Ledger делает ставку на аппаратные решения, поскольку AI-агенты начинают управлять кошельками

Краткое содержание

• Ledger открыл для публики набор инструментов Agent Stack, позволяя агентам ИИ управлять криптокошельками при том, что приватные ключи остаются запертыми внутри аппаратного устройства.
• Каждая транзакция, перемещающая стоимость, по-прежнему требует ручного подтверждения на Ledger signer, прежде чем она выполнится.
• MoonPay и Shisa.ai уже используют production-инструменты, построенные на новой архитектуре.
• Ledger планирует аппаратно закреплённые агентные идентичности и инструменты проверки человеком позже в 2026 году.

Ledger открыл набор инструментов Agent Stack для публики 16 июля 2026 года, предоставив разработчикам стандартизированный способ, как заставить ИИ-агентов читать крипто-балансы и анализировать портфели, затем подготавливать транзакции, которые перемещают средства — не касаясь при этом приватных ключей, скрытых за ним. Парижский производитель аппаратных кошельков выстроил релиз вокруг одного ограничения: агент может подготовить своп или платеж, но решение о выполнении всё равно должно пройти через физическое нажатие кнопки на устройстве Ledger, подтверждённое владельцем кошелька. Запуск следует за периодом предпросмотра, который стартовал 10 июня, и прошёл с более чем 1 000 тестовых агентов, а также это первый публичный результат из 2026 AI security roadmap компании. Набор инструментов, рассчитанный на то, чтобы останавливаться на подписи Агентный ИИ в последние два года автоматизировал исследования, мониторинг и черновики для криптопользователей, и очевидный следующий шаг — дать агентам возможность перемещать деньги самостоятельно. Но этот шаг упирается в конкретную проблему доверия. Дайте агенту свои приватные ключи — и один галлюцинированный ценовой показатель, плохая инструкция или успешная атака prompt injection может за секунды вывести аккаунт из строя. Полностью отключите агента от доступа к кошельку — и обещанная эффективность в значительной степени исчезает. Ответ Ledger сохраняет полную дееспособность агентов на стороне чтения и анализа, проводя жёсткую границу на стороне исполнения. Компания формулирует это правило тремя словами, которые встречаются в документации для разработчиков: агенты предлагают, люди одобряют. Четыре модуля, одна общая граница Agent Stack поставляется как четыре отдельных компонуемых части, а не как единый запертый продукт, поэтому разработчик берёт только то, что реально нужно под конкретный кейс.

| Модуль | | --- | Функция | | --- | --- | | Device Management Kit Skills | Инструкции в формате Markdown, которые подключают agent frameworks вроде Claude Code, Codex или Cursor к Ledger signer без кода для интеграции кошелька | | Ledger Wallet CLI | Позволяет агенту свободно проверять балансы и просматривать историю, поскольку это только чтение. Подготовка отправки или свопа тоже возможна, но всё, что должно переместить стоимость, приостанавливается до физического подтверждения | | Ledger Enterprise CLI | Подключает агентов к Ledger Enterprise, чтобы они могли подготавливать транзакции и поддерживать governance-процессы для институциональных аккаунтов, не удерживая ни одного ключа | | Ledger Enterprise Multisig CLI | Дает возможность агентам подготавливать и запрашивать multisig-действия для институциональных аккаунтов, хотя кворумное одобрение и аппаратная подпись всё равно блокируют то, что фактически исполняется |

Почему экран и большой палец лучше, чем программное разрешение Архитектура опирается на принцип, который Ledger называет WYSIWYS — what you see is what you sign: «что вы видите, то вы и подписываете». Агент подготавливает транзакцию в своей программной среде, но шаг одобрения происходит полностью вне этой среды — на доверяемом дисплее физического signer, который показывает точные детали транзакции до того, как кто-либо подтвердит её. Поскольку приватный ключ никогда не покидает защищённый чип устройства, скомпрометированный агент, отравленный skill или целевая атака prompt injection всё равно может попросить signer одобрить что-то, но никто из них не может заставить его одобрить без физического присутствия человека. Программные разрешения кошелька, даже тщательно спроектированные, в конечном счёте живут в той же среде исполнения, которую пытается контролировать атакующий. Аппаратное решение переносит финальное решение туда, куда код не может добраться. Цифры, которыми Ledger оправдывает необходимость «трения» Ledger подкрепляет добавленный шаг одобрения двумя внешними цифрами. Уровень уязвимостей 26,1% получен из** независимого исследования «Agent Skills in the Wild»,** которое просканировало более 31 000 опубликованных agent skills и обнаружило, что у доли как минимум с одним дефектом. Фигура, связанная с ошибками человека, — это широко цитируемая отраслeвая оценка, которую Ledger включил в материалы запуска, не указывая её привязку к конкретному исследованию.

| Показатель | | --- | Фигура | | --- | --- | | AI agent skills как минимум с одной уязвимостью безопасности | 26,1% | Agent Skills in the Wild (arXiv, янв 2026) | | Инциденты по безопасности, прослеженные до ошибки человека | Около 60% | Неназванная отраслeвая оценка, на которую ссылается Ledger | | Агенты, протестированные во время закрытого предпросмотра | Более 1 000 | Пост Ledger о предпросмотре от 10 июня |

Ledger утверждает, что поверхность атак для ИИ расширяется быстрее, чем большинство защит успевают отслеживать, и именно это объясняет первую цифру. Вторая цифра говорит в другом направлении: позиция компании такова, что подготовка при помощи агентов на самом деле сокращает число обычных ошибок, даже несмотря на добавление одного ручного шага на финише. Что меняется для трейдеров, фондов и разработчиков дальше MoonPay и Shisa.ai уже запускают production-инструменты на этой архитектуре: интеграция MoonPay позволяет агенту распознать возможность трейда и подготовить его, при этом приватные ключи остаются в пределах аппаратуры, а каждая транзакция всё равно требует нажатия кнопки. Enterprise Multisig CLI переносит эту же логику в корпоративные казначейства, где кворумное одобрение уже замедляет исполнение по другим причинам, и дополнительное аппаратное подтверждение на практике меняет немного. Розничные и высокочастотные сценарии находятся в большей степени напряжения с этой моделью. Торговый агент, который находит окно арбитража, измеряемое миллисекундами, не может ждать, пока человек просто мельком взглянет на экран устройства, а конкурирующие дизайны кошельков, построенные на account abstraction через smart-контракты, уже позволяют ботам исполнять операции автономно в пределах лимитов, которые владелец задаёт заранее. Ledger ставит на то, что аргумент безопасности перевешивает «цену» по скорости для большинства пользователей; удастся ли это для стратегий с чувствительной к задержкам латентностью — отдельный вопрос, на который рынок ответит независимо от этого релиза. Ledger уже обозначил следующие шаги.** Работы по Agent Identity позже в этом году** закрепят каждый агент за аппаратно зарегистрированной идентичностью, записанной в on-chain, заменив поддающиеся подмене программные строки, которые агенты сейчас используют, чтобы идентифицировать себя сервисам и друг другу. Отдельное Proof of Human attestation предназначено, чтобы криптографически подтвердить контрагенту, что реальный человек авторизовал конкретное действие, а не только то, что signer его одобрил. Тем временем Ledger поддерживает девелоперский bounty на сумму $5 000 на college.xyz и формирует пул призов $10 000 на ETHGlobal New York для команд, которые создают инструменты оплаты и одобрения агентами на новом стеке — это ближайший импульс, чтобы большее число сообщества, создающего агентов, тестировало аппаратно ограниченную модель, прежде чем появятся инструменты идентичности и аттестации.