Контроль витрат ШІ-агента (AI agent stablecoin payments): де ставити ліміт USDC

Коротко (TL;DR)

AI agent stablecoin payments — це схема, у якій ШІ-агент сам платить у USDC за API, дані чи послуги, без людини на кожному кроці. Технічно це вже працює, тож головне питання змістилося: як зробити так, щоб агент не витратив більше, ніж ви готові віддати.

• Ліміт — не рядок у промпті. Він має жити там, куди агент не дотягнеться: у провайдера гаманця, у смарт-контракті або хоча б у коді платіжного клієнта. Fireblocks у документації так і пише: джерело істини — правила політики, а не агент.
• Робочі інструменти станом на 28 жовтня 2026 року: Circle Agent Wallets (ліміти за платіж, добу, тиждень і місяць плюс білі списки), Agentic Wallet від Coinbase (стеля на платіж і на сесію), політики Privy, модуль Allowance у Safe. Cloudflare Wallets поки лише резервує імена, а агентський гаманець Stripe видає картку, а не стейблкоїни.
• Рецепт: окремий гаманець лише з USDC і малим балансом, ліміт за платіж і за добу, білий список отримувачів, підтвердження людиною понад поріг, журнал і сповіщення.
• Чого ліміт не бачить: промпт-ін’єкцію в межах ліміту, фальшивий рахунок на оплату, заморожування USDC емітентом і втрату прив’язки до долара в самого стейблкоїна.

Як ШІ-агент платить стейблкоїнами: гаманець, ключ і запит з оплатою

Агент платить так само, як програма викликає API, тільки замість ключа доступу віддає гроші. Сервіс відповідає кодом HTTP 402 («потрібна оплата») і називає ціну, клієнт агента підписує переказ USDC зі свого гаманця й повторює запит уже з оплатою. Докладно цей обмін розібрано в нашому матеріалі про протокол x402, тут важлива лише схема.

Увесь ланцюжок виглядає так:

1. Агент має гаманець із балансом у USDC — доларовому стейблкоїні компанії Circle (стейблкоїн — токен, курс якого прив’язаний до долара).
2. Ключ від гаманця агентові не видають. У Circle його поділено на дві частки за схемою MPC (підпис складається з двох частин, жодна не працює окремо), у Coinbase він зберігається в захищеному анклаві інфраструктури. Агент просить підписати платіж, але самого ключа не бачить.
3. Агент звертається до платного сервісу й отримує відповідь 402 із сумою, мережею та адресою отримувача.
4. Клієнт або провайдер звіряє платіж із політикою: сума, отримувач, мережа, залишок денного бюджету. Якщо правило забороняє — підпису немає.
5. Платіж іде в блокчейн, сервіс віддає дані. Газ (комісію мережі) у Circle та Coinbase за агента сплачує провайдер.

Приклад: агент для досліджень купує звіт через API за $0,01. Якщо все гаразд, людина взагалі не втручається. Якщо ціна раптом $50 — спрацювати має ліміт за платіж, а не здоровий глузд моделі.

Масштаб уже помітний. За даними Chainalysis (у переказі Fortune), до третього кварталу 2026 року через x402 у мережі Base пройшло понад 138 млн транзакцій, і понад 87% із них — менше ніж 10 центів. Доларовий обсяг при цьому скромніший, ніж здається: за оцінкою Artemis, очищений від фіктивного обороту місячний обсяг x402 упав від піку листопада 2025 року ($5,15 млн) на 77%, до $1,19 млн у травні 2026 року. Висновок простий: платежі агентів у стейблкоїнах (stablecoin payments for AI agents) — це потік дрібних сум, і небезпечний не один великий переказ, а тисячі дрібних поспіль.

Robinhood запустив RLUSD на Bitstamp і Robinhood Chain, у застосунку — до кінця року

Grok Bot від xAI: агенти з хмарним комп’ютером, вхід від $30 і спільні логіни

Meta Muse за $0–$100: налаштування агента покроково, ризики й доступ з України

OpenAI Dots у ChatGPT Pro від $100: як створити дот і задати йому правила

Claude Duet: як отримати доступ, що доручити агенту і скільки з’їдають ліміти

Чим це відрізняється від агента з банківською карткою: за карткою стоїть банк, ліміти емітента й чарджбек (оскарження платежу). Переказ USDC незворотний, повернути його може тільки отримувач. Агенти-покупці з карткою — окрема тема, ми розбирали їх в огляді ШІ-агентів для покупок.

