Un modèle qui agit
Un modèle ordinaire répond à une question. Un modèle agentique reçoit un but, un jeu d'outils (une recherche, un fichier, une commande shell, une API) et la permission de les employer, et il boucle : il appelle un outil, lit le résultat, décide de l'étape suivante. C'est d'agir qui le rend agentique.
Rien là n'est nouveau par nature : un programme a toujours su appeler une API. Ce qui est nouveau, c'est que le choix de l'appel est fait par un modèle qui lit du texte, si bien qu'il peut traiter un travail pour lequel personne n'a écrit de règle, et se tromper là où une règle ne peut pas.
Deux questions décrivent n'importe quel système de ce genre : quels outils il tient, et ce qu'il peut faire sans demander.
Où cela sert
- Écrire et faire tourner du code, puis lire l'erreur qu'il a causée et réessayer.
- Lire et trier des documents : en sortir des chiffres, remplir un formulaire, classer un dossier là où il va.
- Piloter un logiciel par son API : un ticket déplacé, un message envoyé, une réservation faite, un ordre passé.
- Surveiller quelque chose et agir quand une condition qu'on lui a dit de guetter est remplie.
La forme est la même à chaque fois : un but en mots, un jeu d'outils, une boucle, et une règle d'arrêt. La différence entre un agent utile et un agent dangereux n'est presque jamais le modèle ; c'est ce qu'on a mis à sa portée.
Ce qui peut mal tourner quand il touche à de l'argent
- Il peut mal lire, ou affirmer ce qu'il n'a jamais lu. Un chiffre décalé d'une virgule est une position dix fois trop grande, et un modèle auquel on demande un nombre en donnera un.
- Il peut recevoir des instructions des données qu'il lit. Un texte ramené de l'extérieur peut porter des instructions, et un modèle qui les prend pour les siennes les suivra.
- Il peut boucler, et les boucles coûtent. Une étape répétée, ce sont des frais répétés, et sur un carnet d'ordres un ordre répété est une position que personne n'a voulue.
- Sa clé peut être volée. Une clé sur une machine qui tourne sans surveillance est une clé qu'un attaquant peut atteindre, et une clé qui déplace de l'argent est alors de l'argent déplacé.
Ce qui le borne
Il existe trois sortes de bornes, et elles ne sont pas interchangeables. Les confondre est la façon dont un système finit protégé par la plus faible seule.
| La borne | Ce qu'elle est | Ce qu'elle ne peut pas faire |
|---|---|---|
| Une clé aux pouvoirs limités | Un accès que la place de marché restreint elle-même : il signe certaines actions et le reste est refusé à l'arrivée. | Arrêter une mauvaise action parmi celles qu'elle a le droit de signer. |
| Des limites | Un maximum par action et par jour, une liste de marchés permis, un budget pour le modèle lui-même. | Tenir, si elles vivent dans un fichier que quiconque atteint la machine peut modifier. |
| Un mandat | Les mêmes limites, signées par la personne sur un appareil que la machine ne peut pas atteindre, et vérifiées par du code avant chaque action. | Savoir si le plan qu'il permet est un bon plan. |
Un journal n'est pas une borne, mais sans lui aucune borne ne peut être vérifiée après coup. L'ordre de force compte : ce que la place de marché refuse est le plus fort, une limite signée vient ensuite, et un fichier de configuration est le plus faible, parce que qui atteint la machine atteint le fichier.
Deux clés et un mandat
Locker Protocol Agentic applique les trois de cette façon. Deux clés existent, et ce n'est pas la même chose. La clé du compte reste dans votre portefeuille, Locker Vault sur un téléphone hors ligne d'abord, ou l'extension ou le portefeuille mobile que vous avez choisi, et peut tout faire : retirer, envoyer, approuver un agent, signer un mandat. La clé d'agent vit sur l'ordinateur, scellée sous un mot de passe, et ne peut que passer et annuler des ordres et régler le levier et la marge d'un marché.
Le mandat porte les limites signées avec votre portefeuille : l'ordre le plus grand, le levier maximal, les marchés, les ordres par jour, le notionnel ouvert par jour, les usages autorisés, le taux de frais et son unique destinataire, et une date, au plus tard la fin de la clé d'agent, 180 jours au plus. Un gardien applique la plus étroite du mandat et de la politique locale, et vérifie sa signature avant chaque ouverture.
La clé d'agent est approuvée par le compte sur Hyperliquid pour 180 jours au plus, le plafond que Hyperliquid permet, et peut être révoquée depuis votre portefeuille. L'échéance plus courte du mandat vous ramène à votre portefeuille une fois par mois, si bien qu'aucun mois de trading ne passe sans que les limites soient relues.
Ce que dit la mesure du 28 septembre
L'affirmation qu'une clé d'agent approuvée ne peut que trader a été testée plutôt que supposée. Le 28 septembre 2026, sur le mainnet, un compte de test a approuvé une clé d'agent neuve pour une heure, et l'agent a signé chaque action sur les fonds pour 1 000 USDC contre un solde d'environ 60 : rien ne pouvait bouger, donc seul le refus comptait.
Refusés sur le signataire : withdraw3, usdSend, spotSend, sendAsset, usdClassTransfer, l'approbation d'un second agent, l'approbation de frais de builder. Acceptés : passer et annuler un ordre. Et un accepté qui n'aurait pas dû l'être : vaultTransfer, avec lequel 5 USDC signés par la clé d'agent ont atteint un vault Hyperliquid.
Une clé d'agent ne peut pas sortir d'argent, mais elle peut déposer le compte dans un vault Hyperliquid, y compris dans un vault tenu par un attaquant. lpa ne signe jamais cette action : son gardien signe une liste fermée d'actions de trading. Mais un voleur qui a le fichier de clé et son mot de passe n'a pas besoin de lpa. La plus grande perte possible est ce qui se trouve dans le compte dédié.