AWP (Agent Work Protocol)

Résumé de l'audit

L'AWP (Agent Work Protocol) est une compétence blockchain complète pour le staking, la gouvernance et la gestion du worknet sur Base/Ethereum/Arbitrum/BSC. 38 scripts Python/Node groupés couvrant l'onboarding, le staking, la gouvernance et la surveillance. Les scripts sont bien structurés avec argparse, une gestion appropriée des erreurs et la signature EIP-712. La sécurité est forte : liste d'autorisation de contrats à deux couches (statique ∩ distante) dans wallet-raw-call.mjs, pas de secrets codés en dur, pas de shell=True dans les appels subprocess, démon optionnel avec flux de consentement explicite. Déduction mineure : utilisation de subprocess pour les appels CLI awp-wallet (forme liste, sûr), et le démon envoie des notifications via le CLI openclaw (télémétrie bénigne mais initiée par l'utilisateur). 3/38 scripts ont fonctionné avec succès (awp_lib, preflight, query-dao) ; la plupart des autres s'arrêtent en raison d'arguments manquants (comportement correct) ou de l'absence de la dépendance awp-wallet.

Dépendances manquantes

Notes

Compétence blockchain bien conçue avec une posture de sécurité solide. La liste d'autorisation à deux couches pour les appels de contrats empêche une API compromise d'injecter des adresses malveillantes. Pas d'exfiltration d'identifiants, pas de mise à jour automatique, pas de commandes destructrices. Le démon est une surveillance en lecture seule avec consentement explicite. Les appels subprocess utilisent la forme liste (pas d'injection shell). Le risque principal de la compétence est la complexité des 38 scripts et la dépendance au CLI externe awp-wallet, mais le modèle de sécurité est solide.