Способи обмежити витрати агента: що захищає і від чого не захищає

Гаманець агента (AI agent wallet) захищають не одним лімітом, а набором із шести заходів. Кожен закриває свій сценарій і лишає діру, яку закриває сусідній. Таблиця нижче — головне в статті: з неї видно, чому одного «добового ліміту» замало.

Дві деталі, які зазвичай пропускають. Перша: ліміт за платіж і ліміт за добу розв’язують різні завдання. Перший відсікає одну помилкову транзакцію, другий — цикл. Ставити треба обидва.

Друга: підтвердження людиною не масштабується на дрібниці. CryptoSlate порахував: якщо підтвердження в гаманці триває 5–15 секунд, то за ставки $25 на годину кожне коштує $0,03–0,10 часу, а середній платіж x402 у травні 2026 року, за даними Artemis, становив близько $0,52. Тому поріг для людини ставлять на суми, які шкода втратити, а дрібниці обмежують бюджетом.

Ліміти витрат агента в Circle, Coinbase, Privy і Safe

Головне питання до будь-якого криптогаманця агента (AI agent crypto wallet) — де фізично живе ліміт. Якщо правило перевіряє код у тому самому процесі, що й агент, зламаний чи «умовлений» агент теоретично може до нього дістатися. Якщо правило в провайдера або в смарт-контракті — ні.

Coinbase AI agent wallet: стеля на платіж і на сесію

Agentic Wallet — гаманець для ШІ-агентів від Coinbase, запущений 11 лютого 2026 року. У версії для MCP (стандарт підключення інструментів до ШІ-асистентів) власник задає в інтерфейсі гаманця два числа: Max per call — максимум за один платіж (у прикладі документації $0,05) і Max per session — загальна стеля сесії (у прикладі $5). Агент цих лімітів дотримується, але змінити їх не може. Підтримано USDC у мережах Base, Polygon і Solana, газ спонсорується.

На скриншоті FAQ Coinbase (знято 28 жовтня 2026 року) рамкою виділено відповідь на питання про ліміти: обидва числа задають вручну в інтерфейсі, а останній рядок — «агенти дотримуються лімітів, але не можуть їх змінити». Версія для командного рядка (npx awal) дає ті самі стелі на сесію й транзакцію плюс автоматичну перевірку контрагентів.

Privy, Turnkey і рушій політик Coinbase

У Privy політики гаманця агента обмежують токени й мережі, суми за транзакцію або за вікно часу, задають білі списки отримувачів і контрактів. Клієнти Privy для x402 і MPP перехоплюють відповідь 402 і ставлять стелю maxValue на кожен запит. Спільний принцип у Privy та в рушія політик Coinbase — правило заборони, яке збіглося, сильніше за будь-який дозвіл. Відрізняється поведінка за замовчуванням: у Privy запит, під який не підійшло жодне правило, відхиляється; у Coinbase відмова за замовчуванням спрацьовує, лише якщо в політиці вже є правила для цієї операції, — порожня політика нічого не забороняє.

У документації Turnkey є важливе застереження: кореневий кворум (набір адміністраторських ключів) обходить будь-які політики. Отже, захищати треба не тільки правила, а й ключ адміністратора — він не повинен лежати там, де до нього дотягнеться агент або його оточення.

Safe Allowance і ERC-7715: ліміт у смарт-контракті

Safe — мультипідписний смарт-гаманець. Його модуль Allowance видає довіреному «витратникові» (наприклад, ключу агента) ліміт на конкретний токен: разовий або поновлюваний, у прикладі документації — 100 USDC на добу. Ліміт перевіряє сам контракт у блокчейні, тому його не обійти ні через провайдера, ні через код агента.

ERC-7715 — стандарт, за яким застосунок просить у гаманця обмежений дозвіл на витрати. MetaMask уже реалізує періодичний дозвіл на ERC-20 (приклад із документації — 10 USDC на день), але сам стандарт станом на 28 жовтня 2026 року досі має статус Draft, тобто ще може змінитися.

Налаштування лімітів USDC для агента в Circle: команди покроково

Circle Agent Stack запустили 11 травня 2026 року, і в його гаманців одна з найдокладніших публічних інструкцій щодо лімітів. Нижче — сценарій налаштування платежів агента (AI agent payments) за документацією Circle станом на 28 жовтня 2026 року. Синтаксис команд узято звідти, суми в кроках — наш приклад для малого тестового бюджету.

