Банки уже блокируют агентов, которые входят в систему с помощью учетных данных, переданных им клиентами. JPMorgan заявляет, что блокирует сервисы с общими учетными данными, переводящие деньги, параллельно работая над тем, как делать это правильно.
Мы входим в период раскола. Одни компании строят для агентов парадный вход, а другие блокируют пути их проникновения. Walmart только что анонсировал Agent Gateway на базе MCP, начиная с бета-версии для разработчиков, а также профили агентов (Agent Profiles), которые появятся в следующем месяце и будут включать лимиты расходов.
На конференц-звонке Meta по итогам квартала Цукерберг сказал, что шопинг стал самым частым сценарием использования Muse, а средний чек покупки превысил 200 долларов. Это стопроцентно финансовая задача, и награда за ее решение будет огромной.
Дэвид Сакс утверждает, что банки должны поддерживать доступ, который клиенты могут предоставлять, ограничивать и отзывать. Я согласен с этим вектором. Сложнее ответить на вопрос «как».
Для вашего банка ваш агент выглядит как гигантская проблема мошенничества и ответственности.
Передача логина не сообщает банку, какой именно агент его использует, о чем я его просил и соответствует ли действие моей инструкции. Клиент может одобрить доступ, не одобряя при этом всё, что агент может попытаться сделать.
Чувствую, назревает схема.
Здесь четыре уровня: Вход, Идентичность, Инструменты и Намерение.
1. Вход: дайте агенту поддерживаемый способ войти.
Personal Agent Protocol, или PAP (теперь называется Poppy), дает бизнесу возможность опубликовать, как агенты могут с ним взаимодействовать: где авторизоваться, какие интерфейсы он предлагает и какой доступ предоставит.
Мой агент находит эту информацию и использует поддерживаемый процесс входа. Я одобряю доступ; бизнес решает, что именно разрешить. Этот доступ можно ограничить и отозвать. Bank of America и Wells Fargo выступают партнерами по проектированию, а значит, они помогают формировать протокол, а не обещают, что мой агент сможет пользоваться их банковскими приложениями уже завтра.
Trusted Agent Protocol (TAP) от Visa позволяет шопинг-агенту представиться с помощью подписанной информации: «Я шопинг-агент, одобренный программой Visa, я делаю покупки для этого клиента, и вот как он будет платить». Продавец может проверить эти данные, прежде чем позволить агенту продолжить. Но ему все равно нужно убедиться, что я одобрил покупку.
Web Bot Auth позволяет сайту проверить, кто управляет агентом. Назваться «Muse» недостаточно: сайт сверяет подпись запроса с опубликованным ключом оператора. TAP использует этот подход для шопинг-агентов.
Все это дополняет друг друга: «привет, я бот, я хороший бот, и я хочу кое-что сделать».
2. Идентичность: предоставьте доказательства, которые нужны сервису.
x401 от Proof позволяет сервису запросить доказательства о человеке, стоящем за агентом. Банк говорит, что ему нужно, агент предъявляет верифицируемый атрибут (credential), а банк его проверяет. «Мой агент говорит, что я Саймон» — это лишь заявление; подписанный атрибут от доверенного эмитента превращает его в доказательство.
OpenID for Verifiable Presentations (OpenID4VP) — это то, как кошелек предъявляет этот атрибут. x401 запрашивает доказательства, а OpenID4VP помогает их передать.
Стандарты FIDO лежат в основе пассключей (passkeys). Я разблокирую свой пассключ лицом, отпечатком пальца или PIN-кодом устройства, а устройство отправляет подпись, которую сервис может проверить. Мои биометрические данные остаются на устройстве. Это подтверждает мою личность без передачи пароля агенту, но само по себе не устанавливает мою юридическую идентичность.
Существующему клиенту банка может быть достаточно просто пройти аутентификацию. Новому клиенту или при работе с сервисами с ограничениями может потребоваться еще и подтвержденная личность или проверка права доступа.
3. Инструменты: дайте агенту точную операцию.
MCP позволяет банку описать, что агент может делать и как об этом просить. «Чтобы заблокировать карту, вызови этот инструмент и передай мне ID карты». Агент отправляет ID, банк возвращает результат.
WebMCP предоставляет структурированные инструменты через браузер, чтобы агент мог использовать функцию блокировки карты вместо того, чтобы угадывать, на какую кнопку нажать. API обеспечивает прямой программный интерфейс. MCP может описывать операцию, а API выполняет работу под капотом.
