Платежи AI-агентов: полномочия, протоколы и ответственность

Что такое агентный платёж — и почему это не автоплатёж

Сначала — развод терминов. В платёжном праве ЕС и Великобритании «агент» — человек или компания, действующие от имени лицензированного платёжного учреждения; эта конструкция разобрана в статье об агентах и паспортизации. Здесь речь о другом субъекте: AI-агент — программа, которая сама выбирает, что и у кого купить, и сама инициирует платёж в рамках делегированных ей полномочий. Ни PSD2, ни правила карточных сетей такого участника до 2025 года не знали.

От привычной автоматизации агентный платёж отличается местом, где принимается решение. Подписка и сохранённая карта работают по заранее согласованному шаблону: мерчант, сумма и периодичность известны в момент согласия, а каждое отклонение подтверждает человек. В агентной модели решение принимает модель: она выбирает мерчанта, сумму и момент, которых пользователь не видел. Отсюда три вопроса, вокруг которых строится вся новая архитектура: как оформить полномочия (мандаты), как отличить легитимного агента от вредоносного бота (know your agent) и кто отвечает при споре (liability).

Опорные параметры темы — регуляторный статус, стандарты полномочий и распределение ответственности.

Карта протоколов

За полтора года сложились пять стеков. Первым, 29 апреля 2025-го, вышел Mastercard Agent Pay с «агентными токенами»; на следующий день Visa показала Intelligent Commerce — интерфейсы и токенизированные учётные данные для агентов.

Сентябрь 2025-го стал месяцем открытых стандартов: Google представил Agent Payments Protocol (AP2) с 60+ партнёрами — от Mastercard и PayPal до American Express — в связке со своим агентским стандартом A2A; OpenAI и Stripe открыли ACP и запустили Instant Checkout в ChatGPT — сначала с Etsy, затем с мерчантами Shopify; Coinbase и Cloudflare объявили x402 Foundation под стейблкоин-протокол поверх HTTP-кода 402.

14 октября 2025 года Visa добавила Trusted Agent Protocol — слой верификации агентов на стороне мерчанта. Весной 2026-го конструкция зафиксировалась: Google передал AP2 в FIDO Alliance, сняв вопрос о контроле одной платформы над стандартом полномочий.

Читать таблицу стоит не как войну форматов, а как слои одного платежа: ACP описывает корзину и оформление заказа между агентом и мерчантом, AP2 — рамку полномочий, x402 — расчётный примитив для машинных микроплатежей, TAP и Agent Pay — верификационные надстройки сетей над собственными рельсами. Один платёж может пройти сразу через три слоя.

Мандаты: доверенность, которую проверяет криптография

Центральная конструкция всех стеков — мандат: цифровой документ, подписанный ключом пользователя и фиксирующий, что именно агенту разрешено. В AP2 мандата два: intent mandate задаёт рамку («авиабилеты до 300 долларов на этой неделе»), cart mandate подписывает конкретную корзину перед списанием. В сценарии «human not present» агент предъявляет intent-мандат — и спор о том, просил ли клиент покупку, превращается из обмена показаниями в проверку подписи. Носитель полномочий — verifiable credentials из стандартов W3C, те же, что в цифровых удостоверениях. Слой выше строят Mastercard и Google: объявленная 5 марта 2026 года спецификация Verifiable Intent связывает личность, намерение и действие в единый криптографический след с выборочным раскрытием (selective disclosure): каждая сторона получает ровно те мандаты, которые нужны её роли. Готовым стандартом это ещё не является: по публикации самой рабочей группы Verifiable Intent спецификация находится в версии 0.1-draft от 18 февраля 2026 года. Для клиента это отвечает на вопрос аудита: цепочка «мандат — токен — транзакция» читается постфактум целиком.

Know your agent: идентичность вместо капчи

Старый веб делил трафик на людей и ботов, и границу держала капча. Агентная коммерция вводит третью категорию — бот с полномочиями, и для неё нужен аналог KYC: кто выпустил агента, чью волю он исполняет, каков его послужной список. TAP решает задачу прямо в HTTP: агент подписывает запросы криптографически, мерчант проверяет подпись и получает три блока данных — намерение агента, признак существующего клиента и, опционально, платёжные данные. Показательно, кто собрался вокруг разработки: помимо Cloudflare, обратную связь давали Adyen, Microsoft, Shopify, Stripe и другие шлюзы — верификация агентов прижилась на стороне инфраструктуры, а не только сети. Ранние стартапы ниши двигались быстрее рынка: Skyfire со своим KYA-протоколом вышел из беты ещё в марте 2025-го, но свежих публичных вех у него и у Payman за 2026 год немного — текущий статус обоих проектов не подтверждён.