Що знадобиться: Node.js версії 20.18.2 або новішої, пошта, до якої агент не має доступу, і трохи USDC на іншому вашому гаманці.

1. Встановіть Circle CLI — консольну утиліту, через яку агент керує гаманцем: npm install -g @circle-fin/cli
2. Увійдіть через пошту: circle wallet login you@example.com. Circle надішле одноразовий код (OTP) — введіть його самі. Сесія діє 28 днів, для основної й тестової мережі сесії окремі. Гаманці агента створюються автоматично в усіх підтримуваних мережах.
3. Отримайте адресу гаманця: circle wallet list --type agent --chain ARC. ARC — це блокчейн Arc від Circle, він стоїть в усіх прикладах документації. Якщо поповнюватимете гаманець із біржі, оберіть мережу, у яку біржа виводить USDC і яка є в переліку підтримуваних мереж Circle (наприклад, Base), і підставте її в --chain в усіх командах нижче.
4. Поповніть гаманець на невелику суму: circle wallet fund --address 0xВашаАдреса --chain ARC --amount 10 --method crypto. CLI покаже QR-код і посилання для переказу з вашого гаманця; із --method fiat у браузері відкриється сервіс купівлі криптовалюти (онрамп). USDC для поповнення можна купити на Binance і вивести на адресу агента в мережі, яка є і в переліку Circle, і в переліку виведення біржі. Якщо USDC лежить не в тій мережі, його переносять через CCTP — міст Circle між мережами.
5. Встановіть ліміти за чотирма вікнами: circle wallet limit set --address 0xВашаАдреса --chain ARC --policy-type stablecoin --per-tx 1 --daily 5 --weekly 20 --monthly 50 Суми — у USDC, як у прикладі документації (там стоять 100, 500, 2000 і 5000). Умова з документації: за платіж ≤ за добу ≤ за тиждень ≤ за місяць. Circle надішле на пошту другий код для підтвердження зміни; після цього звірте результат командою з кроку 7.
6. Обмежте отримувачів білим списком: та сама команда з --rule-type recipient-allowlist --targets "[0xАдреса1,0xАдреса2]". Для контрактів є contract-allowlist, для заборони — recipient-blocklist і contract-blocklist. Кожну зміну знову підтверджують кодом із пошти.
7. Перевірте, що політика діє: circle wallet limit --address 0xВашаАдреса --chain ARC, потім баланс — circle wallet balance --address 0xВашаАдреса --chain ARC.

На скриншоті документації Circle (знято 28 жовтня 2026 року) верхня рамка виділяє чотири прапорці лімітів, нижня — правило підтвердження: код іде на пошту сесії, а ліміти мають зростати від платежу до місяця.

Чого не робити — це прямо випливає з документації:

• Не давайте агентові доступу до пошти. Circle попереджає у швидкому старті: хто читає скриньку, той за кодом входить у гаманець і може змінити політики. Підтвердження кодом захищає рівно доти, доки пошта не в руках агента.
• Не перевіряйте ліміти в тестовій мережі. Політики працюють лише в основній мережі (mainnet), тестнет не підтримується. «Прогін у тестнеті» нічого не доведе — перевіряйте в основній мережі із сумою в кілька доларів.
• Не тримайте на гаманці агента інших токенів. Політику stablecoin описано для переказів USDC, а гаманець уміє зберігати EURC, інші ERC-20 і нативні монети. Що не USDC — те поза лімітом.

Витрати на обслуговування невеликі: газ у гаманцях агентів Circle спонсорує (із застереженням, що спонсорство обмежене й може змінитися), обмін токенів коштує 2 б.п. (0,02%), кросчейн-платіж x402 через Gateway — 0,5 б.п. Усі перекази проходять санкційну перевірку до відправлення в мережу.

Втрати ШІ-агента під час зациклення платежів: розрахунок з лімітами

Runaway-цикл — ситуація, коли агент через помилку або частковий успіх раз у раз повторює оплату. Цей режим відмови окремо описує аудитор Halborn. Порахуймо на простому прикладі: запит до API коштує $0,01, агент повторює його раз на секунду.

Розрахунок наш: $0,01 × 3 600 запитів на годину = $36, × 24 = $864. За 10 повторів на секунду цифри без захисту зростають удесятеро — $360 за годину, а добовий бюджет однаково віддасть рівно $5, тільки швидше.

