わずか1日の間に、2社がパーソナルエージェントへの対応でそれぞれ異なる道を選びました。
MetaがMuseをリリースしてから2週間後の9月20日、Amazonは自社サイトからこのエージェントをブロックした。¹ その翌朝、ShopifyのCEOであるTobi Lütkeは、MuseがすべてのShopifyストアでShop Payを使って決済できるようになったと発表した。
AmazonはMuseの振る舞いを問題視した。MetaはこのエージェントがアクセスすることをAmazonに事前に知らせておらず、Museも名乗らずにサイトを閲覧するため、Amazonには、ログイン済みの顧客が人間には不可能な速さで購入手続きへ進んでいるように見えた。
一方、ShopifyはMuseの提供開始以来、Metaと協力してきた。両社の新たな提携により、MuseはShop Payを通じて決済する。これにより、加盟店はAIエージェントによる購入であることを確認でき、Shopifyはその決済取扱高を獲得できる。
Apptopiaの推計によると、Museは米国とカナダでリリース後12日間に180万件のiOSダウンロードを記録し、ChatGPTのリリース時の130万件を上回った。² 一方、InstinctのCEOであるNoah Shinn氏によれば、同氏のスタートアップの年間取引額は10億ドルに迫っており、その約半分を旅行関連が占めている。³
こうした数字が伸びるにつれ、同じ判断を迫られる加盟店は増えていくでしょう。Sardineの顧客からも、エージェントによる取引にどう対応すべきかという問い合わせがすでに寄せられ始めています。どのような対応を選ぶにせよ、不正対策チームは、どのエージェントがサイトを利用しているのか、また誰がそのエージェントを送り込んだのかを把握する必要があります。盗んだ認証情報を持つ詐欺師が、正規のエージェントを使って他人のアカウントで買い物をさせることもできるからです。
重要なポイント
- パーソナルAIエージェントは、所有者の認証情報を使って買い物をします。認証情報を盗んだ詐欺師は、所有者になり代わって正常に機能するエージェントに買い物をさせることができ、その取引はあらゆるレイヤーで正当なものに見えます。
- Meta Museのようなクラウドエージェントは、それを利用する顧客から遠く離れたデータセンターのインフラを経由してアクセスする一方、ローカルエージェントは顧客自身のデバイスとネットワーク上で動作します。両者が示す不正の兆候は大きく異なるため、それぞれに異なる検知ロジックが必要です。
- すべてのエージェントトラフィックをブロックすれば、正当な販売機会を失うことになります。一方、すべてのエージェントトラフィックを許可すれば、AIエージェントへのプロンプトインジェクションを悪用した不正、アカウント乗っ取り、支払いに関する不正を招くおそれがあります。エージェント経由の取引量を確保しつつ、そのリスクを避けたい事業者にとって、どちらの一律対応も有効ではありません。
- Sardineは、各エージェントセッションを3つの観点から評価します。セッションがソフトウェアによって操作されているか、またそれがどのエージェントなのか、そのエージェントがアカウントの既知の履歴と一致しているか、そしてエージェントが試みている操作がアカウントの通常の行動範囲内にあるかを確認します。
- Visa Trusted Agent Protocolは、エージェントがリクエストに署名し、加盟店に対して自身を識別できる仕組みを提供します。しかし、署名付きリクエストで特定できるのはエージェントの開発者であり、エージェントを送信した人物ではありません。加盟店は引き続き、所有者を確認し、エージェントの行動を評価する必要があります。
加盟店側から見たパーソナルAIエージェント
パーソナルエージェントは、所有者本人と同じように買い物をします。顧客の認証情報を使ってログインし、依頼された商品が見つかるまで商品ページを見て回り、その後はリピーター客と同じように購入手続きを完了します。
エージェントがどこで実行されるかによって、加盟店側から見えるものは異なります。MuseとOpenAIのChatGPTエージェントは、それぞれの開発元のサーバー上でブラウザを操作します。またMetaは、Museの各ユーザーに、最新版のChromiumブラウザを実行する独立したクラウドマシンを提供しています。⁴
一方、PerplexityのAIブラウザ「Comet」は、顧客自身のコンピューター上で動作します。クラウドエージェントのセッションは、利用を依頼した顧客から遠く離れたデータセンターから発信されますが、ローカルエージェントのセッションは顧客が普段使っているデバイスとネットワークから発信されます。そのため、ある意味では実際に顧客自身の環境であることから、よりいっそう顧客本人のアクセスのように見えます。
