Почему каждому ИИ-агенту нужен кошелёк

Агент может давать рекомендации, не касаясь денег. Исполнение — совсем другое дело. Как только агент оплачивает данные, покупает вычислительные ресурсы, ребалансирует позицию или исполняет сделку в сети, ему нужно место для хранения средств, авторизации их перемещения и установки лимитов до того, как деньги будут переведены. Таким местом является кошелёк — именно поэтому MetaMask Agent Wallet и AgentKit от Coinbase были запущены в 2026 году, чтобы расширить возможности агентов и новой цифровой экономики. Coinbase также способствовал популяризации платёжного протокола x402, который многие агенты теперь используют для оплаты API, вычислений и данных.

Вопрос о том, нужен ли исполняющему агенту кошелёк, уже решён. Стоит задаться другим вопросом: где сосредоточен контроль, пока агент им пользуется? Сохраняет ли пользователь экспортируемый ключ и напрямую устанавливает лимиты агента, или путь исполнения агента остаётся привязанным к инфраструктуре провайдера на всё время работы? MetaMask Agent Wallet придерживается первого подхода: самостоятельный кошелёк с программируемыми ограничениями, созданный специально для агентов, которые действуют.

Для знакомства с основами читайте статью Что такое агентский кошелёк, а затем погрузитесь в техническую архитектуру: Как ИИ-агенты совершают транзакции, не касаясь ваших ключей. Для сравнения см. Лучшие агентские кошельки 2026 года. В этой статье рассматривается, почему уровень кошелька теперь неизбежен для любого действующего агента и почему именно кастодиальность определяет, насколько реальна автономия этого агента.

Переход от агентов, которые советуют, к агентам, которые действуют

Агент, который только генерирует текст, не нуждается в работе с деньгами. Его результат — это предложение, которое человек всё равно должен исполнить сам. Такова была стандартная модель большинства развёрнутых агентов на сегодняшний день, и это же является их потолком: агент, способный лишь давать советы, требует участия человека на каждом финансовом шаге, что ограничивает объём работы, которую он реально может выполнить.

Агенты, которые создаются сейчас, устроены иначе. Они отслеживают позицию в DeFi и напрямую её ребалансируют. Они ищут вычислительные ресурсы или данные у нескольких провайдеров и платят тому, кто в данный момент предлагает наименьшую цену. Они исполняют сделку вместо того, чтобы её описывать. Каждое из этих действий требует одной и той же базовой возможности: хранить ценность и перемещать её в сети с той скоростью, с которой работает агент, не ожидая, пока человек разблокирует следующий шаг.

Эта возможность исходит не от языковой модели. Она исходит от кошелька. Рассуждения агента могут быть сколь угодно хороши, но без способа хранить средства и авторизовывать их перемещение он остаётся лишь системой рекомендаций. Кошелёк — это то, что превращает решение в действие. Именно поэтому данная категория за считанные месяцы превратилась из предмета интереса разработчиков в полноценную продуктовую линейку у MetaMask, Coinbase, Cobo и OKX.

Что на самом деле нужно агенту для совершения транзакций

Чтобы действовать, а не советовать, агенту нужны три вещи: баланс, из которого он может расходовать средства, способ оплачивать то, что он потребляет в процессе работы, и возможность исполнять транзакции в сети без подтверждения каждого отдельного шага человеком.

Второе требование новее, чем кажется. Программное обеспечение всегда платило за инфраструктуру, но, как правило, через управляемые человеком счета, подписки или сохранённые карты, а не через платёж, который агент инициирует самостоятельно в процессе выполнения задачи. Агенты, обращающиеся к платным API, покупающие инференс у другой модели или получающие лицензионные данные, должны оплачивать эти расходы в режиме реального времени. x402 закрывает этот пробел: открытый протокол, построенный на HTTP-статусе 402 «Payment Required», который позволяет серверу запросить оплату, а клиенту — произвести её в рамках одного обмена, без создания аккаунта и без участия человека в процессе. MetaMask Agent Wallet в настоящее время поддерживает x402 на стороне покупателя, поэтому агент может оплачивать эндпоинты, защищённые x402, напрямую из своего кошелька. x402 существует отдельно от самого кошелька: он определяет, как платёж оценивается и исполняется, а не кто держит ключи и что агенту разрешено тратить. Этот вопрос по-прежнему остаётся за кошельком.

В совокупности именно это имеют в виду под агентской коммерцией или платежами между машинами: программное обеспечение платит программному обеспечению, со скоростью выполнения кода, за услуги, которые раньше требовали участия человека с кредитной картой. Ничто из этого не работает без кошелька в основе.

Вопрос кастодиальности

Как только становится ясно, что действующему агенту нужен кошелёк, более важным становится вопрос: кто им управляет. На рынке сегодня прослеживаются три модели, находящиеся на разных стадиях доступности, и каждая отвечает на этот вопрос по-своему.

Терминология кастодиальности варьируется в зависимости от продукта, и провайдеры описывают свои модели достаточно честно. Coinbase называет Agentic Wallets некастодиальными кошельками, защищёнными внутри доверенной среды исполнения (TEE), в сочетании с программируемыми лимитами расходов и KYT-проверкой. OKX описывает свой Agentic Wallet аналогично: ключи управляются внутри TEE и никогда не передаются модели. Cobo позиционирует свой Agentic Wallet на основе MPC-разделения ключей и движка политик на базе Pact, созданного для «корпоративной автоматизации с детализированным управлением политиками». Всё это — легитимные модели безопасности, и MetaMask Agent Wallet также использует инфраструктуру на базе TEE для защиты подписания. Различие, важное для данной статьи, уже, чем «TEE против не-TEE»: речь идёт о том, держит ли пользователь экспортируемый ключ и путь выхода, или исполнение агента остаётся привязанным к кошельку, управляемому провайдером, на всё время работы агента.