З таблиці випливають два висновки. Ліміт за платіж від циклу не рятує зовсім, бо кожен окремий платіж малий. А малий баланс працює як найгрубіший, але надійний ліміт: більше, ніж лежить на гаманці, агент не втратить навіть тоді, коли відмовлять усі інші правила. Тому гаманець агента не поповнюють автоматично з основного рахунку.

Як агенти втрачали гроші: Grok у мережі Base і Lobstar Wilde

Два випадки 2026 року показують, які саме ліміти спрацьовують, а які — ні. В обох пішли не стейблкоїни, і це теж урок.

• Grok і Bankr, 4 травня 2026 року, мережа Base. Атакувальник спершу надіслав на пов’язаний із Grok гаманець Bankr NFT-перепустку, яка відкрила вищий рівень прав, а потім опублікував у X команду на переказ, закодовану абеткою Морзе. Grok розшифрував її й опублікував текст команди у відповіді, а Bankrbot сприйняв цю відповідь як легітимний наказ і переказав близько 3 млрд токенів DRB — за оцінками, $150–200 тис. За розбором Giskard, саме підвищені права дали змогу обійти стандартні ліміти переказів. Більшу частину коштів згодом повернули (Giskard пише про ~80%, Cointelegraph — про «частину»). Що зупинило б: заборона на підвищення прав ззовні — вхідний актив не може змінювати політику; ліміт на всі токени, а не лише на стейблкоїн; підтвердження людиною для переказу такого розміру.
• Lobstar Wilde, 22 лютого 2026 року, мережа Solana. За даними Techloy, торговий агент збирався відправити близько 52 тис. токенів LOBSTAR (еквівалент приблизно 4 SOL), а відправив понад 52 млн — у тисячу разів більше за одну транзакцію. Оцінки втрат різняться: близько $250 тис. за Techloy і $441 788 за Cointelegraph — за посиланням на транзакцію, яке опублікував сам агент. Що зупинило б: ліміт за один платіж. Але саме тут важить актив: ліміт у USDC не покриває мемкоїн на тому самому гаманці.

Звідси правило, яке легко пропустити: на гаманці агента має лежати лише той актив, на який налаштовано політику. Це особливо стосується торгових ШІ-агентів, які за своїм завданням тримають різні токени, — їм потрібен ліміт на кожен актив або окремий гаманець під кожну стратегію.

Ризики поза лімітами ШІ-агента: ін’єкція, фейковий 402, депег

Ліміт бачить лише суму, адресу й мережу. Усе, що відбувається до підпису чи після нього, лишається поза його межами.

• Промпт-ін’єкція в межах ліміту. Якщо чужий текст на сторінці переконав агента платити за непотрібний сервіс по $0,50, бюджет $5 на добу віддасть $5 шахраєві — рівно так, як дозволено. OWASP у переліку ризиків LLM називає корінь проблеми «надмірною агентністю»: зайві функції, права й автономія. Ліки — білий список отримувачів і вузькі права агента, а не лише сума.
• Підвищення прав самим агентом. Випадок Grok показує: якщо права можна розширити ззовні, усі ліміти втрачають сенс. У Circle зміну політики підтверджує код із пошти — отже, пошта не має бути доступна агентові.
• Фальшива відповідь 402. Halborn описує підроблені відповіді 402 на легітимних і шкідливих сайтах: агент платить атакувальникові замість справжнього отримувача або платить за те, що доступне безкоштовно. Сума може бути копійчаною й пройти будь-який ліміт — рятує лише список дозволених отримувачів.
• Заморожування USDC емітентом. Circle може заблокувати адресу. 23 березня 2026 року компанія заблокувала 16 гаманців з USDC і згодом розблокувала один із них, а наприкінці травня заморозила $12,6 млн USDC у контракті конфіденційного cUSDC проєкту Zama. Ліміт тут нічого не вирішує: гроші не пішли, вони просто недоступні. Як влаштовані права емітентів різних стейблкоїнів, ми порівнювали в розборі USDT, USDC, USD1 і RLUSD.
• Втрата прив’язки до долара. 22 березня 2026 року стейблкоїн Resolv USR упав більш ніж на 70% після того, як атакувальник випустив 80 млн незабезпечених токенів. Якби агент тримав або приймав USR, ні білий список, ні добовий ліміт цього не помітили б. Висновок: агентові — лише великий стейблкоїн із прозорим забезпеченням, і лише той, на який налаштовано політику.
• Незворотність. Відповідь Coinbase у FAQ пряма: платежі x402 миттєві й ончейн, повернення залежить від постачальника послуги. Помилковий переказ поверне лише сумлінний отримувач.

