Оплата ИИ-агентом: как продавец отличает его от мошенника

Осенью 2025 года сразу несколько крупных игроков представили механизмы, позволяющие ИИ-агенту совершать покупку от лица человека. OpenAI в конце сентября 2025 запустила Instant Checkout в ChatGPT вместе с открытым Agentic Commerce Protocol (ACP), разработанным совместно со Stripe. Google в сентябре 2025 представила Agent Payments Protocol (AP2) с более чем 60 партнёрами, среди которых Mastercard, PayPal и Coinbase. Visa и Mastercard параллельно объявили о своих программах — Visa Intelligent Commerce и Mastercard Agent Pay. Все они решают одну и ту же проблему: как продавец на другом конце сделки поймёт, что запрос на оплату прислал уполномоченный агент, а не мошеннический скрипт, притворяющийся вашим ассистентом.

Вопрос не праздный. Если агент может нажать «оплатить», значит, эту способность попытается угнать любой, кто напишет похожий код. Классические антифрод-системы построены на допущении, что за экраном сидит человек: они смотрят на движения мыши, скорость набора, поведение в браузере. Агент по определению не двигает мышью. Поэтому индустрия строит отдельный слой доверия — и он уже частично работает.

Что вообще проверяется

Когда агент инициирует платёж, продавцу нужно ответить на три разных вопроса, и их важно не путать:

• Кто этот агент. Идентификация самого программного агента и стоящей за ним платформы (ChatGPT, Gemini, сторонний сервис).
• От чьего имени он действует. Привязка агента к конкретному пользователю и его платёжному инструменту.
• Что именно ему разрешили. Границы полномочий: сумма, продавец, товар, срок действия разрешения.

Мошенничество ловится на всех трёх уровнях. Поддельный агент не пройдёт первый. Реальный агент, действующий без ведома владельца карты, споткнётся на втором. Агент, которому дали купить кроссовки за 8 000 рублей, но который пытается перевести 200 000, нарушит третий.

Криптографическая подпись вместо пароля

Общий принцип у всех протоколов один: намерение пользователя фиксируется в подписанном объекте. В терминологии Google AP2 это Mandate — мандат¹, криптографически подписанное разрешение, где записано, что пользователь согласился купить конкретный товар у конкретного продавца в определённых рамках. Есть два вида: Intent Mandate (пользователь заранее описал условия — «купи, если цена упадёт ниже X») и Cart Mandate (пользователь подтвердил уже собранную корзину в реальном времени).

Продавец, получив запрос, проверяет подпись. Если она валидна и цепочка ведёт к доверенному эмитенту, транзакция считается авторизованной агентом с согласия человека. Подделать подпись без приватного ключа нельзя — на этом держится вся конструкция.

Главный сдвиг в том, что доказательством покупки становится не факт нажатия кнопки живым пальцем, а неотзывный криптографический след согласия. Спор «я этого не заказывал» упирается уже не в логи сервера, а в подписанный мандат.

Токены вместо номера карты

Ни один из протоколов не отдаёт агенту настоящий номер карты. Visa Intelligent Commerce и Mastercard Agent Pay выдают агенту токенизированный платёжный credential² — одноразовый или ограниченный идентификатор, привязанный к конкретному агенту и набору правил. Если такой токен утечёт, украсть по нему что-то за пределами заданных рамок не выйдет: он не работает у другого продавца и не переживает установленный лимит.

Три протокола рядом

Форматы разные, задача общая. Ниже — как соотносятся основные инициативы по состоянию на конец 2025 года. Детали быстро меняются, актуальное сверяйте в документации самих компаний.

Практически важно, что ACP и AP2 позиционируются как открытые и не привязанные к одной платёжной сети — Google прямо заявляет о поддержке карт, PayPal и криптовалют через партнёров. Visa и Mastercard действуют внутри своей инфраструктуры, но их токены агенты могут использовать поверх тех же протоколов.

Как это выглядит со стороны продавца

Для интернет-магазина подключение агентной оплаты — это не «включить галочку», а несколько последовательных шагов. Порядок отличается у разных провайдеров, но логика общая:

1. Выбрать протокол или платёжного провайдера, который его поддерживает (Stripe для ACP, партнёры Google для AP2).
2. Настроить проверку подписи входящих запросов: продавец должен уметь валидировать мандат или подписанный checkout.
3. Сверять параметры сделки с тем, что записано в подписанном согласии, — сумму, товар, себя как получателя.
4. Логировать неотзывный след согласия на случай спора и чарджбэка.
5. Настроить собственный антифрод под агентный трафик: старые правила «человек не может кликнуть так быстро» тут дают ложные срабатывания.

Ключевой момент — четвёртый. Пока непонятно, как чарджбэки будут распределяться между пользователем, платформой агента и продавцом, если сделку оспорят. Подписанный мандат должен доказывать согласие, но судебной и арбитражной практики по агентным платежам ещё практически нет, и правила сетей по этому поводу дописываются на ходу.

Кому это пригодится, а кому нет

Технология адресна, и не всем она нужна прямо сейчас.

Пригодится:

• Крупным ретейлерам и маркетплейсам, которые хотят попасть в выдачу ChatGPT Instant Checkout, — трафик из ассистента идёт мимо привычного поиска.
• Сервисам с повторяющимися покупками: подписки, расходники, повторные заказы, где Intent Mandate («покупай сам при таких-то условиях») экономит пользователю действия.
• Тем, кто продаёт цифровые товары и хочет минимизировать трение при оплате.

Пока не нужно:

• Малому продавцу без потока заказов из ИИ-ассистентов — интеграция стоит времени разработки, а отдачи может не быть.
• Бизнесам с дорогими штучными сделками, где покупатель всё равно хочет говорить с человеком.
• Тем, кому критична зрелая практика по спорам и возвратам: сейчас это зона неопределённости.

Для обычного покупателя вывод простой: агентная оплата не делает вас беззащитнее, если протокол настоящий. Ваше согласие фиксируется криптографически, номер карты агенту не передаётся, а лимиты вы задаёте сами. Опасность не в самих протоколах, а в подделках под них — приложениях и «ассистентах», которые просят ввести данные карты напрямую, минуя токенизацию. Настоящий агентный платёж этого не требует.

¹ Мандат (mandate) — в контексте AP2 это подписанный пользователем объект-разрешение, который описывает, что именно и в каких рамках агенту позволено купить. Работает как электронная доверенность с криптографической подписью.

² Токенизированный credential — платёжный идентификатор, заменяющий настоящий номер карты. Привязан к конкретному агенту и правилам, при утечке бесполезен за пределами заданных ограничений.