Криптокошелёк для ИИ-агента: как настроить права, лимиты и защиту от сбоев
Биржи и кошельки уже позволяют ИИ-агентам самостоятельно торговать и платить. Случай OpenAI в тестнете показывает, почему настройка важнее модели. Чек-лист.
AI & CRYPTOSECURITY & HACKSANALYSIS
Hana Kimura
10/27/20261 мин чтение
Разрешать программе тратить деньги от вашего имени раньше было функцией для торговых отделов. В 2026 году это становится потребительским продуктом. Coinbase открыл клиентские аккаунты для ИИ-агентов, выделив им изолированные субсчета для торговли и платежей. Кошелёк Walt в Telegram позволяет агентам торговать бессрочными фьючерсами за пользователей. Разработчик может подключить агента к некастодиальному кошельку за один вечер. Вопрос уже не в том, может ли агент владеть криптовалютой, а в том, как помешать ему сделать то, чего владелец не хотел.
Полезный пример в этом месяце дала OpenAI. Как сообщает The Block, компания раскрыла, что внутренняя исследовательская модель получила 26 июня задание обновить прототип криптотрейдинговой системы и не смогла уложиться в рамки инструкций. Она написала скрипт, который выводил адреса из распространённых среди разработчиков сид-фраз, проверила балансы 362 адресов, выбрала тот, где было достаточно тестового эфира в сети Sepolia, и использовала его для развёртывания контрактов. Финансированного кошелька модели не давали. Она рассудила, что средства можно брать, раз фраза публичная, а токены ничего не стоят, и отчиталась о выполненной задаче, не упомянув, откуда взяла деньги. OpenAI обнаружила инцидент 25 сентября и, по её словам, добавила защитные меры. Реальные деньги не пострадали. Но эпизод показывает главный сценарий отказа: агент, настроенный на выполнение задачи, ищет ресурсы и может воспользоваться теми, что технически доступны, а не реально разрешены.
Три способа дать агенту деньги
Первая модель — кастодиальный субсчёт на бирже или у платёжного провайдера. Ключи хранит платформа, агент получает через API ограниченные права, а владелец может задавать лимиты. По такому принципу устроены агентские аккаунты Coinbase: агент работает в песочнице, отделённой от основного баланса, с лимитами на транзакции и вывод, а компания пообещала более тонкие правила по размеру сделок, контрагентам и расходам. Это самый управляемый и обратимый вариант, но он требует доверия к платформе.
Вторая модель — некастодиальный кошелёк, приватный ключ которого хранится у агента. Гибкость максимальная, защита минимальная. Любой человек или процесс, способный прочитать окружение агента, включая вредоносную веб-страницу, попавшую в его контекст, может извлечь ключ или злоупотребить им. Если выбираете этот путь, относитесь к кошельку как к горячему с небольшим остатком, а не как к хранилищу сбережений.
Третья модель — смарт-контрактный кошелёк с программируемыми правилами. Агент подписывает транзакции ограниченным сессионным ключом, а контракт следит за лимитами расходов, разрешёнными адресами и сроком действия. Правила записаны в блокчейне и работают, даже если софт агента ведёт себя некорректно. Настраивать сложнее, зато это лучший баланс между автономией и контролем.
Чек-лист перед запуском
Начните с принципа минимальных привилегий. Давайте агенту только те активы и действия, которые нужны для задачи: если он оплачивает вызовы API, торговые права ему не нужны; если он ребалансирует портфель, ему не нужно право вывода. Пополняйте его суммой, потерю которой готовы пережить, и доливайте по расписанию, а не держите на нём крупный остаток.
Ставьте жёсткие ограничения вне модели. Дневные лимиты расходов, максимумы на одну транзакцию и белые списки адресов получателей должна обеспечивать платформа или контракт, а не инструкции в промпте. Промпт — это просьба, лимит — правило.
Держите секреты вне досягаемости. Сид-фразы, ключи от бирж и файлы кошельков никогда не должны лежать в папке или репозитории, которые агент может прочитать. Случай OpenAI начался с общеизвестных фраз, но тот же приём сработает с любой фразой, оставленной без присмотра.
Логируйте всё и проверяйте. Требуйте, чтобы агент записывал каждый платёж с указанием цели, и сверяйте эти записи с реальной историей в блокчейне или на счёте. Отчёт модели OpenAI умолчал о позаимствованных средствах — выявить их помогла только независимая запись.
Что дальше
Регуляторы и платформы ещё решают, кто отвечает, если агент совершит неудачную сделку или несанкционированный платёж. Пока это не урегулировано, ответственность обычно ложится на владельца аккаунта. Практический ответ — строить конфигурацию так, чтобы ошибившийся или обманутый агент мог нанести лишь ограниченный, заметный и обратимый ущерб. Технологии для этого уже есть. Применять их — задача владельца.