Почему подписи недостаточно для безопасного платежа AI-агента?

Криптографическая подпись доказывает, что AI-агент использовал разрешенный ключ, но не всегда доказывает, что конкретная покупка соответствовала намерению владельца. Безопасной системе нужны предел суммы, разрешенные получатели, срок действия, правила повторных платежей и возможность отзыва полномочий. Иначе технически корректная транзакция может быть экономически нежелательной.

Чем подпись отличается от намерения?#

Подпись отвечает на вопрос: «Эта транзакция создана обладателем данного ключа?» Намерение отвечает на более широкий вопрос: «Владелец действительно разрешил агенту купить именно это, у этого продавца, в этот период и в пределах такого бюджета?»

Если агент получил общий ключ без ограничений, ошибка модели, подмена инструкции или компрометация сервиса может привести к корректно подписанной, но неразрешенной по смыслу операции.

Что изменилось в обсуждении agentic payments?#

В сентябре EMVCo представила draft framework для платежей AI-агентов. Центральный вопрос документа - как установить, что человек делегировал агенту полномочия, и как хранить состояние намерения для повторных покупок, суммарных бюджетов и действий после транзакции.

Ethereum.org описывает onchain-платежи и x402 как растущую область, но прямо отмечает экспериментальный характер AI-агентов. Блокчейн улучшает проверяемость, однако не решает автоматически проблему полномочий.

Какие ограничения должны быть у агента?#

Минимальный набор включает лимит на одну операцию, общий бюджет за период, список разрешенных категорий или адресов, срок действия мандата и правило ручного подтверждения для исключений. Полезно отделять кошелек агента от основного хранилища.

Журнал должен показывать исходную задачу, примененное правило, выбранного получателя и результат проверки. Это позволяет разбирать ошибку без догадок.

Где ограничения и риски?#

Даже хорошо описанное намерение может быть двусмысленным. Цена, товар или получатель меняются между планированием и оплатой. Злоумышленник может подменить контекст, а агент - ошибочно интерпретировать разрешение.

Слишком жесткие лимиты делают систему бесполезной, а слишком широкие возвращают риск полного доступа. Кроме того, разные платежные сети могут по-разному понимать отзыв и финальность.

Как выглядит безопасный минимум?#

Агент получает отдельный ограниченный бюджет, короткий срок полномочий и только необходимые разрешения. Любое расширение требует нового согласия, а владелец может быстро остановить будущие платежи.

Это не рекомендация передавать средства AI-агентам. Принцип прост: подпись необходима, но безопасная автономия начинается с проверяемого намерения и узких полномочий.