采用GPT-4o的AI预言机在判断复杂政治事件时，正确率约84%，还无法做到极高的准确度。虽然这一数值会随着大模型迭代而提升，但仍可能出现错误。

对此，DeepSafe团队认为，可以利用去中心化验证来防止单个AI Agent出错。结合DeepSafe已有的去中心化验证网络CRVA，我们可以让每个CRVA节点与AI大模型惯用的深度搜索功能结合。

比如说CRVA1节点集成deepseek，CRVA2节点集成chatgpt，CRVA3节点集成grok，这样每个CRVA节点都成了一个独立的AI Agent，最终我们对每个AI Agent提交的问题答案进行加权平均，作为去中心化验证的结果。

具体而言，CRVA网络会通过加密的抽签算法，随机抽选几个节点组件提议者群体，这些提议者在提交结果时，必须给出足够的推理过程、上下文与中间证据，这些信息称为“可验证推理路径”。CRVA网络内的其他节点可依据这些信息，调用本地的AI模型自行审查推理过程。最后全体节点可以就提议者发布的答案进行签名，以此实现去中心化验证。

（关于CRVA的介绍资料：从unibtc冻结事件看免信任托管的重要性）

此外，我们也可以结合前述UMA预言机的设计，在正常情况下由人来投票，CRVA不介入，但如果有人认为投票结果被操纵，AI和CRVA可以介入检查投票结果，并对错误投票者进行重罚。

惧于AI的判断能力以及潜在的巨额罚金，投票人应该不敢再投票给错误答案。由于CRVA网络本身高度去中心化，比人为治理更为中立，可以很大程度上抵消中心化作恶的风险。