Algorand выпускает AC2 — открытый протокол, не дающий ИИ-агентам добраться до ключей пользователей

Проблема контроля в основе агентной коммерции

Блог о запуске¹ нового протокола Algorand Foundation открывается сценой, знакомой каждому, кто держит ИИ-агентов в продакшене: среду выполнения агента одного из разработчиков скомпрометировала вредоносная зависимость-плагин, и злоумышленник ушёл с ключами API и токенами сессий, лежавшими в том окружении, а заодно получил достаточно прав, чтобы протолкнуть слияние кода, выглядевшее как одобренное ведущим инженером. Команда не могла доказать, что одобрения от человека не было, — одобрением служило сообщение в ветке Slack. Выпущенный фондом 25 августа AC2² — Agentic Communication and Control Protocol — и есть тот ответ, под который писался этот сценарий. Несколько дней спустя очередной выпуск подкаста Verifiably Random³ фонда вынес ставки прямо в заголовок: «Кто управляет вашим ИИ-агентом?»

AC2 оказывается в самом центре усилий фонда по развитию агентной коммерции — когда программные агенты покупают товары и услуги от имени пользователя. В этом году эти усилия дали конкретный результат: реализацию платёжного стандарта x402, возвращающего к жизни забытый статус-код HTTP 402 «Payment Required» — сервер может затребовать плату, а агент закрыть её по блокчейн-рельсам за один круговой обход, — Coinbase приняла её в свой код в первой половине 2026 года. GoPlausible, поставщик ИИ-инфраструктуры в экосистеме, в июле запустил рабочий фасилитатор для проверки и проведения таких платежей, и его публичный дашборд⁴ теперь фиксирует 877,000 расчётов за всё время и $286,000 расчётного объёма, 77 процентов которых приходится на mainnet Algorand, при средней продолжительности расчёта 0.4 секунды. Директор по маркетингу Марк Ванлерберге рассказал зрителям выпуска, что на Global x402 Challenge зарегистрировались более 1,000 разработчиков — по его словам, это дало примерно 3,000 эндпоинтов, — и что Algorand занимает третье место по трафику x402 после Base и Solana, по данным Token Terminal.

Но чем больше агенты умеют, тем опаснее они становятся. Мысль Ванлерберге в выпуске проста: это недетерминированные системы, их поведение формируют LLM, и никакое демо не позволяет предсказать его полностью. В чате с этим можно мириться — нельзя, когда та же система хранит пароли, читает почту или тратит деньги. Большинство современных агентных фреймворков работает так: агенту передают копию учётных данных пользователя — модель, при которой злоумышленник, скомпрометировавший среду выполнения, получает всё. Подтверждения в чатах, будь то WhatsApp, Telegram или Slack, добавляют человеческую проверку, но не криптографию: «да» в ветке не говорит ни о том, кто его отправил, ни о том, что именно он одобрил.

Подпись как при свопе в dapp — только агент по другую сторону

Дизайн AC2 переносит в новую сферу схему, давно принятую в Web3. Меняя токены в dapp, вы не отдаёте приложению приватные ключи: оно просит кошелёк подключиться, вы проверяете и подписываете транзакцию, а dapp её исполняет. В AC2 роль dapp играет агент. Агент готовит действие — платёж, коммит кода, вызов API — и отправляет запрос на подпись по каналу со сквозным шифрованием в ваше приложение. Вы изучаете детали и подтверждаете паскеем: аутентификация FIDO2, привязанная к аппаратному модулю и подтверждаемая лицом, отпечатком пальца или PIN-кодом устройства, живёт в защищённом железе устройства, а не в софте, который злоумышленник мог бы выманить фишингом. Подпись делегируется обратно агенту, и тот завершает действие. Сам ключ при этом никогда не покидает ваше устройство.

Транспорт собран из открытых стандартов, а не изобретён с нуля: DIDComm v2.0⁵ для форматов сообщений, WebRTC для прямого обмена между узлами после первичного рукопожатия и Liquid Auth — построенный на паскеях слой подключения от фонда. Центрального релея нет: посредника, который мог бы логировать, составлять карту или блокировать переписку, не существует. Идентичность встроена изначально, а не прикручена сбоку. И пользователь, и каждый агент имеют децентрализованный идентификатор (DID) — стандарт W3C для идентификаторов, которыми сущность управляет сама, а не получает их от некой инстанции, — и при первой привязке они криптографически связываются. Именно эта связь в будущем позволит продавцу потребовать от незнакомого торгового агента доказать, кто им на самом деле владеет, — цепочка происхождения, которую чат-интерфейсы выстроить не могут.

AC2 принципиально не привязан к блокчейну — он работает и вовсе без него. Приложение AC2 Wallet, выпущенное Pera Wallet, Lda совместно с фондом, — некастодиальный кошелёк Algorand, так что пользователь, желающий потратить USDC⁶ через агента, может подтвердить платёж и провести расчёты в одном интерфейсе. По словам фонда, базовая интеграция укладывается в «около пятидесяти строк для базового сценария».

