Ledger делает ставку на аппаратные решения, поскольку ИИ-агенты начинают управлять кошельками

Краткое резюме

• Ledger открыл публично набор инструментов Agent Stack, позволяющий AI-агентам управлять криптокошельками, при этом приватные ключи остаются запертыми внутри аппаратного устройства.
• Каждая транзакция, которая перемещает средства, всё равно требует ручного подтверждения на подписанте Ledger до выполнения.
• MoonPay и Shisa.ai уже используют production-инструменты, построенные на новой архитектуре.
• Ledger планирует аппаратно привязанные агентные идентичности и инструменты верификации человека позже в 2026 году.

Ledger открыл набор инструментов Agent Stack для публики 16 июля 2026 года, предоставив разработчикам стандартизированный способ позволить AI-агентам считывать крипто-балансы и анализировать портфели, а затем составлять транзакции, которые перемещают средства — при этом им никогда не приходится трогать приватные ключи, лежащие за этим. Парижский производитель аппаратных кошельков сделал релиз опирающимся на одно ключевое ограничение: агент может составить своп или платеж, но решение о выполнении всё равно должно пройти через физическое нажатие кнопки на устройстве Ledger, подтверждённое человеком, который владеет кошельком. Запуск следует периоду превью, начавшемуся 10 июня, и шёл с более чем 1 000 тестовых агентов; это первый публичный результат из 2026 AI security roadmap компании. Набор инструментов, созданный, чтобы остановиться на подписи Агентный AI последние два года автоматизировал исследования, мониторинг и подготовку для крипто-пользователей, и очевидный следующий шаг — дать агентам возможность перемещать деньги самостоятельно. Однако этот шаг упирается в конкретную проблему доверия. Отдайте агенту свои приватные ключи — и один галлюцинированный курс, плохая инструкция или успешная атака через prompt injection могут опустошить аккаунт за считанные секунды. Полностью лишите агента доступа к кошельку — и обещанная эффективность во многом исчезает. Ответ Ledger сохраняет полную способность агентов на стороне чтения и анализа, проводя жёсткую границу по исполнению. Компания формулирует правило тремя словами, которые используются в её документации для разработчиков: агенты предлагают, люди одобряют. Четыре модуля, одна общая граница Agent Stack поставляется как четыре отдельных, собираемых в цепочку компонента, а не как единый запертый продукт, поэтому разработчик берёт только то, что реально нужно под конкретный сценарий.

| Module | | --- | Function | | --- | --- | | Device Management Kit Skills | Инструкции на базе Markdown, которые подключают agent-фреймворки вроде Claude Code, Codex или Cursor к подписанту Ledger без кода для кастомной интеграции кошелька | | Ledger Wallet CLI | Позволяет агенту свободно проверять балансы и просматривать историю, поскольку это read-only. Подготовка отправки или свопа тоже возможна, но всё, что должно переместить стоимость, ставится на паузу для физического подтверждения | | Ledger Enterprise CLI | Подключает агентов к Ledger Enterprise, чтобы они составляли транзакции и поддерживали governance-процессы для институциональных аккаунтов, не удерживая ни одного ключа | | Ledger Enterprise Multisig CLI | Дает агентам возможность составлять и запрашивать действия multisig для институциональных аккаунтов, при этом кворумное одобрение и аппаратная подпись всё равно блокируют всё, что реально выполняется |

Почему экран и большой палец лучше, чем программные разрешения Архитектура опирается на принцип, который Ledger называет WYSIWYS, what you see is what you sign — что видишь, то и подписываешь. Агент готовит транзакцию внутри собственной программной среды, но шаг одобрения происходит полностью за пределами этой среды — на доверенном экране физического подписанта, который показывает точные детали транзакции до того, как кто-либо подтвердит её. Поскольку приватный ключ никогда не покидает защищённый чип устройства, скомпрометированный агент, «отравленная» skill или целевая атака через prompt injection всё равно могут попросить подписант одобрить что-то. Но никто из них не сможет добиться одобрения без физического присутствия человека. Разрешения кошелька, реализованные только в программном виде, даже если их тщательно спроектировали, в итоге живут внутри того же окружения выполнения, которым пытается управлять злоумышленник. Аппаратная часть переносит окончательное решение туда, куда код не может дотянуться. Цифры, которые Ledger называет, чтобы оправдать трение Ledger подтверждает добавленный шаг одобрения двумя внешними показателями. 26,1% — это доля уязвимостей из** независимого исследования Agent Skills in the Wild**, которое просканировало более 31 000 опубликованных агентных skills и обнаружило, что в этой доле у share есть как минимум один изъян. Фигура по человеческой ошибке — это широко цитируемая в индустрии оценка, которую Ledger включил в свои материалы запуска, не приписывая её конкретному исследованию.

| Metric | | --- | Figure | | --- | --- | | AI agent skills с минимум одной уязвимостью безопасности | 26,1% | Agent Skills in the Wild (arXiv, Jan 2026) | | Инциденты взлома, прослеженные до человеческой ошибки | Примерно 60% | Неатрибутированная индустриальная оценка, на которую ссылается Ledger | | Агенты, протестированные во время закрытого превью | Более 1 000 | Июньский пост Ledger с превью, опубликованный 10 июня |

Ledger утверждает, что AI-атакующая поверхность расширяется быстрее, чем большинство защит успевает отслеживать — это и объясняет первую цифру. Вторая цифра работает в другую сторону: аргумент компании в том, что подготовка, помогаемая агентами, может сократить обычные ошибки даже при добавлении одного ручного шага в конце. Что меняется для трейдеров, фондов и разработчиков с этого момента MoonPay и Shisa.ai уже запустили production-инструменты на этой архитектуре: интеграция MoonPay позволяет агенту распознать сделку и подготовить её, пока приватные ключи остаются запертыми в аппаратуре, а выполнение каждой транзакции всё равно требует нажатия кнопки. Enterprise Multisig CLI переносит ту же логику в корпоративные казначейства: там кворумное одобрение уже замедляет выполнение по другим причинам, и дополнительное аппаратное подтверждение в реальности меняет немного. Розничные и high-frequency сценарии сильнее конфликтуют с таким модельным подходом. Трейдинговый агент, который замечает окно арбитража, измеряемое миллисекундами, не может ждать, пока человек взглянет на экран устройства, а конкурирующие дизайны кошельков, построенные на абстракции account через smart-контракты, уже позволяют ботам выполнять операции автономно в пределах лимитов, которые владелец задаёт заранее. Ledger ставит на то, что выигрыш в безопасности перевешивает цену по скорости для большинства пользователей; будет ли это верно для стратегий, чувствительных к задержкам, — отдельный вопрос, на который рынок ответит независимо от этого релиза. Ledger уже обозначил следующие шаги.** Работа над Agent Identity позже в этом году** привяжет каждого агента к идентичности, зарегистрированной на аппаратном уровне и записанной в сети, заменив подделываемые программные строки, которые агенты сейчас используют для идентификации себя в сервисах и друг с другом. Отдельное Proof of Human attestation должно позволить контрагенту криптографически подтвердить, что реальный человек авторизовал конкретное действие — а не просто то, что подписант одобрил его. Тем временем Ledger поддерживает девелоперский грант на сумму $5 000 на college.xyz и ведёт набор призового пула $10 000 на ETHGlobal New York для команд, которые создают инструменты оплаты и одобрения для агентов в новом стеке — это ближайший push, чтобы большее число людей из комьюнити разработки агентов тестировали модель, ограниченную аппаратным подтверждением, прежде чем появятся инструменты identity и attestation.