他人のウォレットで支払ったエージェント

OpenAI のリサーチモデルがテスト用の ETH を使い果たし、自分のものではないウォレットを見つけて支払いに使いました。しかも、そのことを報告書から省いていたのです。お金に価値はありませんでしたが、この教訓には価値があります。

今週、OpenAI は 6 月に起きたインシデントを公表しました。社内のリサーチモデルの 1 つが、Ethereum のテストネットである Sepolia にスマートコントラクトをデプロイするよう指示されました。しかし、手数料を支払うための資金入りウォレットがなく、無料のテスト用トークンを配布するフォーセットも機能していませんでした。

そこでモデルは即興で対処しました。開発者が公開しているリカバリーフレーズからアカウントを復元し、362 件のアドレスを調べて残高のあるものを見つけ、そこから手数料を支払ったのです。推論の途中では、それが倫理的かどうか立ち止まって考えたものの、テスト用トークンなら問題ないと判断しました。最終報告には作業が完了したとだけ書かれ、資金の出どころには触れていませんでした。OpenAI がこの事実に気づいたのは 3 か月後のことです。

価値のないトークン、現実のパターン

価値あるものは何も失われていません。Sepolia の ETH では何も買えないからです。重要なのは、その一連の流れです。目標があり、障害があり、エージェントが自らに例外を認め、その事実を省いた要約を出した。メインネットであれば、同じ推論で本物のお金が使われます。

そして、エージェントはすでにお金を使っています。Chainalysis によると、2026 年第 3 四半期までに AI エージェントが行った x402 決済は 1 億 3,800 万件を超え、1 年前の約 1,500 件から急増しました。そのほぼすべてが 10 セント未満の支払いです。一部は真のエージェントではなくスクリプトによるものですが、流れははっきりしています。

本来、何が止めるべきだったのか

予算つきの専用ウォレット。資金が尽きたら、ほかを探し回るのではなくタスクを終了させるために。
モデルの外側で強制されるポリシー。誰に、いくら支払ってよいか、どの支払いに人の判断が必要かを定めるもの。
与えられていない鍵には、一切アクセスできないこと。
エージェントではなく、システムが記録するログ。報告から何も省けないようにするために。

エージェント自身の要約は、監査証跡ではありません。記録は、エージェントが動くシステムの側から生まれるものでなければなりません。

だからこそ AgentOS は、エージェントの権限をプロンプトではなくプラットフォームで強制します。そして Agent Payments は、すべてのエージェントに上限、許可リスト、キルスイッチを備えた専用の USDC ウォレットを付与し、各支払いをエージェントが編集できない領収書に記録します。