Ledger делает ставку на аппаратные решения, поскольку ИИ-агенты начинают управлять кошельками

Краткое содержание

• Ledger открыл для широкой публики toolkit Agent Stack, позволяя AI-агентам управлять криптокошельками при том, что приватные ключи остаются запертыми внутри аппаратного устройства.
• Каждая транзакция, которая перемещает стоимость, по-прежнему требует ручного подтверждения на Ledger signer до исполнения.
• MoonPay и Shisa.ai уже используют производственные инструменты, построенные на новой архитектуре.
• Ledger планирует аппаратно закреплённые агентные идентичности и инструменты верификации людей позже в 2026 году.

Ledger открыл toolkit Agent Stack для широкой публики 16 июля 2026 года, предоставив разработчикам стандартизированный способ позволить AI-агентам читать крипто-балансы и анализировать портфели, а затем составлять транзакции, которые должны переместить средства — при этом им никогда не приходится прикасаться к приватным ключам, скрытым за кошельком. Парижский производитель аппаратных криптокошельков построил релиз вокруг одного ограничения: агент может составить своп или платеж, но решение об исполнении всё равно должно пройти через физическое нажатие кнопки на устройстве Ledger, подтверждённое человеком, который владеет кошельком. Запуск следует за периодом предпросмотра, стартовавшим 10 июня, и шёл с более чем 1 000 тестовыми агентами; это первый публичный результат в рамках AI security roadmap компании на 2026 год. Toolkit, созданный чтобы “остановиться” на подписи Агентный AI последние два года автоматизирует исследования, мониторинг и подготовку для криптопользователей — и очевидный следующий шаг заключается в том, чтобы агенты могли перемещать деньги самостоятельно. Но этот шаг упирается в конкретную проблему доверия. Отдай агенту приватные ключи — и один галлюцинирующий ценовой параметр, неверная инструкция или успешная атака prompt injection могут опустошить аккаунт за считанные секунды. Полностью лиши агента доступа к кошельку, и обещанная эффективность почти исчезнет. Ответ Ledger сохраняет агентам полную дееспособность на стороне чтения и анализа, но проводит жёсткую границу на исполнении. Компания формулирует правило тремя словами, которые встречаются по всей её документации для разработчиков: агенты предлагают, люди одобряют. Четыре модуля, одна общая граница Agent Stack поставляется как четыре отдельных компонуемых компонента, а не как единый закрытый продукт, поэтому разработчик подключает только то, что реально нужно под конкретный сценарий.

| Module | | --- | Function | | --- | --- | | Device Management Kit Skills | Инструкции на базе Markdown, которые подключают агентские фреймворки вроде Claude Code, Codex или Cursor к Ledger signer без кода для кастомной интеграции кошелька | | Ledger Wallet CLI | Позволяет агенту свободно проверять балансы и просматривать историю, потому что это режим чтения. Подготовка отправки или свопа тоже возможна, но всё, что способно переместить стоимость, останавливается там — до физического подтверждения | | Ledger Enterprise CLI | Подключает агентов к Ledger Enterprise, чтобы они могли составлять транзакции и поддерживать governance-процессы для корпоративных аккаунтов, при этом не удерживая ключ | | Ledger Enterprise Multisig CLI | Позволяет агентам составлять и запрашивать multisig-действия для корпоративных аккаунтов, хотя кворумное одобрение и аппаратная подпись всё равно “отсекают” всё, что действительно исполняется |

