Контроль трат ИИ-агента (AI agent stablecoin payments): где ставить лимит USDC

Коротко (TL;DR)

AI agent stablecoin payments — это схема, в которой ИИ-агент сам платит в USDC за API, данные или услуги, без человека на каждом шаге. Технически это уже работает, а главный вопрос сместился: как сделать так, чтобы агент не потратил больше, чем вы готовы отдать.

• Лимит — не строчка в промпте. Он должен жить там, куда агент не дотянется: у провайдера кошелька, в смарт-контракте или хотя бы в коде платёжного клиента. Fireblocks в документации так и пишет: источник истины — правила политики, а не агент.
• Рабочие инструменты на 28 октября 2026 года: Circle Agent Wallets (лимиты за платёж, сутки, неделю и месяц плюс белые списки), Agentic Wallet от Coinbase (потолок на платёж и на сессию), политики Privy, модуль Allowance у Safe. Cloudflare Wallets пока только резервирует имена, а агентский кошелёк Stripe выдаёт карту, а не стейблкоины.
• Рецепт: отдельный кошелёк только с USDC и малым балансом, лимит за платёж и за сутки, белый список получателей, подтверждение человеком выше порога, журнал и алерты.
• Чего лимит не видит: промпт-инъекцию в пределах лимита, фальшивый счёт на оплату, заморозку USDC эмитентом и потерю привязки к доллару у самого стейблкоина.

Как ИИ-агент платит стейблкоинами: кошелёк, ключ и запрос с оплатой

Агент платит так же, как программа вызывает API, только вместо ключа доступа отдаёт деньги. Сервис отвечает кодом HTTP 402 («нужна оплата») и называет цену, клиент агента подписывает перевод USDC из своего кошелька и повторяет запрос уже с оплатой. Подробно этот обмен разобран в нашем материале про протокол x402, здесь важна только схема.

Вся цепочка выглядит так:

1. У агента есть кошелёк с балансом в USDC — долларовом стейблкоине компании Circle (стейблкоин — токен, курс которого привязан к доллару).
2. Ключ от кошелька агенту не выдают. У Circle он разделён на две доли по схеме MPC (подпись складывается из двух частей, ни одна не работает в одиночку), у Coinbase хранится в защищённом анклаве инфраструктуры. Агент просит подписать платёж, но сам ключ не видит.
3. Агент обращается к платному сервису и получает ответ 402 с суммой, сетью и адресом получателя.
4. Клиент или провайдер сверяет платёж с политикой: сумма, получатель, сеть, остаток дневного бюджета. Если правило запрещает — подписи нет.
5. Платёж уходит в блокчейн, сервис отдаёт данные. Газ (комиссию сети) у Circle и Coinbase за агента платит провайдер.

Пример: агент для исследований покупает отчёт по API за $0,01. Если всё в порядке, человек вообще не участвует. Если цена внезапно $50 — сработать должен лимит за платёж, а не здравый смысл модели.

Масштаб уже заметный. По данным Chainalysis (в пересказе Fortune), к третьему кварталу 2026 года через x402 на сети Base прошло более 138 млн транзакций, и свыше 87% из них — меньше 10 центов. Долларовый объём при этом скромнее, чем кажется: по оценке Artemis, очищенный от фиктивного оборота месячный объём x402 упал с пика ноября 2025 года ($5,15 млн) на 77%, до $1,19 млн в мае 2026 года. Вывод простой: платежи агентов в стейблкоинах (stablecoin payments for AI agents) — это поток мелких сумм, и опасен не один крупный перевод, а тысячи мелких подряд.

Robinhood запустил RLUSD на Bitstamp и Robinhood Chain, в приложение — до конца года

Grok Bot от xAI: агенты с облачным компьютером, вход от $30 и общие логины

Meta Muse за $0–$100: настройка агента по шагам, риски и доступ из Украины

OpenAI Dots в ChatGPT Pro от $100: как создать дот и задать ему правила

Claude Duet: как получить доступ, что поручить агенту и во что обойдутся лимиты

Чем это отличается от агента с банковской картой: у карты есть банк, лимиты эмитента и чарджбэк (оспаривание платежа). Перевод USDC необратим, вернуть его может только получатель. Агенты-покупатели с картой — отдельная тема, мы разбирали их в обзоре ИИ-агентов для покупок.

