Wisp 的安全模型依赖不可变合约、偿付不变量、预毕业转账锁和受限治理路径。
每个 Market 和 Token 部署后不可升级。创建者不能改曲线、保底、毕业目标或费用层，也不能暂停交易或抽走 Market 资金。
保底相关入口都会在状态变更末尾检查偿付不变量。任何会让协议余额不足以支持保底的交易都会回滚。
毕业前，WispToken 只能在协议允许的路径中移动。这避免了毕业前外部 LP、转账绕行和 V3 池抢先注入流动性。
唯一带人控提现能力的是 Fees 的协议储备路径。它经过 48 小时时锁；部署 30 天后，任何人都可以触发 RenouncementScheduler 永久关闭这条路径。
LP Vault 托管 V3 NFT，但接口只暴露收手续费路径。它不能 decreaseLiquidity、burn 或 transfer NFT。