AI 工具上户口：ERC-8257 工具登记处的哈希承诺与来源绑定

给 AI 代理找工具，今天的现实是一堆互不相通的专有目录。ERC-8257 想把这些散户口集中登记到链上：每个工具一条记录，提交元数据 URI 与内容哈希，准入门槛指向一个外部合约，价格细节留在链下清单。文件头记录创建于 2026 年 4 月 17 日，仓库状态 Draft，声明依赖 ERC-150、ERC-165、EIP-712 与 ERC-1967。它的三块构件各自解决一个具体的信任缺口。

第一块：哈希承诺

登记时合约存的不只是 URI，还有工具清单的 keccak256 哈希。此后任何人取回清单文件，都可以复算哈希与链上承诺比对——文件被中间人换过、被服务端悄悄改版，一次比对现形。清单要挂在哪，规范给了来源绑定的定义：清单必须发布在工具端点域名下的 well-known 路径上，攻击者若不能控制 api.example.com 的 DNS 与 TLS，就无法在这个域名的 well-known 目录下放置一份冒名清单。原文还钉了两条容易被忽视的编码纪律：路径里的 slug 用 Unicode NFC 形式，收到 NFD 形式的必须判为验证失败而不是悄悄归一化；响应体不得带 BOM 前缀，带了同样直接失败——任何“先修补再算哈希”的宽容，都会让承诺比对喂进不同的字节，哈希防篡改的意义当场作废。

第二块：谓词准入

“什么样的人能用这个工具”不进登记处本体，规范只留一个 accessPredicate 指针，指向外部合约：NFT 门槛、订阅、允许名单、DAO 投票、声誉分，任何逻辑都是谓词实现者的事，登记处不需要为每种新玩法升级。hasAccess 与 tryHasAccess 执行判定，getRequirements 返回机器可读的要求清单——谓词合约用 supportsInterface 自报家门，标准建议探测 gas 上限定在 ERC-165 要求的三万以内。原文也写了组合谓词的坑：多个子谓词用 AND 或 OR 拼起来时，要求清单被拍平成一层，嵌套结构丢失，盲目满足全部要求的代理可能买多，只满足一条的可能买漏。

第三块：报价留链下

目录经济学的另一面

把工具目录放上链，收益与噪声一起来。公开登记意味着任何人都能收录任何端点，清单哈希的承诺链只解决“这份清单是不是端点主人发布的”，不解决“这个工具好不好用”——评分、跑分与事故史要么缺席，要么由各聚合层自建，登记处保持中立。规范里能挖出的质量信号其实藏在流程里：一份要改准入规则的工具必须走 updateToolMetadata 提交新哈希再改谓词指针，两步都在事件流里留痕，代理可以在调用前校验“事件里看到的承诺”与“刚下载的清单”是否同一版本；跳过链上承诺、只在链下改目录的服务，等于放弃了这条防伪通道。原文对组合谓词拍平问题的提醒也值得每个聚合器抄进需求清单：子谓词的嵌套逻辑在要求枚举时已经丢失，代理为满足访问条件做出的购买决策，可能比工具主人真正设定的更贵或更松。目录放公处的另一重含义是审查抗性的对偶：没人能整块下架一本登记册，但也没人能阻止一个高仿 slug 的恶意条目混在名录里——名字查重、来源域核验、清单哈希比对，三道链下工序谁省了，谁的用户就替攻击者承担了发现成本。

登记处不碰钱。清单里放协议无关的价格提示，识别收费系统用一个不透明字符串，链上只锁哈希。registerTool、updateToolMetadata、deregisterTool 与 setAccessPredicate 管生命周期，对应四组事件；另有便利查询直接读链上持仓，服务 NFT 门槛场景。Draft 阶段，签名未定稿，它描绘的秩序值得记住：链上做承诺与准入指针，链下放内容与付款，边界一刀切在哈希上。本文为机制说明，不构成任何投资建议。