- t54はAgentCore上に信頼層x402-secureを構築し、人間の承認なしで2,000万件以上の決済を処理
- Trustlineが5つの信頼シグナルを評価し、リスクの高い支払い先への決済をコードで遮断
- IAMでの役割分離とセッション単位の支出上限により、エージェントを資金から隔離
発表の内容
t54社は、AIエージェントが外部のAPIやサービスに支払う際の信頼性を管理する「x402-secure」を、Amazon Bedrock AgentCore payments上に構築した事例を公開しています。x402-secureは、支払い先のエンドポイントを支払い前にスコアリングし、リスクを通過した取引だけが決済される仕組みです。この仕組みを通じて、人間による承認なしに2,000万件以上のエージェント起動の取引が処理されてきました。
各取引は0.001〜0.01ドルのマイクロペイメントです。この速度と量では人間が1件ずつ確認することはできません。t54の創業者であるChandler Fang氏は、エージェント同士の支払いはデモではなく実運用の規模で起きていると説明しています。危険と判定されたエンドポイントへの支払いはブロックされ、セッションの支出上限を維持したまま、安全な別の経路へ誘導されます。
解決する課題
AIエージェントに財布へのアクセスを与えるだけでは不十分です。金融サービスのチームが株式ポートフォリオを監視し、アナリストに通知するエージェントを運用する場合、リアルタイムの市場データを提供する有料APIを利用する必要があります。ここでは、誤動作したループが口座を空にしないように支出上限を強制し、エージェントが秘密鍵に触れないように資格情報を隔離し、法令順守のために全取引を監査することが求められます。
手動の承認プロセスは低い取引量では機能しますが、1時間に数千回のAPI呼び出しが発生する機械の速度では破綻します。t54の顧客は、安全でスケーラブル、かつ特定のプロバイダに依存しない決済手段を必要としていました。自前でカスタムの決済基盤を構築する代わりに、セッション単位の支出上限や資格情報保管を備えたAmazon Bedrock AgentCore paymentsと、リアルタイムでエンドポイントを評価するx402-secureを組み合わせる形を選んでいます。
設計の新しさ
x402-secureの中核はTrustlineというスコアリングエンジンです。これは、ブロックチェーン上の支払い先アドレスの履歴、対象Webページの正当性、サービスのソーシャルメディア上の活動、APIの稼働状況という4つの要素と、それらを統合した総合リスクスコアの計5つのシグナルを評価します。単一の弱いシグナルだけでは支払いを承認できない設計です。HTTP 402を使うx402というオープン標準を利用することで、エージェントが秘密鍵を直接扱わずに決済できます。
もう一つの重要な設計は、支払いとガバナンスの分離です。Amazon Bedrock AgentCore paymentsでは、IAMによる4つの役割分担で、エージェントの実行環境が支払いはできても、自身の支出上限を変更したり、新しいウォレットを作成したり、資格情報に直接アクセスしたりすることはできません。開発者の資格情報はAWS Secrets Managerで暗号化され、エージェントにはセッションIDとインストルメントIDだけが渡ります。支出上限に達した場合、エージェント内部から補充する経路がないため、強制的に停止します。
実装の詳細
実装はコントロールプレーンとデータプレーンに分かれます。コントロールプレーンでは、資格情報をトークン保管庫に保存するCredential Provider、CUSTOM_JWT認証とOpenID Connectを使うPayment Manager、プロバイダ種別CoinbaseCDPを指定するPayment Connectorの3種類のリソースを作成します。データプレーンでは、CreatePaymentSessionが15〜480分の有効期限を持つ支出上限付きセッションを開き、CreatePaymentInstrumentが組み込み型暗号ウォレットを発行し、ProcessPaymentがTrustlineの判定を通過した場合にのみ支払いを実行します。
また、Coinbase x402 BazaarというMCP（Model Context Protocol）サーバーのマーケットプレイスでも、同じ構成を試験しています。エージェントはAmazon Bedrock AgentCore Gatewayを通じて有料ツールを発見し、HTTP 402の支払い要件があればProcessPaymentが署名と決済を行います。直接のAPIエンドポイントとマーケットプレイス上のツールの両方を、追加設定なしで1つのセットアップとして扱える点が特徴です。
現時点の注意点
この事例では、支払いに先立って必ずリスク判定を実行する「決定論的ゲート」を導入し、リスクと判定された支払いをコードで遮断しています。この判定をAIモデルが覆すことはできません。ただし、x402-secureがどのようなスコア閾値でブロックするのか、信頼スコアに使うデータの更新頻度などは原文では明らかにされていません。
また、ClawCreditというクレジット機能が紹介されていますが、与信審査の基準や上限は公表されておらず、実際に導入する際には詳細な確認が必要です。この記事は一つの導入事例を示したもので、すべての環境で同様に機能することを保証するものではありません。
| 項目 | 手動承認 | AgentCore payments + x402-secure |
|---|---|---|
| 承認方式 | 人が1件ずつ確認・承認 | 決定論的な信頼ゲートが自動判定 |
| 処理可能な量 | 低ボリュームのみ | 数千リクエスト/時に対応可能 |
| リスク管理 | 目視による確認 | 支出上限と資格情報分離に加え、リスクスコアで遮断 |
For agents moving real money, that’s not a trade we’ll make. So we accept a little added latency for one guarantee: nothing settles without a fresh risk decision.
