ИИ-агенты уже самостоятельно оплачивают то, что им нужно для выполнения задач — от покупки доступа к веб-поиску до проверки наличия бонусного места на авиарейсе. И этот процесс масштабируется быстрее, чем компании успевают выстроить контроль над ним.
За 35 дней зафиксировано 6,4 млн платежей через протокол x402 — инфраструктуру расчетов между агентами — в сетях Base и Solana. Более 90% этих транзакций были меньше цента, однако сами данные показывают: бизнес все охотнее разрешает машинам тратить деньги.
Для безопасности большинство таких агентов работают в рамках лимитов, которые задает человек. Но достаточно ли этого? Даже в пределах лимита машина способна допустить катастрофическую ошибку, которая обойдется очень дорого.
«Агент может иметь действительные учетные данные и провести легитимную транзакцию, действуя при этом по вредоносной инструкции, на основе подмененной информации или неверно понятой цели. Платежная инфраструктура может сработать идеально, но деньги все равно уйдут не туда».
Лимита на расходы ИИ-агентам недостаточно
Исследование показало: 14 из 19 рассмотренных продуктов и рабочих процессов умеют действовать в рамках разрешений, заданных людьми. Компания может заранее утвердить бюджет, и тогда программа будет совершать покупки, не спрашивая разрешения каждый раз.
Это дает бизнесу практичную отправную точку: делегировать задачу и ограничить сумму, доступную для ее выполнения. Но речь идет о задокументированных механизмах контроля, а не о доказательстве того, что каждая система выдержит их при атаке. Даже корректно соблюденный бюджет оставляет открытым другой вопрос: хотел ли владелец, чтобы именно этот платеж был сделан?
«Главная проблема — разрыв между тем, что агенту технически разрешено, и тем, чего на самом деле хотел его владелец».
Как публичное сообщение превратилось в перевод на $175 000
Два инцидента наглядно демонстрируют, как опасные инструкции могут добраться до кошелька с деньгами.
В мае 2026 года злоумышленник опубликовал сообщение азбукой Морзе. Grok расшифровал его и выложил ответ с упоминанием Bankr — сервиса, который исполняет криптотранзакции. Bankr воспринял этот ответ как платежное поручение и перевел токены на $175 000. Позже сервис сообщил, что 80% средств удалось вернуть.
Во втором случае злоумышленник получил доступ к панели управления AIXBT и поставил в очередь вредоносные инструкции. В результате на его адрес ушло ETH на $106 200.
В сумме в этих двух случаях речь шла о $281 200 до возврата средств.
Бюджет снижает сумму, которая находится под угрозой. Ограничение платежей списком одобренных получателей решает вопрос, куда вообще могут уйти деньги. Повторяющиеся мелкие платежи тоже нужно отслеживать: они могут накопиться до того, как кто-то их заметит.
«Агент, который покупает данные, не должен автоматически получать право переводить средства из вашей казны».
Где последнее слово остается за владельцем
Раскрытое MCP-подключение позволяет ИИ-ассистентам готовить торговые ордера, при этом клиент подтверждает каждый ордер перед отправкой. Записи об ордерах затем связывают запрос с совершенной сделкой. Такой процесс задокументирован, но его устойчивость к атакам не проверена.
Одобрение человеком тоже должно быть осмысленным. В октябрьском обзоре британского регулятора FCA говорилось, что человеческие проверки превращаются в формальность, и подчеркивалась необходимость технических мер контроля и постоянного мониторинга.
Бизнес может начать с узко очерченных задач и расширять полномочия агента по мере того, как накапливаются доказательства, что он ведет себя как задумано.
«Агентам нужно давать минимальные полномочия, необходимые для каждой задачи, и эти полномочия должно быть легко отозвать».
Анализ Cryptalist: Рынок агентных платежей демонстрирует взрывной рост транзакционной активности, но инфраструктура безопасности явно отстает от скорости внедрения. Кейсы на $281 200 — это лишь верхушка айсберга: по мере масштабирования x402 и подобных протоколов риски будут расти нелинейно. Институциональным участникам стоит рассматривать ограничение полномочий, белые списки получателей и технический мониторинг не как опцию, а как обязательное условие допуска ИИ-агентов к корпоративным кошелькам.