Способы ограничить траты агента: что защищает и чем не защищает

Кошелёк агента (AI agent wallet) защищают не одним лимитом, а набором из шести мер. Каждая закрывает свой сценарий и оставляет дыру, которую закрывает соседняя. Таблица ниже — главное в статье: по ней видно, почему одного «суточного лимита» мало.

Две детали, которые обычно упускают. Первая: лимит за платёж и лимит за сутки решают разные задачи. Первый режет одну ошибочную транзакцию, второй — цикл. Ставить нужно оба.

Вторая: подтверждение человеком не масштабируется на мелочь. CryptoSlate посчитал: если подтверждение в кошельке занимает 5–15 секунд, то при ставке $25 в час каждое обходится в $0,03–0,10 времени, а средний платёж x402 в мае 2026 года, по данным Artemis, был около $0,52. Поэтому порог для человека ставят на суммы, которые жалко потерять, а мелочь режут бюджетом.

Лимиты трат агента в Circle, Coinbase, Privy и Safe

Главный вопрос к любому криптокошельку агента (AI agent crypto wallet) — где физически живёт лимит. Если правило проверяет код в том же процессе, что и агент, взломанный или «уговоренный» агент теоретически может до него добраться. Если правило у провайдера или в смарт-контракте — нет.

Coinbase AI agent wallet: потолок на платёж и на сессию

Agentic Wallet — кошелёк для ИИ-агентов от Coinbase, запущен 11 февраля 2026 года. В версии для MCP (стандарт подключения инструментов к ИИ-ассистентам) владелец задаёт в интерфейсе кошелька два числа: Max per call — максимум за один платёж (в примере документации $0,05) и Max per session — общий потолок сессии (в примере $5). Агент эти лимиты соблюдает, но поменять не может. Поддержан USDC в сетях Base, Polygon и Solana, газ спонсируется.

На скриншоте FAQ Coinbase (снят 28 октября 2026 года) рамкой выделен ответ на вопрос о лимитах: оба числа задаются вручную в интерфейсе, и последняя строка — «агенты соблюдают лимиты, но не могут их изменить». Версия для командной строки (npx awal) даёт те же потолки на сессию и транзакцию плюс автоматическую проверку контрагентов.

Privy, Turnkey и движок политик Coinbase

У Privy политики кошелька агента ограничивают токены и сети, суммы за транзакцию или за окно времени, задают белые списки получателей и контрактов. Клиенты Privy для x402 и MPP перехватывают ответ 402 и ставят потолок maxValue на каждый запрос. Общий принцип у Privy и у движка политик Coinbase — совпавшее правило запрета сильнее любого разрешения. Отличается поведение по умолчанию: у Privy запрос, под который не подошло ни одно правило, отклоняется; у Coinbase отказ по умолчанию срабатывает, только если в политике уже есть правила для этой операции, — пустая политика ничего не запрещает.

У Turnkey есть важная оговорка в документации: корневой кворум (набор администраторских ключей) обходит любые политики. Это значит, что защищать нужно не только правила, но и ключ администратора — он не должен лежать там, где до него дотянется агент или его окружение.

Safe Allowance и ERC-7715: лимит в смарт-контракте

Safe — мультиподписной смарт-кошелёк. Его модуль Allowance выдаёт доверенному «расходнику» (например, ключу агента) лимит на конкретный токен: разовый или обновляемый, в примере документации — 100 USDC в сутки. Лимит проверяет сам контракт в блокчейне, поэтому его не обойти ни через провайдера, ни через код агента.

ERC-7715 — стандарт, по которому приложение просит у кошелька ограниченное разрешение на траты. MetaMask уже реализует периодическое разрешение на ERC-20 (пример из документации — 10 USDC в день), но сам стандарт на 28 октября 2026 года всё ещё в статусе Draft, то есть может измениться.

Настройка лимитов USDC для агента в Circle: команды по шагам

Circle Agent Stack запущен 11 мая 2026 года, и у его кошельков одна из самых подробных публичных инструкций по лимитам. Ниже — сценарий настройки платежей агента (AI agent payments) по документации Circle на 28 октября 2026 года. Синтаксис команд взят оттуда, суммы в шагах — наш пример для малого тестового бюджета.

