銀行はすでに、顧客から渡された認証情報を使ってログインするエージェントをブロックし始めている。JPMorgan は、送金を行う認証情報共有サービスをブロックしつつ、これを正しく実現する方法を検討していると述べている。
私たちは分断の時代に足を踏み入れている。ある企業はエージェントのための「正面玄関」を用意し、別の企業は侵入経路を塞いでいる。Walmart はつい最近、MCP ベースのエージェントゲートウェイを発表した。まずは開発者向けベータから始まり、来月には支出上限を設定できるエージェントプロファイルが提供される予定だ。
Meta の決算説明会で、ザッカーバーグはショッピングが Muse の最も一般的なユースケースであり、平均購入額は 200 ドルを超えていると語った。これは間違いなく金融の問題であり、それを解決した者が得る報酬は計り知れない。
David Sacks は、銀行は顧客が付与・制限・取り消しできるアクセスをサポートすべきだと主張している。方向性には同意する。より難しいのは「どうやって」だ。
あなたのエージェントは、銀行から見れば巨大な不正と責任問題に映る
ログイン情報を渡しても、銀行にはどのエージェントが使っているのか、何を指示したのか、その操作が自分の指示と一致しているのかは伝わらない。顧客は、エージェントが試みるかもしれないすべての行動を承認することなく、アクセスだけを許可できるべきだ。
そろそろ図解の出番だろう。
レイヤーは 4 つある。エントリー（入口）、アイデンティティ（身元）、ツール（手段）、そしてインテント（意図）だ。
1. エントリー：エージェントに正式な入り口を与える
Personal Agent Protocol（PAP、現在は Poppy と呼ばれる）, は、企業がエージェントとの連携方法を公開する仕組みを提供する。どこでサインインするか、どのインターフェースを提供するか、どのようなアクセスを許可するかを示すものだ。
私のエージェントはその情報を見つけ出し、サポートされているサインインフローを利用する。私がアクセスを承認し、企業が許可範囲を決める。このアクセスは制限したり取り消したりできる。Bank of America と Wells Fargo はデザインパートナーとして参加しており、つまり仕様の策定に協力しているのであって、明日すぐに私のエージェントが彼らのバンキングアプリを使えるようになるという約束ではない。
Visa の Trusted Agent Protocol（TAP）は、ショッピングエージェントが署名付きの情報で自己紹介できるようにする。「私は Visa のプログラムで承認されたショッピングエージェントで、この顧客のために買い物をしています。支払い方法はこれです」といった具合だ。マーチャントは処理を進める前にその情報を確認できる。ただし、私がその購入を承認したかどうかの確認は依然として必要だ。
Web Bot Authは、ウェブサイトがエージェントの運用者を検証できるようにする。単に「Muse です」と名乗るだけでは不十分で、ウェブサイトはリクエストの署名を運用者が公開している鍵と照合する。TAP はショッピングエージェントに対してこのアプローチを採用している。
これらは互いに補完し合う関係だ。「やあ、私はボットです。安全なボットですよ。ちょっと作業させてください」というわけだ。
2. アイデンティティ：サービスが必要とする証明を持参する
Proof の x401は、サービス側がエージェントの背後にいる人物に関する証拠を要求できるようにする。銀行が必要なものを提示し、エージェントがクレデンシャルを提出し、銀行がそれを検証する。「私のエージェントは私が Simon だと言っています」は単なる主張に過ぎない。信頼できる発行者による署名付きクレデンシャルがあって初めて、証拠となる。
OpenID for Verifiable Presentations（OpenID4VP）は、ウォレットがそのクレデンシャルを提示するための方法だ。x401 が証拠を要求し、OpenID4VP がその受け渡しを助ける。
FIDO 標準はパスキーの基盤となっている。 私は顔、指紋、デバイスの PIN でロックを解除し、デバイスがサービス側で検証可能な署名を送信する。生体情報はデバイス内に留まる。これにより、エージェントにパスワードを渡さずに本人確認ができるが、それだけで法的な身元が確立されるわけではない。
既存の銀行顧客であれば、認証だけで済むかもしれない。新規顧客や制限のあるサービスでは、検証済みの身元や資格も求められる可能性がある。
3. ツール：エージェントに正確な操作手段を与える
MCP を使えば、銀行はエージェントに何ができ、どう要求すればよいかを記述できる。「カードを凍結するには、このツールを呼び出してカード ID を渡してください」といった形だ。エージェントが ID を送信し、銀行が結果を返す。
WebMCPはブラウザを通じて構造化されたツールを提供するため、エージェントはどのボタンをクリックすべきか推測する代わりに、カード凍結用のツールを直接利用できる。API は直接的なソフトウェアインターフェースを提供する。MCP が操作を定義し、API が裏側で実際の処理を実行するという関係だ。