いずれにせよ、エージェントは痕跡を残します。クラウドエージェントは、ほぼ同一のセッションとともに同じデータセンターからアクセスしてくる傾向があり、どちらの種類のエージェントも、人間ならしないような方法でプログラムによってページ間を移動します。こうしたシグナルにより、Sardineは、MuseやInstinctのようなエージェントを含む自動化されたセッションを、通常の買い物客によるトラフィックに見える場合でも検出できます。
クラウドエージェント Muse、ChatGPTエージェント | 現地代理店 PerplexityのComet | |
実行場所 | メーカーのサーバー上で動作するブラウザ。Museは各ユーザーに独立したクラウドマシンを提供します。 | 顧客自身のコンピューター上で動作するAIブラウザ。 |
セッションの流入元 | それを要求した顧客から何マイルも離れた場所にあるデータセンター。 | 顧客が通常使用するデバイスとネットワーク。 |
どのように見えるか | 顧客自身のデバイスが一切表示されないセッション。 | ある意味では実際に顧客そのものなので、顧客にさらに近い存在です。 |
残される痕跡 | 同じデータセンター、ほぼ同一のセッション、そして人間なら決してしないようなページ遷移。 | 誰もしないようなページ遷移。 |
エージェントには「許可かブロックか」が通用しなくなる理由
すべてのエージェントをブロックするのが最も簡単な解決策です。AmazonはMuseを利用する攻撃者を阻止できますが、同時に、商品を購入するためにMuseを送り込んだ顧客まで締め出すことになります。Amazonほど大規模で事業が多角化している企業なら短期的な打撃にも耐えられますが、ほかの企業は一律に「拒否」するわけにはいきません。
そうした企業も、すべてのエージェントを無条件で受け入れるわけにはいきません。攻撃者はプロンプトインジェクションを使い、買い物中にエージェントが読み取るページに、決済前にアカウントの配送先住所を変更するよう指示を仕込むことができます。すると販売業者は攻撃者のもとへ商品を発送してしまい、本来の顧客が請求に異議を申し立てれば、販売業者がチャージバックの損失を負うことになります。
どちらの極端な対応も、エージェント経由の売上は取り込みつつ、それに便乗する不正は防ぎたい加盟店には適していません。加盟店は、各エージェントセッションについて、背後にいるのは誰か、何をしているのかを見極める必要があります。Sardineは、その判断を3つの問いに分けています。
SardineがパーソナルAIエージェントを検知し、どこまで信頼するかを判断する仕組み
AIエージェントのトラフィック検知とセッション検証
まずSardineは、そのセッションがソフトウェアによって操作されているかどうかを判定し、可能な場合はどのエージェントであるかも特定します。Sardineのボット検知では、AIエージェントに共通する行動パターン、特徴的な技術フィンガープリント、実装上の特性、地理的シグナルを調べます。自ら名乗るエージェントであれば、特定は容易です。OpenAIのChatGPTエージェントはリクエストに署名するため、Sardineはヘッダーだけでそのエージェントを特定できます。署名しないエージェントについては、Sardineはそれ以外のシグナルを利用します。
AIエージェントを利用する顧客の本人確認
エージェントの名前だけでは、誰がそのエージェントを送信したのかは分かりません。そのため、Sardineはエージェントと、そのエージェントが使用しているアカウントを照合します。クラウドエージェントでは、顧客の存在がエージェントの背後に完全に隠れてしまう可能性があるため、アカウント履歴がさらに重要になります。顧客がクラウドエージェントのブラウザを操作してカード番号を入力しても、使用しているのはあくまでエージェント側のマシンであるため、セッションに顧客自身のデバイスが表示されることはありません。
Sardineが同じアカウントとデバイス上で同じエージェントを何か月も観測している場合、そのエージェントに用事を任せているのは顧客本人である可能性が高いと判断できます。一方、パスワードのリセット直後に、見慣れないインフラから初めて現れたエージェントについては、Sardineがフラグを立て、詳しく調査します。この一連の流れは、誰かが鍵を付け替え、自ら中に入り込んだように見えるからです。
AIエージェントが何をしようとしているのかを確認する
顧客自身のエージェントであっても、顧客本人なら決してしないような行動を取ろうとする可能性があるため、Sardineはエージェントが何を実行しようとしているのかを精査します。毎週の食料品の再注文といった作業をエージェントに任せることは珍しくありません。一方、入金先口座の変更や5万ドルの送金を任せる人はほとんどおらず、Sardineはそのようなリクエストを危険信号とみなします。