Что понадобится: Node.js версии 20.18.2 или новее, почта, к которой у агента нет доступа, и немного USDC на другом своём кошельке.

1. Установите Circle CLI — консольную утилиту, через которую агент управляет кошельком: npm install -g @circle-fin/cli
2. Войдите по почте: circle wallet login you@example.com. Circle пришлёт одноразовый код (OTP) — введите его сами. Сессия живёт 28 дней, для основной и тестовой сети сессии раздельные. Кошельки агента создаются автоматически во всех поддерживаемых сетях.
3. Получите адрес кошелька: circle wallet list --type agent --chain ARC. ARC — это блокчейн Arc от Circle, он стоит во всех примерах документации. Если будете пополнять кошелёк с биржи, выберите сеть, в которую биржа выводит USDC и которая есть в списке поддерживаемых сетей Circle (например, Base), и подставьте её в --chain во всех командах ниже.
4. Пополните кошелёк на малую сумму: circle wallet fund --address 0xВашАдрес --chain ARC --amount 10 --method crypto. CLI покажет QR-код и ссылку для перевода с вашего кошелька; с --method fiat в браузере откроется сервис покупки криптовалюты (онрамп). USDC для пополнения можно купить на Bybit и вывести на адрес агента в сети, которая есть и в списке Circle, и в списке вывода биржи. Если USDC лежит не в той сети, его переносят через CCTP — мост Circle между сетями.
5. Поставьте лимиты по четырём окнам: circle wallet limit set --address 0xВашАдрес --chain ARC --policy-type stablecoin --per-tx 1 --daily 5 --weekly 20 --monthly 50 Суммы — в USDC, как в примере документации (там стоят 100, 500, 2000 и 5000). Условие из документации: за платёж ≤ за сутки ≤ за неделю ≤ за месяц. Circle пришлёт на почту второй код для подтверждения изменения; после этого сверьте итог командой из шага 7.
6. Ограничьте получателей белым списком: та же команда с --rule-type recipient-allowlist --targets "[0xАдрес1,0xАдрес2]". Для контрактов есть contract-allowlist, для запрета — recipient-blocklist и contract-blocklist. Каждое изменение снова подтверждается кодом из почты.
7. Проверьте, что политика действует: circle wallet limit --address 0xВашАдрес --chain ARC, затем баланс — circle wallet balance --address 0xВашАдрес --chain ARC.

На скриншоте документации Circle (снят 28 октября 2026 года) верхняя рамка выделяет четыре флага лимитов, нижняя — правило подтверждения: код уходит на почту сессии, а лимиты обязаны идти по возрастанию от платежа к месяцу.

Чего не делать — это прямо следует из документации:

• Не давайте агенту доступ к почте. Circle предупреждает в квикстарте: кто читает ящик, тот по коду входит в кошелёк и может поменять политики. Подтверждение кодом защищает ровно до тех пор, пока почта не в руках агента.
• Не проверяйте лимиты на тестовой сети. Политики работают только на основной сети (mainnet), тестнет не поддерживается. «Прогон на тестнете» ничего не докажет — проверяйте на основной сети с суммой в пару долларов.
• Не держите на кошельке агента другие токены. Политика stablecoin описана для переводов USDC, а кошелёк умеет хранить EURC, другие ERC-20 и нативные монеты. Что не USDC — то вне лимита.

Расходы на обслуживание небольшие: газ в кошельках агентов Circle спонсирует (с оговоркой, что спонсорство ограничено и может измениться), обмен токенов стоит 2 б.п. (0,02%), кроссчейн-платёж x402 через Gateway — 0,5 б.п. Все переводы проходят санкционную проверку до отправки в сеть.

Потери ИИ-агента при зацикливании платежей: расчёт с лимитами и без

Runaway-цикл — ситуация, когда агент из-за ошибки или частичного успеха раз за разом повторяет оплату. Этот режим отказа отдельно описывает аудитор Halborn. Посчитаем на простом примере: запрос к API стоит $0,01, агент повторяет его раз в секунду.

Расчёт наш: $0,01 × 3 600 запросов в час = $36, × 24 = $864. При 10 повторах в секунду цифры без защиты вырастают в десять раз — $360 за час, а суточный бюджет всё равно отдаст ровно $5, только быстрее.

