AIエージェントが勝手に決済。「誰が許可した」を証明できない構造的欠陥
AIエージェントに「探してくれ」と頼んだだけなのに、勝手に買われた。そんなとき、あなたの味方になる証拠は、どこにもないかもしれない。
AIエージェントに「探してくれ」と頼んだだけなのに、勝手に買われた。そんなとき、あなたの味方になる証拠は、どこにもないかもしれない。
30ドルのシャツが突きつける疑問
AIエージェントに「30ドル以下のシャツを探してくれ。ただし買わないで」と指示したとする。エージェントはシャツを見つけ、そして注文を確定した。
クレジットカードの明細に覚えのない請求が届く。小売店に問い合わせれば「あなたのアカウントからの注文です」と返ってくる。AIプロバイダーに問い合わせれば「買うなという指示は記録にあります」と返ってくる。決済サービスに問い合わせれば「課金は正常に処理されました」と返ってくる。
3社ともそれぞれの記録は正確だ。だが、3社の記録をつなぎ合わせて「このエージェントが、このユーザーの指示に基づいて、この範囲内で行動したか」を横断的に証明する仕組みが、どこにも存在しない。
これはデータ侵害の追跡を専門とする研究者が提示した思考実験だが、現実は仮定を追い越している。2025年2月、OpenAIのエージェント「Operator」がInstacartで卵を無断購入した事件は、まさにこの構造の破綻が表面化した瞬間だった。
従来のチャットボットは商品を提案して待つ。エージェントはアカウントを使い、外部サービスと通信し、取引を完了させる。1つの指示が、複数の企業をまたぐ一連の行動を引き起こす。
根にあるのは、責任の証跡が分断されたまま行動範囲だけが拡大した構造そのものだ。
法案は方向を示し、穴を残す
米上院議員マーク・ワーナー（Mark Warner）氏は現地時間2026年7月21日、AI AGENT Act（S. 5051）を提出した。法案は「カストディアル・ユーザーエージェント」を定義し、透明性のある文書化された方法でユーザーの代理として行動し、リアルタイムの行動記録を保持することを求めている。
AI AGENT ActはNISTに対しても、ユーザーがエージェントに権限を委任したことを検証するプロトコルや、行動の監査可能な記録を保持するための技術標準の策定を指示している。
だが、この法案には決定的な空白がある。ユーザーがタスクを開始してから最終結果に至るまでの、異なるシステム間を横断する検証可能な証拠の鎖を明示的に要求していない。
シャツの例に戻ると、こういうことだ。ユーザーの指示、エージェントの行動、小売店の注文記録、決済サービスの課金記録。この4つを1本の糸で結ぶ義務が、法案のどこにも書かれていない。
OAuthという「古い鍵」の限界
技術的にも穴がある。多くのウェブサービスはOAuth（オーオース）という認証プロトコルを使っている。あるアプリケーションが別のサービスにアクセスするとき、ユーザーのパスワードを渡す代わりに、期限付きの「アクセストークン」を発行する仕組みだ。
問題は、このOAuthトークンが「何をしてよいか」ではなく「アクセスを許可されているか」だけを証明する点にある。数週間前に承認されたトークンは今日も有効かもしれない。エージェントが「探すだけで買うな」という指示を受けていても、決済時にトークンが通れば小売店は注文を処理する。
タスクごとの制限（「買うな」）はAIプロバイダーの内側に閉じ込められている。小売店には見えない。決済サービスにも見えない。
つまり、エージェントの行動権限とOAuthのアクセス権限が別々の次元で管理されている。紛争時に「誰が悪いのか」を証明できなくなるのは、この分離があるからだ。
証拠の鎖を設計するなら
では、機能する検証システムはどう設計すべきか。前述の研究者は5つの要素を挙げている。
ユーザーアカウント・エージェント・タスクを特定の時点で結びつける検証可能な紐づけ。タスク固有の制限。取引全体を横断する検証可能なリンク。各行動の前に行われるチェック。そして、事後の改ざんが検知可能な記録。
ここで鍵になるのが「タスクリファレンス」という概念だ。エンジニアリングの世界では既に似た仕組みがある。マイクロサービス間でリクエストを追跡するトレースIDがそれにあたる。1つの操作が複数のサービスをまたぐとき、同じIDを付与して後から全体像を再構成できるようにする手法だ。
タスクリファレンスは各社の記録を1つの仕事に紐づける。ただし、それ自体は権限を付与しない。だからこそ、AIプロバイダーがデジタル署名した認可記録と結びつける必要がある。小売店はチェックアウト時にこの署名付き認可記録を検証し、「購入禁止」のルールがあれば取引を止める。OAuthトークンが有効でも。
この構造が実現すれば、ユーザーは平文のレシートを受け取れる。「あなたのエージェントは3店舗を検索し、購入を試みました。購入は認可されていなかったため、ブロックされました」
GoogleのAP2は「部品」を揃え始めた
この方向に最も近いのがGoogleのAP2（Agent Payments Protocol）だ。2025年9月に発表され、MastercardやPayPalを含む60以上のパートナーが参画している。
AP2は「マンデート」と呼ばれる改ざん不能なデジタル契約を使う。ユーザーの指示はインテントマンデートに、カートの内容はカートマンデートに記録され、それぞれが暗号署名される。紛争が起きたとき、各参加者に何が提示されたかを遡って確認できる設計だ。
ただ、AP2にも限界がある。損失を誰が負担するかは決めていない。各社が証拠をどのくらいの期間保持し、どうやって取り出せるようにするかも規定していない。証拠の「輸送手段」は用意したが、「交通法規」はまだない。
NISTは「社内」から始め、「社外」を先送りした
NISTは2026年2月、エージェントのアイデンティティと権限に関するコンセプトペーパーを公開し、パブリックコメントを募集した。エージェントがどうやって権限を証明し、それを人に結びつけ、検証可能な記録を残すか。着眼点は的確だった。
だが、最初のスコープは組織内部のエージェントに限定されている。企業が自社のシステム内でエージェントを管理する場面だ。外部から到着する信頼できないエージェント、つまり消費者エージェントが企業の境界を越える場面は「後で扱う」と明記されている。
後回しにされたのは、最も困難で、最も消費者に近い領域だ。各社は独自の識別子、独自の認可言語、独自の保存ルールを持っている。各社が自社の記録を正確に保存しても、それらを横断的に突き合わせる共通基盤がなければ、紛争は解決しない。
| AI AGENT Act | NIST | AP2 | |
|---|---|---|---|
| タスクの紐づけ | △ | ○ | ○ |
| タスク固有の制限 | ○ | △ | ○ |
| 横断的な検証 | × | × | ○ |
| 行動前のチェック | × | △ | ○ |
| 改ざん検知の記録 | △ | △ | ○ |
30ドルのシャツと4万ドルの送金
30ドル（約4800円）のシャツなら笑い話で済むかもしれない。だが、この記録の分断は金額に関係なく発生する。エージェントが4万ドル（約636万円）を送金するとき、保険の申請を代行するとき、処方箋の更新を依頼するとき。
どの場面でも、エージェントがサービスにアクセスすること自体は証明しやすい。だが、ユーザーがエージェントにその行為を許可したかどうかの証明は、難易度がまるで違う。
法案は出た。技術的な部品も揃い始めた。足りないのは、各社の記録を1本の鎖でつなぐ合意だ。鎖が完成する前に、エージェントの行動範囲は広がり続けている。
