Um modelo que age
Um modelo comum responde a uma pergunta. Um agêntico recebe um objetivo, um conjunto de ferramentas (uma busca, um arquivo, um comando de shell, uma API) e permissão para usar, e entra em laço: chama uma ferramenta, lê o resultado, decide o passo seguinte. É o agir que o torna agêntico.
Nada disso é novo em espécie: um programa sempre pôde chamar uma API. O novo é que a escolha da chamada é feita por um modelo que lê texto, então ele dá conta de um trabalho para o qual ninguém escreveu regra, e erra onde uma regra não erraria.
Duas perguntas descrevem qualquer sistema assim: que ferramentas ele tem, e o que ele pode fazer sem pedir.
Onde isso é usado
- Escrever e rodar código, depois ler o erro que ele causou e tentar de novo.
- Ler e organizar documentos: tirar números deles, preencher um formulário, arquivar um registro no lugar dele.
- Operar um software pela API dele: um ticket movido, uma mensagem enviada, uma reserva feita, uma ordem colocada.
- Vigiar alguma coisa e agir quando uma condição que lhe foi mandada vigiar acontece.
A forma é a mesma todas as vezes: um objetivo em palavras, um conjunto de ferramentas, um laço e uma regra de parada. A diferença entre um agente útil e um perigoso quase nunca é o modelo; é o que foi posto ao alcance dele.
O que pode dar errado quando ele mexe com dinheiro
- Ele pode ler errado, ou afirmar o que nunca leu. Um número fora de lugar por uma vírgula é uma posição dez vezes grande demais, e um modelo a quem se pede um número vai dar um.
- Os dados que ele lê podem instruí-lo. Um texto trazido de fora pode levar instruções, e um modelo que as toma como suas vai segui-las.
- Ele pode entrar em laço, e laços custam. Um passo repetido é uma taxa repetida, e em um livro de ofertas uma ordem repetida é uma posição que ninguém quis.
- A chave dele pode ser roubada. Uma chave em uma máquina que roda sem vigilância é uma chave que um atacante alcança, e uma chave que move dinheiro é então dinheiro movido.
O que o limita
Existem três tipos de limite, e eles não se trocam entre si. Confundir os três é como um sistema acaba protegido só pelo mais fraco.
| O limite | O que é | O que ele não consegue fazer |
|---|---|---|
| Uma chave com poder limitado | Uma credencial que a própria plataforma restringe: ela assina algumas ações e o resto é recusado na chegada. | Parar uma ação ruim entre as que ela tem permissão de assinar. |
| Limites | Um máximo por ação e por dia, uma lista de mercados permitidos, um orçamento para o próprio modelo. | Aguentar, se eles vivem em um arquivo que qualquer um que chegue à máquina pode editar. |
| Um mandato | Os mesmos limites, assinados pela pessoa em um aparelho que a máquina não alcança, e conferidos por código antes de cada ação. | Saber se o plano que ele permite é um bom plano. |
Um diário não é um limite, mas sem ele nenhum limite pode ser conferido depois. A ordem de força importa: o que a plataforma recusa é o mais forte, um limite assinado vem depois, e um arquivo de configuração é o mais fraco, porque quem chega à máquina chega ao arquivo.
Duas chaves e um mandato
O Locker Protocol Agentic aplica os três assim. Existem duas chaves, e elas não são a mesma coisa. A chave da conta fica na sua carteira, o Locker Vault num celular sem rede em primeiro lugar, ou a extensão ou a carteira de celular que você escolheu, e pode tudo: sacar, enviar, aprovar um agente, assinar um mandato. A chave de agente vive no computador, selada com uma senha, e só pode colocar e cancelar ordens e definir a alavancagem e a margem de um mercado.
O mandato leva os limites assinados com a sua carteira: a ordem maior, a alavancagem máxima, os mercados, as ordens por dia, o nocional aberto por dia, os usos permitidos, a alíquota de taxa e o único destinatário dela, e uma data, no mais tarde o fim da chave de agente, 180 dias no máximo. Um guardião aplica o mais estreito entre o mandato e a política local, e confere a assinatura dele antes de cada abertura.
A chave de agente é aprovada pela conta na Hyperliquid por 180 dias no máximo, o teto que a Hyperliquid permite, e pode ser revogada pela sua carteira. O prazo mais curto do mandato traz você de volta à sua carteira uma vez por mês, então nenhum mês de trading passa sem que os limites sejam lidos outra vez.
O que a medição de 28 de setembro diz
A afirmação de que uma chave de agente aprovada só consegue negociar foi testada em vez de suposta. Em 28 de setembro de 2026, na mainnet, uma conta de teste aprovou uma chave de agente nova por uma hora, e o agente assinou cada ação sobre os fundos no valor de 1.000 USDC contra um saldo de cerca de 60: nada podia se mover, então só a recusa contava.
Recusados no assinante: withdraw3, usdSend, spotSend, sendAsset, usdClassTransfer, aprovar um segundo agente, aprovar uma taxa de builder. Aceitos: colocar e cancelar uma ordem. E um aceito que não devia ter sido: vaultTransfer, com o qual 5 USDC assinados pela chave de agente chegaram a um vault da Hyperliquid.
Uma chave de agente não consegue tirar dinheiro, mas consegue depositar a conta em um vault da Hyperliquid, inclusive um que um atacante mantenha. O lpa nunca assina essa ação: o guardião dele assina uma lista fechada de ações de trading. Mas um ladrão com o arquivo da chave e a senha dela não precisa do lpa. O maior prejuízo possível é o que está na conta dedicada.