Що з анонсів справді працює на 28.10.2026: Cloudflare, Stripe, AP2

Новин про «гаманці для агентів» багато, і частина з них переказує анонси як готові продукти. Ми звірили з документацією самих компаній.

На скриншоті документації Cloudflare Wallets (знято 28 жовтня 2026 року) рамкою виділено плашку: сьогодні доступне лише резервування імені гаманця. Нижче на тій самій сторінці всі функції з лімітами описано в майбутньому часі — «will be able to». Ліміти Virtual Wallets, які в новинах подають як готові, поки не випущено.

Чек-лист запуску платіжного ШІ-агента: ліміти, білий список, баланс

Порядок, у якому варто налаштовувати платежі агента. Перші п’ять пунктів — мінімум для будь-якого запуску, решта — для тих, хто виходить за межі експерименту.

1. Окремий гаманець агента, не пов’язаний з основними грошима, ключ у провайдера або в смарт-контракті, а не в змінній оточення поруч з агентом.
2. Лише USDC на гаманці й малий баланс — стільки, скільки не шкода втратити. Жодного автопоповнення з основного рахунку.
3. Ліміт за платіж і за добу одночасно: перший відсікає помилку суми, другий — цикл.
4. Білий список отримувачів: агент платить лише відомим сервісам.
5. Пошта й ключі адміністратора недоступні агентові: код підтвердження й кореневий кворум — це і є ваша «кнопка зміни правил».
6. Поріг для людини: усе, що перевищує суму, якої не шкода, — лише з підтвердженням.
7. Журнал і сповіщення: повідомлення в разі досягнення 50–80% бюджету (у CDP SDK для цього є пороги approachingLimitThresholds).
8. Перевірка в основній мережі малою сумою: у Circle тестнет політик не перевіряє.
9. Раз на місяць — ревізія: які сервіси в білому списку, скільки пішло, чи не змінилися умови провайдера.

FAQ

Чи може ШІ-агент сам підняти свій ліміт витрат?

У правильно налаштованій схемі — ні. У Coinbase Agentic Wallet ліміти задають в інтерфейсі власника, і документація прямо пише, що агент їх не змінює. У Circle кожну зміну політики підтверджує одноразовий код на пошту власника. Слабке місце — сама пошта й ключі адміністратора: якщо агент отримав до них доступ, захист зникає.

Який баланс тримати на гаманці ШІ-агента?

Стільки, скільки ви готові втратити за найгіршого сценарію, і в одному активі — USDC. Баланс працює як останній ліміт: навіть якщо відмовлять усі правила, агент не витратить більше, ніж лежить. Для експериментів вистачає $10–20, для робочого агента — тижневого бюджету, який поповнюють вручну.

Чи захищає ліміт від промпт-ін’єкції?

Лише частково. Ліміт обмежить збиток сумою бюджету, але ін’єкція, яка змушує агента платити дрібними сумами за непотрібний сервіс, вкладається в будь-який ліміт. Від цього захищають білий список отримувачів і вузькі права агента: платити лише відомим адресам і не мати доступу до налаштувань гаманця.

Чи можна перевірити політику лімітів у тестовій мережі?

У Circle — ні: документація прямо вказує, що політики витрат працюють лише в основній мережі, тестнет не підтримується. Тому перевірку роблять у mainnet із мінімальною сумою в кілька доларів. У SDK Coinbase обмеження живуть у коді клієнта, і їх можна прогнати в тестовій мережі Base Sepolia.

Що буде, якщо емітент заморозить USDC на гаманці агента?

Гроші лишаться на адресі, але ними не можна буде користуватися, доки емітент не зніме блокування. Такі випадки вже були: у березні 2026 року Circle заблокувала 16 гаманців. Ліміти тут не допомагають, тому на гаманці агента тримають лише робочий бюджет, а не заощадження.

Чим платіж агента стейблкоїном відрізняється від платежу карткою?

Переказ USDC незворотний і проходить за секунди без банку-посередника, тому підходить для платежів у частки цента за запит. За карткою стоять ліміти банку, чарджбек і мінімальна сума — у Stripe MPP це 0,50 долара для карток проти 0,01 USDC для стейблкоїнів. Зате помилку з карткою простіше оскаржити.