Ein Modell, das handelt
Ein gewöhnliches Modell beantwortet eine Frage. Ein agentisches bekommt ein Ziel, einen Satz Werkzeuge (eine Suche, eine Datei, einen Shell-Befehl, eine API) und die Erlaubnis, sie zu nutzen, und es läuft in einer Schleife: es ruft ein Werkzeug auf, liest das Ergebnis, entscheidet den nächsten Schritt. Das Handeln macht es agentisch.
Daran ist der Art nach nichts neu: ein Programm konnte immer eine API aufrufen. Neu ist, dass die Wahl des Aufrufs von einem Modell getroffen wird, das Text liest, es kann also Arbeit übernehmen, für die niemand eine Regel geschrieben hat, und dort irren, wo eine Regel es nicht kann.
Zwei Fragen beschreiben jedes solche System: welche Werkzeuge es hält und was es ohne Rückfrage tun darf.
Wo sie eingesetzt wird
- Code schreiben und laufen lassen, dann den verursachten Fehler lesen und es erneut versuchen.
- Dokumente lesen und ordnen: Zahlen aus ihnen ziehen, ein Formular füllen, einen Datensatz dorthin legen, wo er hingehört.
- Software über ihre API bedienen: ein verschobenes Ticket, eine gesendete Nachricht, eine gebuchte Reservierung, eine platzierte Order.
- Etwas beobachten und handeln, wenn eine Bedingung eintritt, auf die es achten sollte.
Die Form ist jedes Mal dieselbe: ein Ziel in Worten, ein Satz Werkzeuge, eine Schleife und eine Abbruchregel. Der Unterschied zwischen einem nützlichen und einem gefährlichen Agenten ist fast nie das Modell; es ist das, was in seine Reichweite gelegt wurde.
Was schiefgehen kann, wenn er Geld anfasst
- Er kann falsch lesen oder behaupten, was er nie gelesen hat. Eine um ein Komma verrutschte Zahl ist eine zehnmal zu große Position, und ein Modell, das um eine Zahl gebeten wird, nennt eine.
- Die Daten, die er liest, können ihn anweisen. Von außen geholter Text kann Anweisungen tragen, und ein Modell, das sie für seine eigenen nimmt, folgt ihnen.
- Er kann in Schleifen laufen, und Schleifen kosten. Ein wiederholter Schritt ist eine wiederholte Gebühr, und in einem Orderbuch ist eine wiederholte Order eine Position, die niemand wollte.
- Sein Key kann gestohlen werden. Ein Key auf einer Maschine, die unbeaufsichtigt läuft, ist ein Key, den ein Angreifer erreicht, und ein Key, der Geld bewegt, ist dann bewegtes Geld.
Was ihn begrenzt
Es gibt drei Arten von Grenze, und sie sind nicht austauschbar. Sie zu verwechseln ist der Weg, auf dem ein System am Ende allein von der schwächsten geschützt wird.
| Die Grenze | Was sie ist | Was sie nicht kann |
|---|---|---|
| Ein Key mit begrenzter Macht | Ein Zugang, den der Handelsplatz selbst beschränkt: er signiert manche Aktionen, der Rest wird bei der Ankunft verweigert. | Eine schlechte Aktion unter denen aufhalten, die er signieren darf. |
| Grenzen | Ein Maximum je Aktion und je Tag, eine Liste erlaubter Märkte, ein Budget für das Modell selbst. | Halten, wenn sie in einer Datei leben, die jeder bearbeiten kann, der an die Maschine kommt. |
| Ein Mandat | Dieselben Grenzen, von der Person auf einem Gerät signiert, an das die Maschine nicht kommt, und vor jeder Aktion von Code geprüft. | Wissen, ob der Plan, den es erlaubt, ein guter Plan ist. |
Ein Journal ist keine Grenze, aber ohne eines lässt sich keine Grenze im Nachhinein prüfen. Die Reihenfolge der Stärke zählt: was der Handelsplatz verweigert, ist am stärksten, eine signierte Grenze kommt danach, und eine Konfigurationsdatei ist am schwächsten, denn wer an die Maschine kommt, kommt an die Datei.
Zwei Keys und ein Mandat
Locker Protocol Agentic setzt die drei so um. Es gibt zwei Keys, und sie sind nicht dasselbe. Der Key des Kontos bleibt in Ihrer Wallet, allen voran in Locker Vault auf einem Handy ohne Netz, oder in der Erweiterung oder mobilen Wallet, die Sie gewählt haben, und kann alles: auszahlen, senden, einen Agenten genehmigen, ein Mandat signieren. Der Agent-Key liegt auf dem Rechner, unter einem Passwort versiegelt, und darf nur Orders platzieren und stornieren und den Hebel und die Margin eines Markts setzen.
Das Mandat trägt die mit Ihrer Wallet signierten Grenzen: die größte Order, den höchsten Hebel, die Märkte, die Orders pro Tag, den pro Tag eröffneten Nominalwert, die erlaubten Nutzungen, den Gebührensatz und seinen einen Empfänger, und ein Datum, spätestens das Ende des Agent-Keys, höchstens 180 Tage. Ein Wächter wendet das Engere von Mandat und lokaler Policy an und prüft vor jeder Eröffnung seine Signatur.
Der Agent-Key wird vom Konto auf Hyperliquid für höchstens 180 Tage genehmigt, die Obergrenze, die Hyperliquid erlaubt, und kann von Ihrer Wallet aus widerrufen werden. Die kürzere Frist des Mandats holt Sie einmal im Monat zu Ihrer Wallet zurück, sodass kein Monat Handel vergeht, ohne dass die Grenzen wieder gelesen werden.
Was die Messung vom 28. September sagt
Die Behauptung, ein genehmigter Agent-Key könne nur handeln, wurde geprüft statt angenommen. Am 28. September 2026 genehmigte im Mainnet ein Testkonto einen frischen Agenten für eine Stunde, und der Agent signierte jede Aktion auf die Mittel über 1.000 USDC gegen ein Guthaben von etwa 60: nichts konnte sich bewegen, es zählte also nur die Verweigerung.
Beim Signierer verweigert: withdraw3, usdSend, spotSend, sendAsset, usdClassTransfer, einen zweiten Agenten zu genehmigen, eine Builder-Gebühr zu genehmigen. Angenommen: eine Order platzieren und stornieren. Und eines angenommen, das es nicht hätte sein sollen: vaultTransfer, mit dem 5 USDC, vom Agent-Key signiert, in einen Hyperliquid-Vault gelangten.
Ein Agent-Key kann kein Geld herausholen, aber er kann das Konto in einen Hyperliquid-Vault einzahlen, auch in einen, den ein Angreifer führt. lpa signiert diese Aktion nie: sein Wächter signiert eine geschlossene Liste von Handelsaktionen. Aber ein Dieb mit der Key-Datei und ihrem Passwort braucht lpa nicht. Der größte mögliche Verlust ist das, was auf dem eigenen Konto liegt.