Agent2Agent（A2A）は、私のエージェントが企業のエージェントにタスクを委託し、その進捗を追跡できるようにする。ただし、私がそのタスクを承認したことを証明するものではない。
ブラウザは、当面の間、エージェントが多くのサービスにアクセスするための手段であり続けるだろう。利用可能な手段がそれしかないため、ページをクリックして進んでいくことになるが、予期せぬポップアップが出れば作業は頓挫してしまう。
アクセス権限を握っているのは依然として企業側だ。「送金」ツールを発見したからといって、私のエージェントが口座を空にする許可を得たわけではない。
4. インテント：操作を自分が承認した内容と一致させる
スマホが見つからない時のあの嫌な感覚は、銀行に一社ずつ連絡しなければならないとなればさらに悪化する。私はエージェントにカードを凍結させ、端末をロックさせたい。「カードを凍結して」は、残高を振り替えたり口座情報を変更したりする許可ではない。
購入には条件が伴う。ホテルの予約をエージェントに頼む場合、「適切」とは 25 ポンド以上のフリーウェイト、ミニ冷蔵庫、無料キャンセル（旅行の予定は直前で変わるからだ）を意味するかもしれない。特定の部屋、特定の日付、手数料込みで 1 泊 200 ドルまでなら承認する、ということもあるだろう。
承認は一つのステップに過ぎない。次に、受け手側のサービスが実際の予約内容をその条件と照合する必要がある。部屋代 190 ドルに追加手数料 60 ドルがかかれば、上限オーバーだ。支払いに署名しても、ホテルに望んでいたジムがあることの証明にはならない。
x401 は署名付きアクションを要求することもできる。 私が自分のデバイスで条件を確認して承認すると、サービス側は処理を進める前に署名付きの応答を検証する。プロバイダーが対応していれば、支払いだけでなく口座変更や書類にも適用できる。
Mastercard の Verifiable Intentは、私の許可とエージェントの購入を結びつける署名付き証拠を企業に提供する。エージェントの言い分を鵜呑みにするのではなく、署名と取引が設定された上限内に収まっているかを検証する。
Google の AP2は、チェックアウトと支払いの許可（マンデートと呼ばれる）を紐づける。マーチャントはエージェントが何を購入できるかを確認し、決済プロバイダーはそのチェックアウトで私の決済手段を利用してよいかを検証する。
Visa Intelligent Commerceは、支払い指示とコントロールを提供する。私が指示を認証し、エージェントが決済用クレデンシャルを要求すると、Visa がその要求とマーチャントの決済を指示と照らし合わせて検証する。TAP がエージェントの識別を助け、これらのコントロールが支払いを管理する。
欧州の強力な顧客認証（SCA）は、段階的認証の良い比較対象になる。関連するリモート決済では、承認が金額と受取人に紐づけられる。しかし、スマホ紛失時の一連の対応すべてをカバーする包括的な許可を与えてくれるわけではない。
それでも最終的に企業が「OK」を出す必要がある
結局のところ、エージェントが何をするかは消費者自身がコントロールできなければならない。
確かに、各銀行は依然として自社サービスへのアクセスを個別に許可する必要がある。私の指示だけで、銀行の代わりに許可を与えることはできない。これらを実現するプロトコルはすでに存在しており、あとはつなぎ合わせるだけだ。そしてエージェントは結果を報告してくれなければならない。何が保護され、何にまだ注意が必要なのかを私が把握できるようにするためだ。
リスク許容度は人によって異なるだろう。
私なら、数百ドル以下の買い物はエージェントに任せてしまっても構わない。だがそれを超える場合は、必ず私に確認を取り、どのエージェントが何をしたかの監査証跡を残してほしい。
もし次のものが揃えば、
- 消費者の許可（インテント経由）
- それらがエージェント開発者および人間本人のアイデンティティに紐づいていること
- 企業や銀行に対して許可を要求できること
- そして全体を通じた監査証跡が残ること
許可されていないエージェントが跋扈することはなくなるだろう。
もちろん問題は、「許可済み」がしばしば「有料」を意味することだ。JPMorgan と Plaid のデータアクセス契約にはすでに価格設定が含まれており、この合意に至るまでに10 年近くかかっている。
銀行が Meta に対してもっと多くを要求しないと思うだろうか？
私たちは長年、顧客が正しいボタンをクリックしやすくすることに注力してきた。今や、顧客の代わりにエージェントが指示を持ってやってくる。
その権限を証明し、仕事を確実に完了できるようにする仕組みが必要だ。
そしてそれは、途中で銀行にもお金が落ちることを意味するのかもしれない。
この記事が気に入ったら、brainfood.xyz でも執筆しているので、ぜひ覗いてみてほしい :)
