资金纪律
- 四类资金分开
生活、应急、学习实验、投资不得混用。
- 实验预算有顶
默认全年不超过 1000 元，除非稳定收入和应急储备改善，并经过月度复盘主动调整。
- 前三个月不自动实盘
不做合约网格，不使用杠杆。
- 不借钱证明自己
不套信用卡，不拿生活费交易。
- 盈利不自动加仓
不通过补仓掩盖策略失效。
- 看总权益
机器人利润必须按账户总权益计算，不能只看已实现网格利润。
- 平台只放最少资金
任何平台都只放策略运行所需的最少资金。
- 拒绝咒语
不相信“保本”“无风险”“稳定高年化”和无法解释来源的收益。
钱包与密钥
- 助记词、私钥、交易所密钥永不提交给 AI、代码仓库、聊天软件或陌生网页。
- 冷钱包、日常钱包和实验钱包三级隔离。
- 安全实验使用独立浏览器配置和全新测试钱包，钱包内不放真实资产。
- API Key 使用独立子账户，只允许读取和必要的现货交易，永远关闭提现。
- 能绑定固定 IP 时必须绑定；密钥只通过环境变量或密钥服务加载。
- 合约授权尽量限制额度，实验结束后复查并撤销不再需要的授权。
- 任何要求输入助记词来“恢复”“同步”“领取”的页面都视为恶意页面。
安全研究
- 只测试自有、本地靶场、公开练习环境或具有明确授权范围的目标。
- 不在真实协议上验证可获利攻击，不移动不属于自己的资产。
- 参加漏洞赏金前先读范围、禁止行为、披露规则和身份要求。
- 发现真实漏洞后保存最少必要证据，停止扩大影响，按官方渠道披露。
- 开源不等于安全；审计过不等于当前部署版本安全。
- 扫描器和 AI 输出只能算假设，必须用代码路径、测试和影响分析证明。
AI 使用
- AI 可以解释、总结、生成测试初稿和提出攻击假设。
- AI 不直接签名、持有密钥、管理仓位或决定追加资金。
- 数值计算、仓位限制和交易规则使用确定性代码，不依赖自然语言判断。
- 每个 AI 安全结论必须经过：定位代码、证明可达、复现影响、人工复核。
- 不使用 AI 做批量女巫、规避反作弊或伤害其他交易者的策略。
出现任一情况，立即停止新增交易或交互
解释不了无法准确说明收益来源。
算不清无法计算最大损失和退出方式。
对不上账户、程序和交易所记录无法对账。
数据坏了行情过期、API 异常或系统状态不确定。
越界策略突破区间或触发每日损失上限。
加杠杆续命需要借钱、追加保证金或提高杠杆才能维持。
安全异常钱包、设备、域名、授权或密钥出现异常。
情绪接管急于回本、害怕错过或连续加注。
默认故障策略
停止创建新订单，保护证据，发送告警，人工检查。