Это принцип самостоятельного хранения, применённый к новому типу пользователя. Инфраструктура, управляемая провайдером, может быть действительно безопасной, но она остаётся частью цепочки доверия для каждой транзакции агента на всё время его работы: такая инфраструктура может заморозить, ограничить или изменить условия — независимо от намерений провайдера. Самостоятельная архитектура позволяет пользователю сохранить путь экспорта или восстановления и напрямую определять лимиты агента, не завися исключительно от аккаунта, управляемого провайдером. Для агента, действующего автономно от имени пользователя, именно это различие определяет, путешествует ли его автономия вместе с пользователем или остаётся ограниченной средой исполнения провайдера.

Автономия без безрассудства: программируемые ограничения

Самостоятельное хранение само по себе не является исчерпывающим ответом. Самостоятельный кошелёк без ограничений позволил бы агенту делать всё, что позволяет баланс пользователя, — а это риск иного рода. Настоящий ответ сочетает самостоятельное хранение с программируемыми ограничениями, заданными заранее: лимиты расходов, список разрешённых протоколов, сессионные лимиты, лимиты на транзакцию и журнал каждого действия агента с указанием причины.

Ограничения — это то, что позволяет наделить агента постоянными полномочиями вместо того, чтобы вручную подтверждать каждую транзакцию. Лимит расходов ограничивает убытки от неудачной сделки, не рискуя всем счётом. Список разрешённых протоколов ограничивает агента контрактами, которые пользователь уже проверил. Сессионные лимиты и лимиты на транзакцию ограничивают ущерб от единственного скомпрометированного запроса или вредоносного ответа, а журнал аудита позволяет восстановить каждое действие постфактум. Всё это не требует отказа от автономии — напротив, это определяет границы, в которых автономия действует.

На практике сегодня это выглядит как два режима работы: режим по умолчанию, консервативный, который применяет дневные лимиты расходов и список разрешённых протоколов, заданных при настройке, и приостанавливает работу для двухфакторного подтверждения при любом выходе за эти рамки или при срабатывании сканирования угроз; и второй, опциональный режим, который даёт агенту больше свободы в пограничных случаях политики, при этом по-прежнему блокируя явно вредоносные транзакции. В MetaMask Agent Wallet эти режимы называются Guard Mode и Beast Mode соответственно. В любом случае ограничения определяются пользователем до начала работы агента, а не согласовываются агентом в процессе.

MetaMask Agent Wallet: самостоятельное хранение, созданное для агентов

MetaMask Agent Wallet — это самостоятельный кошелёк, созданный специально для ИИ-агентов, и его ключевое архитектурное решение состоит в том, что ключи держит пользователь, а не MetaMask. Кошелёк позволяет агенту исполнять свопы, бессрочные фьючерсы, рынки предсказаний, стейкинг и предоставление ликвидности на EVM-совместимых сетях и Hyperliquid — всё из одного самостоятельного кошелька.

Каждая поддерживаемая EVM-транзакция проходит через конвейер безопасности перед попаданием в сеть: симуляция транзакции, сканирование угроз на базе Blockaid через Transaction Shield и защита от MEV через Smart Transactions. Этот конвейер работает независимо от выбранного режима: Guard Mode по умолчанию, который требует двухфакторного подтверждения для всего, что выходит за рамки лимитов расходов или списка разрешённых протоколов пользователя, или Beast Mode, который даёт агенту больше свободы в пограничных случаях политики, при этом по-прежнему блокируя вредоносные транзакции и направляя их на проверку через 2FA. Ключи защищены с помощью доверенной среды исполнения, оставаясь при этом экспортируемыми пользователем в любой момент, а подходящие транзакции, прошедшие конвейер, покрываются защитой Transaction Protection на сумму до $10 000 в месяц — при соответствии условиям, с учётом лимитов и условий программы.

MetaMask Agent Wallet в настоящее время ориентирован на CLI и создан для интеграции с агентскими фреймворками, включая Claude Code, Codex, OpenClaw, Hermes, OpenCode и Cursor. Он доступен уже сегодня через программу раннего доступа, а общая доступность ожидается в ближайшее время. Полное описание того, как транзакция проходит путь от инструкции до исполнения внутри этой архитектуры, см. в статье Как ИИ-агенты совершают транзакции, не касаясь ваших ключей.

Что это означает для разработчиков, создающих агентские рои

Случай с роем агентов — это то место, где вопрос кастодиальности многократно усиливается. Один агент с ключом, хранящимся у провайдера, — это одна точка доверия. Рой из дюжины агентов, каждый из которых совершает транзакции независимо, умножает эту уязвимость — а если они используют один общий кошелёк, управляемый провайдером, один скомпрометированный агент или инцидент с инфраструктурой может затронуть весь рой одновременно.

Самостоятельная архитектура даёт разработчику два способа ограничить радиус поражения. Каждый агент может получить собственный выделенный кошелёк с собственными лимитами расходов — для максимальной изоляции и чистоты журнала аудита. Или один пользовательский кошелёк может предоставить каждому агенту ограниченное делегированное разрешение — актив, сумма, срок действия и ограничения определяются заранее — чтобы не нужно было распределять капитал по отдельно пополняемым кошелькам. Многие производственные системы используют оба подхода: один пополненный кошелёк для широкого исполнения и ограниченные делегирования для более узких, повторяющихся задач, таких как оплата данных или вычислений через x402. Любой из этих подходов сохраняет за пользователем, а не за третьей стороной, роль источника истины о том, что может делать любой агент в рое, — и ограничивает цену ошибки в вопросе кастодиальности собственной политикой пользователя, а не инфраструктурой провайдера.