Підписано, але не обґрунтовано: відсутній рівень аудиту платежів ШІ-агентів

Я прочитав специфікації п’яти систем, що дають ШІ-агентам змогу платити, і всі цьогорічні відкриті дослідження їхньої безпеки, які зміг знайти. Усі вони досить добре доводять, що агент мав дозвіл заплатити. Жодна не фіксує, що агент переглянув, перш ніж обрати покупку. Жодна не дозволяє комусь поза оператором агента перевірити це згодом.

Цю прогалину вже експлуатують у лабораторії. Команда Аріельського університету вставила звичайні речення в товарні оголошення й домоглася помилок демонстраційних агентів AP2 від Google у 90%, 56% і 73,3% випадків у трьох сімействах атак. Кошики, створені цими агентами, усе одно проходили всі перевірки протоколу. [R2]

Момент, до якого я постійно повертаюся, міститься в самому розділі безпеки AP2. Там сказано, що всі LLM та агенти «МАЮТЬ розглядатися як потенційні нападники». Потім для покупок за відсутності користувача специфікація покладає на агента-покупця обов’язок MUST не підписувати закриті мандати, що перекриваються. Постачальники облікових даних і мережі отримують лише право MAY відхиляти їх. Отже, єдине обов’язкове правило проти подвійного витрачання покладається на компонент, якому специфікація щойно наказала не довіряти. [A1]

Бракує того, що я назву простежуваністю рішення: запису вхідних даних, які привели до купівлі, із криптографічним зобов’язанням, зафіксованим до підписання, який банк або споживач може перевірити без звернення до оператора агента.

Agent Payments Protocol (AP2) від Google. Анонсований у вересні 2025 року. Версія 0.2 вийшла 28 квітня 2026 року, того самого дня, коли Google передав протокол FIDO Alliance. Він використовує мандати оформлення замовлення та платежу, кожен у відкритій і закритій формах, закодовані як SD-JWT. У режимі Human-Not-Present (HNP) користувач підписує відкриті мандати й залишає процес, а агент-покупець пізніше підписує закриті власним ключем. Запам’ятайте цю останню деталь. [A1][A2][A3]

Mastercard Agent Pay та Verifiable Intent. Agent Pay реєструє агентів і видає токени, обмежувані за агентом, продавцем, категорією, сумою, часовим вікном і використанням. Verifiable Intent, створений разом із Google, з’явився в березні 2026 року. Mastercard позиціонує його як криптографічний доказ того, що дозволив споживач, на який можуть спиратися продавці та емітенти. Його передали FIDO разом з AP2. [C1][C2]

Visa Intelligent Commerce та Trusted Agent Protocol (TAP). TAP запустили разом із Cloudflare у жовтні 2025 року. Агенти підписують HTTP-запити за RFC 9421 відповідно до Web Bot Auth. За специфікацією Visa дійсний підпис показує, що агент зареєстрований у програмі, а зміна заголовка чи шляху робить підпис недійсним. У квітні 2026 року Visa додала Intelligent Commerce Connect, який приймає платежі агентів через TAP, ACP, UCP та Machine Payments Protocol. [C3][C4][C5]

Agentic Commerce Protocol (ACP) від OpenAI та Stripe. За Delegated Payment Spec агент отримує токен із лімітом витрат і строком дії. Цим визначення меж майже вичерпується. Споживчий інтерфейс ChatGPT Instant Checkout вимкнули в березні 2026 року через замалу кількість продавців. Сам ACP продовжує існувати. [C8][C9]

x402 від Coinbase. Він відновлює застосування HTTP-статусу 402 для оплати кожного запиту стейблкоїнами. Позаланцюгові посередники перевіряють платіж, а потім проводять розрахунок у блокчейні. Стаття дослідників EPFL та Чжецзянського університету на USENIX Security 2026 дослідила 15 посередників, через яких проходило 99% спостережуваного трафіку x402. Кожен порушив щонайменше одне з восьми правил безпеки; загалом виявлено 31 недолік. [R5][R11]

Кожна система обслуговує частину платежу. Проблема виникає через тиждень, коли клієнт телефонує до банку й каже, що агент купив не те. Банк хоче знати, що переглядав агент. Відповісти може лише компанія, яка керує агентом, і банку доводиться вірити їй на слово.

