主体性のある商取引におけるKYCからKYAへ
決済エコシステムはすでに、KYCやリスク管理の手引書をエージェント主導の世界へと展開しつつあります。エージェント主導のコマースフレームワークや新たなプロトコル標準により、以下のものが導入されています：
エージェントの登録と決済機能の有効化により、審査済みのAIエージェントのみがトークン化された認証情報を保持し、ネットワーク上で取引を行うことが可能になります。
信頼できるエージェントのオンボーディングフロー。このフローでは、エージェントが事前に審査され、暗号鍵が割り当てられ、通信に署名することが義務付けられるため、加盟店や仲介業者はエッジ側で、信頼できるショッピングエージェントと一般的なボットを区別することができる。
エージェント紐付けトークンおよび検証可能な意図アーティファクト。これらは、AIエージェント、支払い認証情報、および署名付き意図レコードを結びつけるものであり、これにより、下流の参加者は、その取引が特定のエージェントおよび特定の委任に関連付けられていることを検証できるようになる。
これと並行して、エージェント・ペイメント・プロトコル（AP2）が、エージェント経済のためのオープンプロトコルとして登場しました。これは、ネットワークや決済手段を問わず、エージェント主導の安全で信頼性が高く、相互運用性のある決済を可能にするよう設計されています。
この検証可能な階層型認証情報アーキテクチャでは、ショッピングエージェントはユーザーの検証可能な認証情報内で明示的に識別されるため、カード保有者に代わって行動したり、あらかじめ定義された範囲内でカード保有者の決済手段を使用したりする権限が暗号的に付与されます。 「自律」層において、ユーザーは特定のエージェントの公開鍵を埋め込むことで、そのエージェントに権限を委任します。その後、エージェントが決済または支払いの認証情報を生成する際、この紐付けられた鍵で署名を行い、鍵の保有を証明します。これにより、加盟店や決済事業者には、任意のクライアントではなく、この特定の承認済みエージェントこそが、ユーザーから委任された支払いの意思を行使していることを示す、移植可能で独立して検証可能な記録が提供されます。
KYAが重要な理由（そして実際に何をチェックするのか）
KYAは不可欠な基盤です。なぜなら、決済エコシステムの関係者は、カード所有者を代表すると主張する「いかなるエージェント」でも無条件に信頼することはできないからです。少なくとも、プロバイダーは、OWASPなどの業界標準にまとめられている最新のLLMセキュリティガイドラインに準拠した、堅牢なエージェントプラットフォームを運用していることを示さなければなりません。
IDの側面において、KYAは各エージェントを不透明なAPI利用者として扱うのではなく、暗号学的に検証可能なIDを各エージェントに付与することを目的としています。このような暗号学的証明により、エージェントID、モデル／バージョンのメタデータ、および機能がプロバイダーの署名と結び付けられます。これらの認証情報は、他のアクターとのやり取りの際に提示され、エージェントが支払トークンを受け取る前に、決済ネットワークによって検証されることができます。
静的KYAの限界
問題は、これらすべてが基本的に実行前の信頼に依存しているという点です。プロバイダーの監査、アーキテクチャ図、署名付き鍵、オンボーディングのフローからは、エージェントを誰が構築し、どのように構成されたかは分かりますが、本番環境でエージェントがどのような動作をするかまでは保証されません。
AIエージェントは非決定論的です。確率モデルと絶えず変化するコンテキストに基づいて動作するため、同じ入力であっても実行ごとに異なる出力が得られることがあります。厳密に制御された環境であっても、大規模言語モデルは繰り返し実行するにつれて定量化可能な「非決定論的なドリフト」を示し、分布のシフトやモデルの更新に伴い、その傾向はさらに顕著になります。実際のシステムでは、このドリフトは以下の要因によって増幅されます：
- プロンプトの注入と推論の操作。攻撃者は、隠れた明細行を追加したり、加盟店を入れ替えたり、常に利用限度額に達するようにしたりする命令を埋め込むことが可能であり、その間もHTTP署名やKYA認証情報はすべて有効に見える。
- メモリポイズニング – メモリに永続的に残る長寿命のエージェントは、徐々に条件付けられることで、後に、一見何の問題もないプロンプトが実行されただけで悪意のある動作を引き起こすようになる
- サプライチェーン攻撃――侵害されたMCPツール、プラグイン、またはマーケットプレイスは、エージェントの外部的な身元には手を加えずにその挙動を変化させることができます。つまり、エージェント自体は「同じ」ままですが、エージェントが呼び出すツールがデータを外部へ持ち出したり、カートのペイロードを改ざんしたりするようになるのです。
自発的なスコープクリープ――攻撃者がいなくても、モデルやプロンプト、ツールが変化するにつれて、エージェントは自発的な行動を示すようになります。具体的には、リスクの高い加盟店を繰り返し選択したり、曖昧なユーザーのプロンプトを再解釈して多額の支出を正当化したりするなど、暗黙のビジネスポリシーに違反する行動を取り始めるのです。
KYAが検証する静的な認証情報や、検証可能な認証情報を活用するエージェント型プロトコルにおいては、こうした失敗の形態はいずれも確認できません。エージェントの識別子や鍵はそのまま維持され、検証可能な認証情報内に組み込まれた不正な制約はユーザーには検出できません。変化するのは、「ユーザーの意図」と「支払い要求」の間の意思決定の連鎖だけです。
さらに、本番環境における「ショッピングエージェント」は、単一の固定されたモデルであることはめったにありません。通常、それは複数の進化し続けるサブエージェント、ツール、ワークフローの連携であり、それぞれが独自のプロンプト、モデル、リリースサイクルを持っています。 プロバイダーが頻繁にモデルの更新をリリースしたり、ツールを切り替えたり、サブエージェントのトポロジーを再構成したりするため、認証のために単一のエージェントバージョンを固定しておくことは、すぐに非現実的なものとなってしまいます。元のKYAクレデンシャルに目に見える変更が加えられなくても、システムの実質的な挙動は変化し得るのです。
したがって、静的なKYAのみに依存すると、危険な「制御できている」という錯覚を招いてしまいます。書類上は「同じエージェント」と記載されていても、実際のマルチエージェントシステムは進化を続けているため、まさにその理由から、継続的な実行時検証が必要となるのです。
当社の「エージェント型AIコマース」ブログシリーズで、さらに詳しくご覧ください：
第1章： エージェント型AIと決済：AIが「財布」と「独自の意思」を手に入れたとき。
第2章： エージェント型コマース：あなたの財布に「脳」が備わる時。
第3章： エージェント型コマース：Llamasでの実装。
第4章： エージェント型AI時代のセキュリティの再考。
第5章： 感情からアルゴリズムへ：エージェント型コマースに新たな信頼レイヤーが必要な理由。
第6章： エージェント型コマースにおける信頼のギャップを埋める。
第VII章： 信頼フレームワーク：自律的な取引のための検証可能な信頼の構築。
第9章： KYAだけでは不十分：エージェント型コマースのための実行時信頼レイヤー「FACT」の導入。
第X章： 試験でカンニングをしたエージェント