Кто отвечает за платёж агента

Самый дорогой вопрос архитектуры — и самый недостроенный. Подход сетей пока эволюционный: агентная транзакция наследует обычные споровые механики карт. По вторичным обзорам, Visa проводит агентные операции под общим мониторингом мошенничества VAMP без отдельного режима ответственности, а Mastercard формулирует «правила дорожного движения» агентной коммерции и строит доказательную инфраструктуру на Verifiable Intent. Разрывы видны невооружённым глазом: американское Reg E писалось без понятия «AI-инициированный платёж», а коды возвратного платежа (chargeback) не различают три разных исхода — агент ошибся в рамках мандата, агент вышел за мандат, клиент просто передумал. До появления специальных правил главный документ защиты для всех сторон — подписанный мандат.

Регуляторы: ЕС молчит, Великобритания строит рамку

В ЕС специального режима нет: агентные платежи живут под PSD2 и RTS по строгой аутентификации, и здесь зашита главная коллизия — SCA привязывает аутентификацию к человеку через факторы знания, владения и неотъемлемости, а делегирование агенту в эту логику не укладывается. Юридические обзоры фиксируют: отдельного режима нет, публичной позиции EBA нет, будущие гайды «нельзя исключать». Пакет PSD3/PSR писался до агентной волны, но расширяет ответственность на технических провайдеров и кошельки — вероятный канал, через который агентная тема войдёт в европейское право ближе к 2028 году.

Великобритания назвала разрыв вслух первой. Опубликованный HM Treasury 14 июля 2026 года план внедрения ИИ в финансовом секторе содержит десять рекомендаций независимых AI-чемпионов по пяти направлениям, и агентные платежи — одно из них: рекомендовано собрать рамку доверия на базе консультации Минфина о модернизации платёжных услуг — ответственность за транзакции агентов, know your agent, машинная аутентификация. Параллельный обзор FCA — Mills Review от 6 июля 2026 года — сформулировал диагноз, применимый к любой юрисдикции: действующий свод правил «спроектирован вокруг человека, одобряющего каждую транзакцию».

Стейблкоин-ветка и первые институты

Карточные стеки решают сценарий «агент покупает у мерчанта». Вторая ветка — машинные микрорасчёты, где карты не работают: эквайринговая комиссия убивает платёж в четверть цента. x402 оживил спавший с 1990-х HTTP-код 402 Payment Required: сервер отвечает агенту счётом, агент платит стейблкоином и повторяет запрос. Масштаб видно по инфраструктуре: Cloudflare отдаёт свыше миллиарда 402-ответов в год ботам и краулерам — каждый из них потенциальная платная сессия: краулинг, API-вызов, датафид. Как устроен расчётный слой — в обзоре стейблкоинов; правовую рамку долларовых эмитентов задаёт GENIUS Act.

Ниже протоколов появляются институты. Catena Labs Шона Невилла, сооснователя Circle, подняла $30 млн Series A и 18 мая 2026 года подала заявку на национальный трастовый чартер OCC под «AI-нативный» финансовый институт, обслуживающий агентов; заявка на рассмотрении, сам маршрут разобран в статье о трастовых чартерах OCC. Meow 8 апреля 2026-го запустил agentic banking: бизнес-счёт, который агент — через Claude, ChatGPT или Gemini — открывает и ведёт сам, а человек остаётся подтверждающей инстанцией. Stripe со своим стейблкоин-контуром Bridge закрывает обе ветки одновременно — карточный ACP и стейблкоин-расчёты.

Казначейство под ИИ: лимиты, мандаты, журнал операций

Агентное казначейство уже не гипотеза: агентные функции работают в Ramp для корпоративных финансов, а Arca и Arta Finance ведут в ту же сторону сегмент управления капиталом. Дисциплина делегирования сводится к трём артефактам.

1. Лимиты: собственные потолки на транзакцию и период плюс белые списки контрагентов — заданные на стороне клиента, а не только в настройках платформы.
2. Мандаты: письменная политика — какие классы платежей агент исполняет сам, что требует человека; в протокольных терминах это узкие intent-мандаты с коротким сроком жизни.
3. Журнал операций (audit trail): экспортируемая запись мандатов, подписей и транзакций — одновременно доказательство в споре, материал для аудитора и налоговая защита.

И железное правило поверх: агент никогда не расширяет собственный мандат; любое расширение полномочий делает человек вне канала, в котором агент работает, — это базовая защита от внедрения враждебных инструкций (prompt injection).

Ниши 2026–2028: KYA-инфраструктура и агентские чартеры

Окно выглядит как ранний финтех: стандарты уже стабилизированы в нейтральных домах — FIDO Alliance и x402 Foundation, — а правила об ответственности сетей и регуляторные рамки ещё не финализированы; инфраструктурные позиции занимают именно в этой фазе. Рабочие ниши:

• KYA-инфраструктура — реестры агентов, атрибуция инцидентов, страхование агентного риска.
• Агентские трастовые чартеры по маршруту Catena.
• Споровые сервисы, превращающие мандатную доказательность в выигранные споры по возвратным платежам.
• «Казначейский щит» для семейных офисов — сборка лимитов, мандатов и мониторинга поверх чужих агентов.