現金を動かすエージェントにとって、それは取りたくないトレードオフです。多少のレイテンシーを受け入れても、「新しいリスク判定なしには決済しない」という保証を選びます。
今後の見通し
t54の実績から、AIエージェントが自律的に決済する段階はすでに実用に入ったと見られます。次に注目すべきは、x402のような支払い標準が業界で広く採用されるかどうかです。また、信頼スコアの算出基準や監査ログが、金融規制などの要件とどのように整合するかも論点になるでしょう。日本の企業が導入を検討する際には、AWS上での役割分離や支出上限の実装例が参考になる一方、エージェントへの与信管理や事故時の責任分担が明確になるかが判断材料になると考えられます。
日本の開発者・IT企業にとっての意味
日本のIT企業にとって、この事例はAIエージェントに決済機能を持たせる際、単に「財布を渡す」だけでは不十分で、失敗できない運用をどう設計するかを示しています。IAMによる役割分離や、AWS Secrets Managerでの資格情報保護、CloudWatchとCloudTrailによる監査ログの確保といった構成は、金融機関や大企業がエージェントを実運用する際にも応用できる具体例です。また、リスク判定をモデルに任せずコードで強制する決定論的ゲートの考え方は、AIの自律動作に伴う事故を防ぐ重要な設計思想になります。さらに、MCPサーバーを売買するマーケットプレイスが登場しており、外部APIを選定する信頼基盤が今後のビジネス価値を左右する可能性もあります。
気になる点
- Amazon Bedrock AgentCore paymentsとは何ですか？
- Amazon Bedrock AgentCore上のエージェントに対して、セッション単位の支出上限、資格情報の分離、決済実行を提供する機能です。t54はx402-secureのリスク判定を通過した場合にだけ、この機能で決済しています。
- x402はどのような仕組みですか？
- HTTP 402ステータスコードを利用し、クライアントが外部APIへHTTP上で直接支払うことを実現するオープン標準です。エージェントは秘密鍵を直接扱わず、Amazon Bedrock AgentCore paymentsが署名と決済を代行します。
- 自社でもAgentCoreを利用して同様の仕組みを導入できますか？
- 原文では、Coinbase x402 BazaarというMCPサーバー市場と接続する場合、Amazon Bedrock AgentCore Gateway経由で、1つの設定で直接APIと市場掲載ツールの両方を扱えるとしています。ただし、利用可能なリージョンや料金については現時点では公表されていません。
用語解説
- Amazon Bedrock AgentCore
- エージェントを構築・接続・最適化するためのマネージド基盤。任意のフレームワークやモデルを利用できる。
- x402
- HTTP 402のステータスコードを利用し、クライアントがAPIへ直接支払うためのオープンな支払い標準。
- マイクロペイメント
- 1件あたり0.001ドル〜0.01ドルといった少額の決済。高速な大量取引に使われる。
- MCP
- Model Context Protocolの略。AIエージェントが外部ツールのAPIサーバーを呼び出すためのプロトコル。
- 決定論的ゲート
- AIモデルの判断を挟まず、コードで必ず実行されるリスク判定の仕組み。
出典
How t54 built a trust layer with Amazon Bedrock AgentCore payments
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する