ШІ-агенти вже самостійно оплачують те, що їм потрібно для виконання завдань — від купівлі доступу до вебпошуку до перевірки наявності бонусного місця на авіарейсі. І цей процес масштабується швидше, ніж компанії встигають вибудувати контроль над ним.
За 35 днів зафіксовано 6,4 млн платежів через протокол x402 — інфраструктуру розрахунків між агентами — у мережах Base і Solana. Понад 90% цих транзакцій були меншими за цент, однак самі дані показують: бізнес дедалі охочіше дозволяє машинам витрачати гроші.
Для безпеки більшість таких агентів працюють у межах лімітів, які задає людина. Але чи достатньо цього? Навіть у межах ліміту машина здатна припуститися катастрофічної помилки, яка коштуватиме дуже дорого.
«Агент може мати дійсні облікові дані й провести легітимну транзакцію, діючи при цьому за шкідливою інструкцією, на основі підміненої інформації чи неправильно зрозумілої мети. Платіжна інфраструктура може спрацювати бездоганно, але гроші все одно підуть не туди».
Ліміту на витрати ШІ-агентам недостатньо
Дослідження показало: 14 з 19 розглянутих продуктів і робочих процесів уміють діяти в межах дозволів, заданих людьми. Компанія може заздалегідь затвердити бюджет, і тоді програма буде здійснювати покупки, не питаючи дозволу щоразу.
Це дає бізнесу практичну відправну точку: делегувати завдання й обмежити суму, доступну для його виконання. Але йдеться про задокументовані механізми контролю, а не про доказ того, що кожна система витримає їх під час атаки. Навіть коректно дотриманий бюджет залишає відкритим інше питання: чи хотів власник, щоб був здійснений саме цей платіж?
«Головна проблема — розрив між тим, що агенту технічно дозволено, і тим, чого насправді хотів його власник».
Як публічне повідомлення перетворилося на переказ на $175 000
Два інциденти наочно демонструють, як небезпечні інструкції можуть дістатися гаманця з грошима.
У травні 2026 року зловмисник опублікував повідомлення абеткою Морзе. Grok розшифрував його й виклав відповідь зі згадкою Bankr — сервісу, який виконує криптотранзакції. Bankr сприйняв цю відповідь як платіжне доручення й переказав токени на $175 000. Пізніше сервіс повідомив, що 80% коштів вдалося повернути.
У другому випадку зловмисник отримав доступ до панелі керування AIXBT і поставив у чергу шкідливі інструкції. У результаті на його адресу пішло ETH на $106 200.
Загалом у цих двох випадках ішлося про $281 200 до повернення коштів.
Бюджет знижує суму, яка перебуває під загрозою. Обмеження платежів списком схвалених отримувачів вирішує питання, куди взагалі можуть піти гроші. Повторювані дрібні платежі теж потрібно відстежувати: вони можуть накопичитися до того, як хтось їх помітить.
«Агент, який купує дані, не повинен автоматично отримувати право переказувати кошти з вашої казни».
Де останнє слово залишається за власником
Розкрите MCP-підключення дозволяє ШІ-асистентам готувати торгові ордери, при цьому клієнт підтверджує кожен ордер перед відправленням. Записи про ордери потім пов'язують запит із здійсненою угодою. Такий процес задокументовано, але його стійкість до атак не перевірена.
Схвалення людиною теж має бути осмисленим. У жовтневому огляді британського регулятора FCA йшлося про те, що людські перевірки перетворюються на формальність, і наголошувалося на необхідності технічних заходів контролю та постійного моніторингу.
Бізнес може почати з вузько окреслених завдань і розширювати повноваження агента в міру того, як накопичуються докази, що він поводиться як задумано.
«Агентам потрібно давати мінімальні повноваження, необхідні для кожного завдання, і ці повноваження має бути легко відкликати».
Аналіз Cryptalist: Ринок агентних платежів демонструє вибухове зростання транзакційної активності, але інфраструктура безпеки явно відстає від швидкості впровадження. Кейси на $281 200 — це лише верхівка айсберга: у міру масштабування x402 і подібних протоколів ризики зростатимуть нелінійно. Інституційним учасникам варто розглядати обмеження повноважень, білі списки отримувачів і технічний моніторинг не як опцію, а як обов'язкову умову допуску ШІ-агентів до корпоративних гаманців.