Почему экран и большой палец лучше, чем софтверные права В основе архитектуры лежит принцип, который Ledger называет WYSIWYS: то, что вы видите — то, чем вы подписываете. Агент готовит транзакцию внутри собственной программной среды, но шаг одобрения происходит полностью вне этой среды — на доверенном дисплее физического signer, который показывает точные детали транзакции до того, как кто-либо подтвердит её. Поскольку приватный ключ никогда не покидает защищённый чип устройства, скомпрометированный агент, отравленная skill или направленная атака prompt injection всё равно могут попросить signer одобрить что-то. Но никто из них не сможет добиться одобрения без физического присутствия человека. Права на кошелёк, реализованные только программно — даже тщательно продуманные — в конечном итоге живут в той же среде исполнения, которую пытается контролировать атакующий. Аппаратное решение переносит финальное решение туда, куда код просто не может добраться. Цифры, которыми Ledger обосновывает “трение” Ledger подкрепляет добавленный шаг одобрения двумя внешними цифрами. Уровень уязвимостей 26,1% получен** из независимого исследования “Agent Skills in the Wild”**, которое просканировало более 31 000 опубликованных агентных skills и обнаружило, что доля с хотя бы одним дефектом — не нулевая. Число про человеческие ошибки — широко цитируемая отраслевым сообществом оценка, которую Ledger включил в материалы к запуску, не привязывая её к конкретному исследованию.

| Metric | | --- | Figure | Source | | --- | --- | | AI agent skills с хотя бы одной проблемой безопасности | 26,1% | Agent Skills in the Wild (arXiv, Jan 2026) | | Инциденты безопасности, прослеженные до человеческой ошибки | Примерно 60% | Неназванная отраслeвая оценка, упомянутая Ledger | | Агенты, протестированные во время закрытого предпросмотра | Более 1 000 | Пост Ledger о предпросмотре от 10 июня |

Ledger утверждает, что площадь атаки для AI расширяется быстрее, чем большинство защит могут отслеживать — этим и объясняется первая цифра. Вторая цифра работает в противоположную сторону: по версии компании, подготовка с помощью агентов способна сократить число обычных ошибок, даже несмотря на добавление одного ручного шага в конце. Что меняется для трейдеров, фондов и разработчиков с этого момента MoonPay и Shisa.ai уже запускают производственные инструменты поверх этой архитектуры: интеграция MoonPay позволяет агенту определить трейд и подготовить его, пока приватные ключи остаются в пределах аппаратного обеспечения, и при этом любая транзакция всё равно требует нажатия кнопки. Enterprise Multisig CLI переносит ту же логику в корпоративные казначейства, где кворумное одобрение и так замедляет исполнение по другим причинам, а дополнительное аппаратное подтверждение практически меняет мало. Ритейл и сценарии high-frequency сильнее конфликтуют с такой моделью. Трейдинговый агент, который замечает окно арбитража, измеряемое миллисекундами, не может ждать, пока человек бегло посмотрит на экран устройства; а конкурирующие дизайны кошельков, построенные на абстракции account smart-контрактов, уже позволяют ботам исполнять транзакции автономно в пределах лимитов на расход, которые владелец задаёт заранее. Ledger делает ставку, что обоснование безопасности перевешивает издержки по скорости для большинства пользователей; вопрос о том, сохранится ли это для стратегий с чувствительностью к задержкам, рынок ответит независимо от этого релиза. Ledger уже обозначил свои следующие шаги.** Работа над Agent Identity позже в этом году** закрепит каждого агента за идентичностью, зарегистрированной в аппаратном обеспечении и записанной в ончейне, заменив спуфабельные строковые идентификаторы ПО, которые агенты сейчас используют, чтобы представляться сервисам и друг другу. Отдельная Proof of Human аттестация предназначена для того, чтобы контрагент мог криптографически проверить, что реальный человек авторизовал конкретное действие — а не только то, что signer его одобрил. Тем временем Ledger поддерживает девелоперский грант на сумму $5 000 для college.xyz и формирует призовой фонд $10 000 на ETHGlobal New York для команд, которые создают инструменты оплаты и одобрения агентами на новом стеке — ближайший импульс к тому, чтобы большая часть сообщества, занимающегося сборкой агентов, успела протестировать аппаратно ограниченную модель до появления инструментов идентичности и аттестации.