Agent2Agent (A2A) позволяет моему агенту передать задачу агенту компании и отслеживать прогресс. Но это не доказывает, что я авторизовал эту задачу.
Браузер — это то, через что агенты будут получать доступ ко многим сервисам в обозримом будущем. Они будут прокликивать страницы, потому что других вариантов нет, и неожиданное всплывающее окно может сорвать всю работу.
Бизнес по-прежнему контролирует доступ. Обнаружение инструмента «перевести деньги» не дает моему агенту права опустошить мой счет.
4. Намерение: соотнесите действие с тем, что я одобрил.
То самое щемящее чувство, когда не можешь найти телефон, достаточно плохо и без необходимости уведомлять каждый банк по отдельности. Я хочу, чтобы мой агент заблокировал мои карты и само устройство. «Заблокируй мою карту» — это не разрешение перевести мой баланс или изменить реквизиты счета.
Покупка добавляет условия. Если я прошу агента забронировать отель, «подходящий» означает наличие свободных весов тяжелее 25 фунтов, мини-холодильника и бесплатной отмены, потому что планы на поездку меняются в последний момент. Я могу одобрить конкретный номер, определенные даты и 200 долларов за ночь с учетом всех сборов.
Одобрение — это только один шаг. Затем принимающему сервису нужно сопоставить фактическое бронирование с этими условиями. Номер за 190 долларов с дополнительными сборами в 60 долларов превышает мой лимит. И подпись платежа не докажет, что в отеле есть нужный мне тренажерный зал.
x401 также может запрашивать подписанное действие. Я проверяю условия на своем устройстве, одобряю их, а сервис проверяет подписанный ответ, прежде чем продолжить. Там, где провайдер это поддерживает, механизм работает не только для платежей, но и для изменений в аккаунте и документов.
Verifiable Intent от Mastercard дает бизнесу подписанное доказательство, связывающее мое разрешение с покупкой, совершенной агентом. Система проверяет, что подписи и транзакция укладываются в лимиты, а не просто верит агенту на слово.
AP2 от Google связывает разрешения на оформление заказа и оплату, называемые мандатами. Продавец проверяет, что агенту разрешено купить; платежный провайдер проверяет, можно ли использовать мой способ оплаты для этого заказа.
Visa Intelligent Commerce предоставляет платежные инструкции и элементы управления. Я аутентифицирую инструкцию, агент запрашивает платежные реквизиты, а Visa сверяет запрос и платеж продавца с этой инструкцией. TAP помогает распознать агента, а эти механизмы управляют оплатой.
Европейская строгая аутентификация клиента (Strong Customer Authentication) предлагает полезное сравнение с повышением уровня проверки: для соответствующих дистанционных платежей одобрение привязывается к сумме и получателю. Но это не дает нам универсального разрешения на весь сценарий с потерянным телефоном.
Бизнес все равно должен сказать «да».
В конечном итоге контроль над действиями агентов должен оставаться у потребителей.
Да, каждый банк все равно должен сам предоставить доступ к своему сервису. Моя инструкция не может давать разрешения от имени банка. Протоколы для всего этого существуют, их просто нужно связать вместе, а агент должен сообщать о результатах, чтобы я знал, что защищено, а что еще требует внимания.
Ваша склонность к риску может отличаться.
Я спокойно позволяю агенту совершать покупки на сумму до пары сотен долларов. Но если больше — хочу, чтобы он уточнял у меня и оставлял аудиторский след о том, что известный агент сделал конкретные вещи.
Если у нас есть:
- Разрешения потребителя (через намерения)
- Привязанные к идентификаторам создателей агентов и самих людей.
- Которые могут запрашивать разрешения у компаний и банков
- И при этом остается аудиторский след всего процесса
Тогда неавторизованных агентов больше не будет.
Конечно, проблема в том, что «авторизованный» часто означает «платный». Соглашение о доступе к данным между JPMorgan и Plaid уже включает тарифы, и на проработку этого соглашения ушло почти десятилетие.
Думаете, банки не попытаются выторговать у Meta больше?
Мы годами упрощали клиентам жизнь, чтобы они нажимали правильные кнопки. Теперь приходит их агент с инструкцией.
Нам нужно дать возможность доказать его полномочия и выполнить задачу.
И это может означать, что банкам придется заплатить по пути.
Если вам понравилось, я пишу на brainfood.xyz — заходите :)
