智能体 AI 是什么？

一个会动手的模型

一个普通的模型回答问题。一个智能体式的模型拿到的是一个目标、一组工具（一次搜索、一个文件、一条 shell 命令、一个 API）和使用它们的许可，然后它就开始循环：调用一个工具、读结果、决定下一步。动手这件事，正是它之所以叫智能体的原因。

它在种类上并没有什么新东西：程序一直都能调用 API。新的是，调用哪一个由一个在读文字的模型来选，所以它能处理没人为之写过规则的活儿，也能在规则管不到的地方出错。

两个问题就能描述任何这样的系统：它手里有哪些工具，以及它不问就可以做什么。

它用在哪里

• 写代码并把它跑起来，然后读自己造成的那个报错，再试一次。
• 读文档并把它们归置好：从里面把数字抽出来、填一张表、把一份记录归到它该去的地方。
• 通过 API 操作软件：移动一张工单、发出一条消息、订一个位子、下一笔订单。
• 盯着某样东西，并在它被告知要盯的那个条件满足时动手。

形状每次都一样：一个用文字写的目标、一组工具、一个循环，还有一条停下来的规则。一个有用的智能体和一个危险的智能体之间的差别，几乎从来不在模型，而在于什么被放到了它够得着的地方。

它一碰上钱会出什么错

• 它可能读错，也可能说出它根本没读到的东西。一个小数点错位的数字，就是一个大了十倍的仓位，而一个被要求给出数字的模型，一定会给出一个。
• 它可能被它读到的数据指挥。从外面取来的文字可能夹带指令，而一个把它们当成自己指令的模型会照做。
• 它可能打转，而打转是要花钱的。重复一步就是重复一次手续费，而在一本订单簿上，重复一次下单就是一个没人想要的仓位。
• 它的密钥可能被偷。一台无人值守运行的机器上的密钥，是攻击者够得着的密钥，而一把能搬钱的密钥，那就是钱被搬走。

什么框住它

存在三类约束，而它们不能互相替代。把它们搞混，就是一个系统最后只靠最弱的那一类护着的原因。

日志不是一种约束，但没有它，任何约束都没法事后核查。强弱的次序很重要：交易场所拒绝的那一层最强，一条签过名的额度次之，而一个配置文件最弱，因为谁够到这台机器，谁就够到这个文件。

两把密钥和一份授权书

Locker Protocol Agentic 就是这样把这三类用起来的。存在两把密钥，而它们不是一回事。账户密钥待在你的钱包里，首选一部离线手机上的 Locker Vault，或者你选定的浏览器扩展或手机钱包，它什么都能做：提币、发送、批准一个代理、签署一份授权书。代理密钥住在电脑上，用一个密码封存着，而且只能下单、撤单，以及设定一个市场的杠杆和保证金。

授权书装着用你的钱包签下的那些额度：最大单笔订单、最高杠杆、那些市场、每天的订单数、每天开出的名义金额、允许的用途、费率和它唯一的收款方，还有一个日期，最迟是代理密钥自己的结束日，最多 180 天。守护进程取授权书和本地策略里更窄的那一个，并在每一次开仓之前核查它的签名。

代理密钥由账户在 Hyperliquid 上批准，最长 180 天，那是 Hyperliquid 允许的上限，而且可以从你的钱包吊销。授权书更短的期限每月把你请回钱包前一次，所以不会有哪个月的交易，是在没人重新读过那些额度的情况下过去的。

9 月 28 日那次实测说了什么

“一把已批准的代理密钥只能交易”这个说法，是被测过的，不是被假定的。2026 年 9 月 28 日，在主网上，一个测试账户批准了一把新的代理密钥一小时，而这把密钥对每一个资金动作都签了 1,000 USDC，账上余额却只有大约 60：什么都动不了，所以只有被拒这件事算数。

在这个签名者上被拒的是：withdraw3、usdSend、spotSend、sendAsset、usdClassTransfer、批准第二个代理、批准一笔建单方费用。被接受的是：下单和撤单。还有一个本不该被接受的被接受了：vaultTransfer，用它，由代理密钥签出的 5 USDC 进了一个 Hyperliquid 金库。