Из таблицы видны два вывода. Лимит за платёж от цикла не спасает вовсе, потому что каждый отдельный платёж маленький. А малый баланс работает как самый грубый, но надёжный лимит: больше, чем лежит на кошельке, агент не потеряет даже при отказе всех остальных правил. Поэтому кошелёк агента не пополняют автоматически с основного счёта.

Как у агентов уходили деньги: Grok на Base и Lobstar Wilde

Два случая 2026 года показывают, какие именно лимиты срабатывают, а какие — нет. В обоих ушли не стейблкоины, и это тоже урок.

• Grok и Bankr, 4 мая 2026 года, сеть Base. Атакующий сначала прислал на связанный с Grok кошелёк Bankr NFT-пропуск, который открыл более высокий уровень прав, а затем опубликовал в X команду на перевод, закодированную азбукой Морзе. Grok расшифровал её и опубликовал текст команды ответом, а Bankrbot принял этот ответ за легитимный приказ и перевёл около 3 млрд токенов DRB — по оценкам, $150–200 тыс. По разбору Giskard, именно повышенные права позволили обойти стандартные лимиты переводов. Большую часть средств позже вернули (Giskard пишет о ~80%, Cointelegraph — о «части»). Что остановило бы: запрет на повышение прав извне — входящий актив не может менять политику; лимит на все токены, а не только на стейблкоин; подтверждение человеком для перевода такого размера.
• Lobstar Wilde, 22 февраля 2026 года, сеть Solana. По данным Techloy, торговый агент собирался отправить около 52 тыс. токенов LOBSTAR (эквивалент примерно 4 SOL), а отправил больше 52 млн — в тысячу раз больше за одну транзакцию. Оценки потери расходятся: около $250 тыс. по Techloy и $441 788 по Cointelegraph — по ссылке на транзакцию, которую опубликовал сам агент. Что остановило бы: лимит за один платёж. Но именно здесь важен актив: лимит в USDC не покрывает мемкоин на том же кошельке.

Отсюда правило, которое легко пропустить: на кошельке агента должен лежать только тот актив, на который настроена политика. Это особенно касается торговых ИИ-агентов, которые по своей задаче держат разные токены — им нужен лимит на каждый актив или отдельный кошелёк под каждую стратегию.

Риски вне лимитов ИИ-агента: инъекция, фейковый 402, заморозка, депег

Лимит видит только сумму, адрес и сеть. Всё, что происходит до подписи или после неё, остаётся за его пределами.

• Промпт-инъекция в пределах лимита. Если чужой текст на странице убедил агента платить за бесполезный сервис по $0,50, бюджет $5 в сутки отдаст $5 мошеннику — ровно как разрешено. OWASP в списке рисков LLM называет корень проблемы «избыточной агентностью»: лишние функции, права и автономия. Лечение — белый список получателей и узкие права агента, а не только сумма.
• Повышение прав самим агентом. Случай Grok показывает: если права можно расширить извне, все лимиты теряют смысл. У Circle смену политики подтверждает код из почты — значит, почта не должна быть доступна агенту.
• Фальшивый ответ 402. Halborn описывает поддельные ответы 402 на легитимных и вредоносных сайтах: агент платит атакующему вместо настоящего получателя или платит за то, что доступно бесплатно. Сумма может быть копеечной и пройти любой лимит — спасает только список разрешённых получателей.
• Заморозка USDC эмитентом. Circle может заблокировать адрес. 23 марта 2026 года компания заблокировала 16 кошельков с USDC и позже разблокировала один из них, а в конце мая заморозила $12,6 млн USDC в контракте конфиденциального cUSDC проекта Zama. Лимит здесь ничего не решает: деньги не ушли, они просто недоступны. Как устроены права эмитентов разных стейблкоинов, мы сравнивали в разборе USDT, USDC, USD1 и RLUSD.
• Потеря привязки к доллару. 22 марта 2026 года стейблкоин Resolv USR упал более чем на 70% после того, как атакующий выпустил 80 млн необеспеченных токенов. Если агент держал или принимал USR, ни белый список, ни суточный лимит этого не заметили бы. Вывод: агенту — только крупный стейблкоин с прозрачным обеспечением, и только тот, на который настроена политика.
• Необратимость. Ответ Coinbase в FAQ прямой: платежи x402 мгновенные и ончейн, возврат зависит от поставщика услуги. Ошибочный перевод вернёт только добросовестный получатель.