Что пользователь может подтверждать на самом деле

Слой между намерением и исполнением

Самое значимое место AC2 в широком агентном стеке — то, которое он делит с протоколом AP2 от Google, представленным в конце 2025 года, среди партнёров запуска которого была Algorand. AP2 определяет, как агент фиксирует мандат намерения — проверяемое описание того, что ему позволено, — но не описывает, как этот мандат попадает к пользователю и как пользователь его подписывает. AC2 — ровно этот недостающий механизм: агент отправляет мандат, пользователь подписывает его на своём устройстве, а подпись возвращается агенту для исполнения. То же разделение полномочий действует и для платежей x402: агент собирает детали платежа, пользователь одобряет, агент завершает вызов.

Разбор релиза от Korea IT Times⁷ подчёркивает, что конструкция гарантирует, а что нет. AC2 устанавливает, кто одобрил конкретный запрос; она не судит, уместен ли запрос. Пользователь по-прежнему может одобрить вредоносную или построенную обманным образом транзакцию, если кошелёк не показывает внятно её получателя, сумму и последствия: криптографическое доказательство подтверждает, что одобрение состоялось, но не то, что пользователь понял, что одобряет. А поскольку текущая версия требует подписи на каждое действие, конструкция несёт риск усталости от подтверждений: пользователи, засыпанные запросами, могут перестать их читать. Следующий шаг, о котором объявил фонд, — ограниченное делегирование: пользователь один раз задаёт потолки расходов, допустимых контрагентов и временные окна, после чего агент действует свободно в этих пределах и обращается к пользователю только в исключительных случаях.

Компромисс самостоятельного хранения заслуживает не меньшего внимания. Условия кошелька сформулированы прямо: «Если вы потеряете устройство или фразу восстановления, доступ ко всему, что вы связали через AC2, может быть утрачен навсегда». Копии ключей, которой можно было бы всё восстановить, нет ни у кого.

Спецификация, которой неделя

В день запуска вышли открытая спецификация и референсная реализация⁸ — черновик (Draft) от 1 апреля 2026 года — вместе с релизами 1.0.0⁹ SDK, CLI и референсного плагина для OpenClaw, агентного фреймворка с открытым исходным кодом. О раннем внедрении можно судить именно потому, что оно мало: у репозитория на GitHub 20 звёзд, а телеметрия npm показывает, что плагин для OpenClaw скачали за последнюю неделю 458 раз, а SDK — 247 раз; такие цифры говорят о запуске, которому несколько дней, а не о широком развёртывании. Как пишет Korea IT Times, открытая спецификация становится отраслевым стандартом только тогда, когда кошельки, агентные фреймворки и поставщики услуг реализуют её согласованно; выпущенное лишь запускает этот процесс, но не доказывает его.

Пользователи OpenClaw могут проверить схему уже сегодня: установить и включить плагин AC2, выполнить команду настройки, перезапустить шлюз и привязать AC2 Wallet — доступный на Android и iOS — отсканировав QR-код. Именно такое демо провёл в подкасте Бруно Мартинс, общаясь с агентом и подтверждая действие в прямом эфире. Выпуск завершает Фред Эстанте, глава направления DeFi, обзором более широкой экосистемы — DeFi, внедрения x402 и предстоящих изменений в управлении: напоминание, что AC2 — лишь часть общего натиска, а не самостоятельный инструмент.

У кого ключи

У вопроса, вынесенного в заголовок выпуска, в крипте есть зеркальный ответ: счёт контролирует тот, у кого ключи, — «не твои ключи — не твоя крипта». AC2 распространяет эту дисциплину со счетов на агентов. Агент может быть быстрым, дешёвым и неутомимым, но по правилам AC2 он структурно неспособен действовать, не спросив, — и каждый полученный им ответ есть подпись, а не сообщение в чате. Дальнейшая судьба протокола зависит теперь от кошельков и агентных фреймворков, которые решат сделать это различие стандартом.

Источники

• Verifiably Random S4:E2 — кто управляет вашим ИИ-агентом? Представляем AC2 (YouTube)³
• Протокол AC2²
• Представляем протокол AC2: недостающий слой безопасности для ИИ-агентов — Algorand Foundation¹
• algorandfoundation/ac2 (GitHub)⁸
• Дашборд фасилитатора GoPlausible x402⁴
• Протокол AC2¹⁰
• Algorand запускает AC2, чтобы ИИ-агенты не добрались до ключей пользователей — DailyCoin¹¹
• Algorand строит слой человеческого одобрения для ИИ-агентов | Watch¹²
• Доверие в агентной коммерции¹³
• Verifiably Random — подкаст — Apple Podcasts¹⁴
• Global x402 Challenge¹⁵
• Представляем фасилитатор GoPlausible x402: платежи и аналитика для агентной коммерции на Algorand¹⁶
• OpenClaw — ИИ-ассистент с открытым исходным кодом¹⁷
• Протокол AC2²
• Сезон 4: эп. 2 — кто управляет… — Verifiably Random — Apple Podcasts¹⁸
• Сезон 4: эп. 2 — кто управляет вашим ИИ-агентом? Представляем AC2 — Verifiably Random | Acast¹⁹
• Платежи ИИ-агентов достигли максимума 2026 года: недельные переводы — 8.7 млн²⁰