支出上限だけでは、AIによる高額な支払いエラーは防げない

AIエージェントは、自らが実行するタスクの支払いをすでに処理している。例えば、ウェブ検索の購入や航空会社の特典座席の空き状況の確認などだ。

BeInCryptoのState of AI Agent Payments 2026レポートは、エージェント取引用に設計されたプロトコルであるx402を介して、BaseおよびSolanaブロックチェーン上で35日間に640万件の支払いを追跡した。

これらの支払いの90%以上は1ペニー未満だったが、データは、企業がAIエージェントに支出能力をますます与えていることを示している。

安全策として、これらのエージェントのほとんどは人間が設定した支出上限に拘束されている。しかし、それで十分だろうか。上限があっても、機械は非常に高くつく壊滅的なエラーを起こし得る。

「エージェントは、悪意のある指示、操作された情報、または誤解された目的に基づいて行動しながら、有効な認証情報を保持し、正当な取引を実行できる。支払いインフラは完全に機能するかもしれないが、それでも資金は間違った場所に送られる」と、最新レポートの共同作成者の1社であるZoomexは述べている。

AIエージェントには支出上限だけでは不十分

当社の調査によると、レビューした19の製品とワークフローのうち14が、人間が設定した権限の範囲内で動作できることが示された。

企業は予算を事前承認し、ソフトウェアが毎回承認を求めずに購入できるようにするかもしれない。

これは企業にとって実用的な出発点となる。タスクを割り当て、そのタスクに利用可能な資金に上限を設定できる。しかし、これらは文書化された管理策であり、攻撃を受けたときにすべてのシステムがそれらを強制するという証拠ではない。

たとえ予算が適切に執行されても、別の問題が残る。所有者はその特定の支払いを意図していたのだろうか。

「最大の懸念は、エージェントが技術的に実行を許可されていることと、所有者が実際に意図していたこととの隔たりだ」とZoomexはBeInCryptoに語った。

公開メッセージがどのように$175,000の送金につながったか

当社の調査による2つの事例は、有害な指示が資金のあるウォレットに到達する経路を示している。

2026年5月、攻撃者はモールス信号でメッセージを投稿した。Grokはそれを解読し、暗号通貨取引を実行するサービスであるBankrをタグ付けした返信を発行した。

Bankrはその返信を支払いリクエストとして扱い、$175,000相当のトークンを移動させた。その後、80%が回収されたと述べた。

2つ目のケースでは、攻撃者がAIXBTのダッシュボードへのアクセスを得て、悪意のある指示をキューに入れた。その結果の送金により、$106,200相当のETHが攻撃者に送られた。

これらの選ばれた事例を合わせると、回収前の総額は$281,200に上る。

予算はリスクにさらされる額を制限できる。支払いを承認済みの受取人に制限すれば、資金の送り先を管理できる。また、繰り返される少額支払いも、気付かれる前に累積し得るため、監視が必要だ。

「データを購入するエージェントが、あなたのトレジャリーを自動的に送金する権限を持つべきではない」とZoomexは述べた。

所有者が発言権を得る場

Zoomexによるレポートへの貢献は、管理を維持する具体的な例を示している。同社が開示したMCP接続により、AIアシスタントが取引注文を準備できる。顧客は各注文を送信前に確認する。

注文記録は、リクエストと結果の取引を関連付ける。当社の調査はそのプロセスを文書化したものであり、攻撃への耐性をテストしたものではない。

人間による承認も慎重な見直しが必要である。FCAの10月のレビューは、人間によるチェックが形式的なルーティンになりつつあると説明し、技術的な管理策と継続的なモニタリングの必要性を強調した。

企業は、狭く定義されたタスクから始め、エージェントが意図したとおりに動作するという証拠を集めるにつれて、その権限を拡大できる。

「各タスクに必要な最小限の権限をエージェントに与え、その権限を簡単に取り消せるようにすべきだ」とZoomexは述べた。

完全版のState of AI Agent Payments 2026レポートを読む。

開示：Zoomexが本レポートをスポンサーした。BeInCryptoは編集権を保持した。