Я згрупував опубліковані збої за точками, де одна сторона приймає те, чого інша не може перевірити, й отримав шість груп. Це моя класифікація. Стик потрапляв до переліку лише тоді, коли його прояв показано у статті або самій специфікації.

Це мої оцінки, засновані лише на публічній документації. Вони змінюватимуться разом зі специфікаціями.

Кілька моментів вирізняються. AP2 та x402 мають найбільше опублікованих атак, бо вони відкриті й тому найзручніші для дослідження. Стоси карткових мереж і ACP досліджували публічно дуже мало. Це прогалина в перевірці, яка нічого не говорить про їхню безпеку. Mastercard має найсильніше сформульовану мету щодо фіксації наміру. І кожна система отримує «Ні» в рядку вхідних даних, оскільки в прочитаних мною матеріалах ніде не зафіксовано зобов’язання щодо того, що бачив агент.

Усі описані тут механізми вже публічні; кодів експлойтів у цьому звіті немає.

Минулого грудня Visa заявила, що очікує мільйони покупців, які купуватимуть через агентів до цьогорічного святкового сезону. У листопаді 2025 року її команда ризиків повідомила, що кількість дописів у даркнеті зі згадками ШІ-агентів зросла більш ніж на 450%, а шкідливих транзакцій, ініційованих ботами, зросла на 25% (на 40% у США). [C7]

Водночас формуються правила:

• Консультації Казначейства Великої Британії щодо модернізації платіжних послуг прямо запитують, як мають змінитися автентифікація, згода й відповідальність для платежів агентів. Вони завершуються 6 жовтня 2026 року, а відповідь уряду запланована на четвертий квартал. [L3][L4]
• Після липневого огляду Mills Review FCA заявило, що перегляне межі свого регулювання протягом трьох–шести місяців, тобто приблизно відтепер до січня. [L5]
• Проєкт рамки платежів агентів EMVCo називає Know Your Agent та індикатори транзакцій агентів можливими функціями. Приймання коментарів завершується 30 вересня. [L6]
• Робоча група FIDO з платіжних технологій під головуванням Mastercard і Visa тепер опікується як AP2, так і Verifiable Intent. [A3]

Те, що ці чотири групи опублікують до початку наступного року, визначить докази, які має супроводжувати купівлю агента. Якщо простежуваність рішення не включать, гадаю, її додадуть пізніше, коли накопичаться спори.

Джерелами були специфікація AP2 v0.2, зокрема розділ безпеки, специфікація TAP від Visa, Delegated Payment Spec від OpenAI, публікації Mastercard про Agent Pay і Verifiable Intent та оголошення FIDO від 28 квітня. Додатково я прочитав дослідження безпеки AP2, x402 і MCP, опубліковані з лютого до вересня 2026 року. Для кожного засобу контролю я позначив його місце в транзакції та перехід, який він охоплює. Неохоплені переходи утворили шість стиків.

Жодної виробничої системи для цього не тестували. Жодне наведене число не походить із моєї лабораторії. Щоб змінити це, я запланував три роботи. По-перше, повторити атаку Аріельського університету на вибір на прикладах AP2 v0.2 за допомогою CRUCIBLE, мого засобу оцінювання з умовним противником. По-друге, спрямувати MCP Trust Scanner на публічні MCP-сервери, пов’язані з платежами. По-третє, створити невеликий прототип Matrix Scroll, що фіксує зобов’язання щодо вхідних даних агента й перевіряє їх офлайн. Результати публікуватиму тут у міру отримання.

Більшість цитованих робіт є препринтами arXiv, що ще не пройшли рецензування. Винятком є дослідження посередників x402, представлене на USENIX Security. Стаття Аріельського університету описує AP2 зі старішими назвами мандатів: намір, кошик і платіж. Я всюди використовую назви з v0.2, а автори зазначають, що тестували еталонну збірку v0.2.0.