Что из анонсов реально работает на 28.10.2026: Cloudflare, Stripe, AP2

Новостей про «кошельки для агентов» много, и часть из них пересказывает анонсы как готовые продукты. Сверили по документации самих компаний.

На скриншоте документации Cloudflare Wallets (снят 28 октября 2026 года) рамкой выделена плашка: сегодня доступно только резервирование имени кошелька. Ниже на той же странице все функции с лимитами описаны в будущем времени — «will be able to». Лимиты Virtual Wallets, которые подают в новостях как готовые, пока не выпущены.

Чек-лист запуска платёжного ИИ-агента: лимиты, белый список, баланс

Порядок, в котором стоит настраивать платежи агента. Первые пять пунктов — минимум для любого запуска, остальные — для тех, кто выходит за пределы эксперимента.

1. Отдельный кошелёк агента, не связанный с основными деньгами, ключ у провайдера или в смарт-контракте, а не в переменной окружения рядом с агентом.
2. Только USDC на кошельке и малый баланс — столько, сколько не жалко потерять. Никакого автопополнения с основного счёта.
3. Лимит за платёж и за сутки одновременно: первый режет ошибку суммы, второй — цикл.
4. Белый список получателей: агент платит только известным сервисам.
5. Почта и ключи администратора недоступны агенту: код подтверждения и корневой кворум — это и есть ваша «кнопка изменения правил».
6. Порог для человека: всё, что выше суммы, которую не жалко, — только с подтверждением.
7. Журнал и алерты: уведомление при достижении 50–80% бюджета (у CDP SDK для этого есть пороги approachingLimitThresholds).
8. Проверка на основной сети малой суммой: у Circle тестнет политики не проверяет.
9. Раз в месяц — ревизия: какие сервисы в белом списке, сколько ушло, не поменялись ли условия провайдера.

FAQ

Может ли ИИ-агент сам поднять свой лимит трат?

В правильно настроенной схеме — нет. У Coinbase Agentic Wallet лимиты задаются в интерфейсе владельца, и документация прямо пишет, что агент их не меняет. У Circle каждое изменение политики подтверждает одноразовый код на почту владельца. Слабое место — сама почта и ключи администратора: если агент получил к ним доступ, защита исчезает.

Какой баланс держать на кошельке ИИ-агента?

Столько, сколько вы готовы потерять при худшем сценарии, и в одном активе — USDC. Баланс работает как последний лимит: даже при отказе всех правил агент не потратит больше, чем лежит. Для экспериментов хватает $10–20, для рабочего агента — недельный бюджет, пополняемый вручную.

Защищает ли лимит от промпт-инъекции?

Только частично. Лимит ограничит ущерб суммой бюджета, но инъекция, которая заставляет агента платить мелкими суммами за ненужный сервис, укладывается в любой лимит. От этого защищает белый список получателей и узкие права агента: платить только известным адресам и не иметь доступа к настройкам кошелька.

Можно ли проверить политику лимитов на тестовой сети?

У Circle — нет: документация прямо указывает, что политики трат работают только на основной сети, тестнет не поддерживается. Поэтому проверка делается на mainnet с минимальной суммой в пару долларов. У SDK Coinbase ограничения живут в коде клиента, и их можно прогнать в тестовой сети Base Sepolia.

Что будет, если эмитент заморозит USDC на кошельке агента?

Деньги останутся на адресе, но ими нельзя будет пользоваться, пока эмитент не снимет блокировку. Такие случаи уже были: в марте 2026 года Circle заблокировала 16 кошельков. Лимиты здесь не помогают, поэтому на кошельке агента держат только рабочий бюджет, а не накопления.

Чем платёж агента стейблкоином отличается от платежа картой?

Перевод USDC необратим и проходит за секунды без банка-посредника, поэтому подходит для платежей в доли цента за запрос. У карты есть лимиты банка, чарджбэк и минимальная сумма — у Stripe MPP это 0,50 доллара для карт против 0,01 USDC для стейблкоинов. Зато ошибку с картой проще оспорить.