Ledger делает ставку на аппаратные решения, поскольку ИИ-агенты начинают управлять кошельками

Краткое резюме

• Ledger открыл для публики набор инструментов Agent Stack, позволяя ИИ-агентам управлять криптокошельками при том, что приватные ключи остаются запертыми внутри аппаратного устройства.
• Каждая транзакция, которая перемещает средства, всё равно требует ручного подтверждения на устройстве Ledger signer перед выполнением.
• MoonPay и Shisa.ai уже используют производственные инструменты, построенные на новой архитектуре.
• Ledger планирует в 2026 году выпустить аппаратно привязанные агентные идентичности и инструменты проверки человека.

Ledger открыл для публики toolkit Agent Stack 16 июля 2026 года, предоставив разработчикам стандартизированный способ позволить ИИ-агентам читать криптобалансы и анализировать портфели, а затем составлять транзакции, которые переместят средства — при этом ни разу не касаясь приватных ключей, находящихся за этим. Парижский производитель аппаратных криптокошельков построил релиз вокруг единственного ограничения: агент может подготовить своп или платеж, но решение выполнить его всё равно должно пройти через физическое нажатие кнопки на устройстве Ledger, подтверждённое владельцем кошелька. Запуск следует за периодом предпросмотра, который начался 10 июня, и в нём участвовало более 1 000 тестовых агентов, а также это первое публичное поставляемое решение из AI security roadmap компании на 2026 год. Набор инструментов, созданный, чтобы останавливаться на подписи Агентный ИИ за последние два года автоматизировал исследования, мониторинг и черновики для пользователей крипто, и очевидный следующий шаг — дать агентам возможность перемещать деньги самостоятельно. Но этот шаг упирается в конкретную проблему доверия. Передайте агенту приватные ключи — и одна галлюцинированная цена, плохая инструкция или успешная атака через prompt injection могут опустошить аккаунт за секунды. Полностью лишите агента доступа к кошельку, и обещанная эффективность в значительной степени исчезает. Ответ Ledger сохраняет полную дееспособность агентов на стороне чтения и анализа, проводя жёсткую границу на этапе выполнения. Компания формулирует правило тремя словами, которые встречаются в её документации для разработчиков: агенты предлагают, люди одобряют. Четыре модуля, одна общая граница Agent Stack поставляется как четыре отдельных, компонуемых компонента, а не как единый запертый продукт, поэтому разработчик подключает только то, что реально нужно под конкретный сценарий использования.

| Модуль | | --- | Функция | | --- | --- | | Device Management Kit Skills | Инструкции на базе Markdown, которые подключают агентские фреймворки, такие как Claude Code, Codex или Cursor, к Ledger signer без кода для кастомной интеграции кошелька | | Ledger Wallet CLI | Позволяет агенту свободно проверять балансы и просматривать историю, поскольку это операции только для чтения. Подготовка отправки или свопа тоже возможна, но всё, что может переместить стоимость, приостанавливается там для физического подтверждения | | Ledger Enterprise CLI | Подключает агентов к Ledger Enterprise, чтобы они готовили транзакции и поддерживали сценарии governance для институциональных аккаунтов, не удерживая ключ | | Ledger Enterprise Multisig CLI | Позволяет агентам готовить и запрашивать multisig-действия для институциональных аккаунтов, хотя кворумное одобрение и аппаратная подпись по-прежнему «встают барьером» для всего, что действительно выполняется |

Почему экран и большой палец лучше, чем программное разрешение Архитектура опирается на принцип, который Ledger называет WYSIWYS: что вы видите, то вы и подписываете. Агент подготавливает транзакцию в своей собственной программной среде, но этап одобрения происходит полностью вне этой среды — на доверенном дисплее физического signer, который показывает точные детали транзакции до того, как кто-либо подтвердит. Поскольку приватный ключ никогда не покидает защищённый чип устройства, скомпрометированный агент, отравленный skill или целевая атака через prompt injection всё равно может попросить signer одобрить нечто. Но никто из них не сможет заставить устройство одобрить без человека, который физически присутствует. Программные разрешения кошелька — даже тщательно продуманные — в итоге живут в той же среде выполнения, которую пытается контролировать атакующий. Аппаратное обеспечение переносит финальное решение туда, куда коду добраться нельзя. Цифры, которыми Ledger обосновывает трение Ledger поддерживает добавленный шаг одобрения двумя внешними цифрами. Уровень уязвимостей 26,1% происходит из** независимого исследования Agent Skills in the Wild**, которое просканировало более 31 000 опубликованных agent skills и выяснило, что доля с хотя бы одним дефектом присутствует. Показатель по человеческой ошибке — широко цитируемая в отрасли цифра, которую Ledger включил в материалы к запуску без указания на конкретное исследование.

| Метрика | | --- | Показатель | | --- | --- | | AI agent skills с хотя бы одной уязвимостью безопасности | 26,1% | Agent Skills in the Wild (arXiv, Jan 2026) | | Инциденты безопасности, прослеженные до человеческой ошибки | Примерно 60% | Отраслевой показатель без привязки к источнику, который цитирует Ledger | | Агентов протестировали во время закрытого предпросмотра | Более 1 000 | Пост Ledger с предпросмотром 10 июня |

Ledger утверждает, что поверхность атак для ИИ расширяется быстрее, чем большинство защит могут отслеживать — и это объясняет первую цифру. Вторая цифра работает в обратную сторону: по мнению компании, подготовка с помощью агентов способна снизить число обычных ошибок, даже добавляя один ручной шаг на финише. Что меняется для трейдеров, фондов и разработчиков после этого MoonPay и Shisa.ai уже запустили производственные инструменты на этой архитектуре: интеграция MoonPay позволяет агенту определить сделку и подготовить её, пока приватные ключи остаются в пределах аппаратного устройства, и при этом каждая транзакция по-прежнему требует нажатия кнопки. Enterprise Multisig CLI переносит ту же логику в корпоративные казначейства: там кворумное одобрение и так замедляет выполнение по другим причинам, и дополнительное аппаратное подтверждение на практике меняет немного. Розничные и высокочастотные сценарии использования находятся в большей степени в напряжении с этой моделью. Трейдинговый агент, который замечает окно арбитража, измеряемое миллисекундами, не может ждать, пока человек взглянет на экран устройства, а конкурирующие дизайны кошельков, построенные на абстракции account abstraction для смарт-контрактов, уже позволяют ботам выполнять операции автономно в пределах лимитов на расход, которые владелец заранее задаёт. Ledger делает ставку, что выигрыш по безопасности перевешивает стоимость по скорости для большинства пользователей; удержится ли это для стратегий, чувствительных к задержкам — отдельный вопрос, на который рынок ответит независимо от этого релиза. Ledger уже обозначила следующие шаги.** Работа над Agent Identity позже в этом году** закрепит каждый агент за идентичностью, зарегистрированной в аппаратном устройстве и записанной в on-chain, заменив подделываемые строковые идентификаторы ПО, которые агенты сейчас используют, чтобы идентифицировать себя для сервисов и друг для друга. Отдельное Proof of Human attestation должно позволить контрагенту криптографически проверить, что реальный человек авторизовал конкретное действие, а не только то, что signer его одобрил. Тем временем Ledger поддерживает разработческий bounty на сумму $5,000 на college.xyz и развернула призовой пул $10,000 на ETHGlobal New York для команд, которые создают инструменты оплаты и одобрения для агентов на новом стеке — это ближайший импульс, чтобы большее число сообщества, занимающегося созданием агентов, тестировало аппаратно ограниченную модель до появления инструментов идентичности и attestation.