Модель, которая действует
Обычная модель отвечает на вопрос. Агентской дают цель, набор инструментов (поиск, файл, команду оболочки, API) и разрешение ими пользоваться, и она идёт по кругу: вызывает инструмент, читает результат, решает следующий шаг. Агентской её делает именно действие.
Ничего принципиально нового в этом нет: программа всегда могла вызвать API. Ново то, что выбор вызова делает модель, читающая текст, так что она берётся за работу, под которую никто не писал правила, и ошибается там, где правило ошибиться не может.
Любую такую систему описывают два вопроса: какие инструменты она держит и что ей можно делать, не спрашивая.
Где это используют
- Писать и запускать код, затем читать вызванную им ошибку и пробовать снова.
- Читать и разбирать документы: вытаскивать из них цифры, заполнять форму, подшивать запись туда, где ей место.
- Управлять программой через её API: передвинуть задачу, отправить сообщение, забронировать место, выставить ордер.
- Наблюдать за чем-нибудь и действовать, когда условие, за которым велели следить, выполнено.
Форма каждый раз одна: цель словами, набор инструментов, цикл и правило остановки. Разница между полезным агентом и опасным это почти никогда не модель; это то, что положили в пределах его досягаемости.
Что ломается, когда дело касается денег
- Она может прочитать неверно или сказать то, чего не читала. Цифра, сдвинутая на один знак после запятой, это позиция в десять раз крупнее, а модель, у которой спросили число, число даст.
- Данные, которые она читает, могут ею распоряжаться. Текст, притянутый извне, может нести указания, и модель, принявшая их за свои, им последует.
- Она может пойти по кругу, а круги стоят денег. Повторённый шаг это повторённая комиссия, а в стакане повторённый ордер это позиция, которой никто не хотел.
- Её ключ могут украсть. Ключ на машине, которая работает без присмотра, это ключ, до которого может добраться нападающий, и если этот ключ двигает деньги, то деньги уже сдвинуты.
Что его ограничивает
Границ существует три вида, и они не заменяют друг друга. Путая их, систему и оставляют под защитой одной только самой слабой.
| Граница | Что это | Чего она не может |
|---|---|---|
| Ключ с ограниченной властью | Удостоверение, которое ограничивает сама площадка: часть действий он подписывает, а остальным отказывают по прибытии. | Остановить плохое действие среди тех, которые ему подписывать разрешено. |
| Лимиты | Максимум на действие и на день, список разрешённых рынков, бюджет для самой модели. | Удержать, если они живут в файле, который может править любой, кто дошёл до машины. |
| Мандат | Те же лимиты, подписанные человеком на устройстве, до которого машина не достаёт, и проверяемые кодом перед каждым действием. | Узнать, хорош ли тот план, который он разрешает. |
Журнал это не граница, но без него ни одну границу нельзя проверить после дела. Порядок силы важен: то, что отклоняет площадка, сильнее всего, подписанный лимит идёт следом, а файл настроек слабее всех, потому что кто дошёл до машины, дошёл и до файла.
Два ключа и мандат
Locker Protocol Agentic применяет все три вот так. Ключей два, и это не одно и то же. Ключ счёта остаётся в вашем кошельке, прежде всего в Locker Vault на офлайновом телефоне, или в выбранном вами расширении либо мобильном кошельке, и может всё: вывести, отправить, одобрить агента, подписать мандат. Ключ агента живёт на компьютере, запертый под паролем, и может только выставлять и отменять ордера и задавать плечо и маржу рынка.
Мандат держит лимиты, подписанные вашим кошельком: максимальный ордер, максимальное плечо, рынки, ордеров в день, номинал, открываемый за день, разрешённые действия, ставку комиссии и её единственного получателя, и дату, самое позднее срок самого ключа агента, не больше 180 дней. Хранитель применяет более узкое из мандата и локальной политики и проверяет его подпись перед каждым открытием.
Ключ агента счёт одобряет на Hyperliquid не больше чем на 180 дней, это потолок, который Hyperliquid позволяет, и его можно отозвать из вашего кошелька. Более короткий срок мандата раз в месяц возвращает вас к кошельку, так что ни один месяц торговли не проходит без того, чтобы лимиты прочитали заново.
Что говорит измерение 28 сентября
Утверждение, что одобренный ключ агента может только торговать, проверили, а не приняли на веру. 28 сентября 2026 года, в основной сети, тестовый счёт одобрил свежего агента на час, и агент подписал каждое действие с деньгами на 1 000 USDC при балансе около 60: сдвинуться ничто не могло, так что считался только отказ.
Отклонено на подписывающем: withdraw3, usdSend, spotSend, sendAsset, usdClassTransfer, одобрение второго агента, одобрение комиссии разработчика. Принято: выставить и отменить ордер. И одно принятое, которого быть не должно: vaultTransfer, которым 5 USDC, подписанные ключом агента, дошли до хранилища Hyperliquid.
Ключ агента не может вынести деньги, но он может внести счёт в хранилище Hyperliquid, в том числе в такое, которым управляет нападающий. lpa никогда не подписывает это действие: его хранитель подписывает закрытый список торговых действий. Но вору с файлом ключа и его паролем lpa и не нужен. Наибольший возможный убыток это то, что лежит на выделенном счёте.