その線引きは、各企業が自ら行います。食料品アプリと暗号資産取引所では、エージェントに任せられる業務が大きく異なり、それぞれが独自の制限をSardineのルールエンジンに設定できます。たとえば加盟店は、エージェント名とアカウントの利用履歴を照合し、使い慣れたアカウント上の既知のエージェントであれば、ほかのボットと同じように扱うことなく決済を通過させることができます。
エージェントトラフィックに独自の条件を設定する
現在のエージェントは、手間のかかる方法でウェブを利用しています。ウェブサイトは人間向けに作られているため、Museや同様のエージェントは、買い物客と同じように商品ページをたどり、購入手続きフォームに入力します。Visaは、こうした状況は長く続かないと見ています。2025年10月、VisaはCloudflareと共同でTrusted Agent Protocolを公開しました。これにより、承認されたエージェントはリクエストに署名でき、加盟店はアクセス元を確認できます。⁵
より多くのエージェントが通信に署名するようになれば、加盟店はどのエージェントがアクセスしてきたのかを判別しやすくなります。ただし、署名で分かるのはエージェントの開発元だけで、誰の依頼で動いているかまでは分かりません。そのため加盟店は、どのエージェントを受け入れ、何を許可するかを引き続き判断する必要があります。たとえば旅行サイトなら、エージェントによる航空券の予約や変更は認めつつ、ロイヤルティアカウントに変更を加える場合は顧客本人に確認を求める、といった対応が考えられます。
顧客が長年利用しているエージェントと見知らぬエージェントを見分けられる加盟店なら、使い慣れたエージェントによる購入はそのまま承認し、不正侵入が疑われるセッションだけを審査対象に回すことができます。
パーソナルエージェントは今後も所有者のパスワードを使ってログインし続け、その過程で自らの身元を明かすものも増えていくでしょう。各エージェントがどの所有者から送られたのかを見分けられる事業者は、売上を獲得し、アカウント乗っ取りを未然に防ぐことができます。
不正対策チームが、エージェント主導の取引を独立したチャネルとして管理する方法について詳しくは、こちらをご覧ください：『エージェント型コマースにおける不正防止の再考』。Sardineの検知・ルールエンジンが、お客様のプラットフォーム上のエージェントセッションにどのように対応できるか、具体的にご相談されたい場合は、チームまでお問い合わせください。
よくある質問
コマースにおけるパーソナルAIエージェントとは何ですか？
パーソナルAIエージェントとは、特定のユーザーに代わって買い物や予約、取引を行うソフトウェアです。そのユーザーの認証情報を使用し、指示に従って行動します。例として、MetaのMuseやOpenAIのChatGPTショッピングエージェントが挙げられます。加盟店側から見ると、エージェントは通常のアカウント所有者と同じようにログインし、ページを閲覧して購入手続きを完了しますが、実際に画面の前にいる人ではなく、ソフトウェアがセッションを操作します。
クラウドAIエージェントとローカルAIエージェントの違いは何ですか？
クラウドAIエージェントはエージェント提供元のサーバー上で動作するため、IPアドレスやデバイスフィンガープリントは、顧客の自宅やスマートフォンとは無関係なデータセンター由来となります。一方、ローカルAIエージェントは顧客自身のデバイス上で動作し、普段利用しているネットワークやハードウェアからアクセスするため、顧客本人によるアクセスにより近く見えます。クラウドエージェントはデータセンター由来であることや、ほぼ同一のセッションパターンを示す傾向がありますが、ローカルエージェントは通常の顧客トラフィックに紛れ込みます。この違いによって、不正の兆候の読み取り方も変わります。
AIエージェントへのプロンプトインジェクション詐欺とは何ですか？
プロンプトインジェクション詐欺とは、攻撃者がウェブページに隠し命令を埋め込み、閲覧中のAIエージェントに読み取らせる手口です。エージェントは顧客からの本来の依頼ではなく、その命令に従ってしまいます。EC取引では、決済前に配送先住所を変更したり、売上金の振込先口座を差し替えたり、実際の顧客が承認していない操作を実行させたりする可能性があります。その結果、加盟店は攻撃者に商品を発送し、実際の顧客は請求に異議を申し立てることになります。
AIエージェントのセッションは、通常のボット攻撃とどのように異なりますか？
通常のボット攻撃とは、正当なユーザーが背後に存在しない自動化された不正行為です。クレデンシャルスタッフィング、カードテスティング、スクレイピングなどが代表例です。一方、パーソナルAIエージェントは、正当なユーザーが自身の実際のアカウントと認証情報を使って操作する自動化ツールです。ボットを一律にブロックすると両方を排除してしまい、加盟店は正当な売上機会を失います。効果的なAIエージェントのセッション検証では、実在する所有者によるセッションと、不正アクセスまたは悪用されているセッションを区別します。
加盟店は、どのようなAIエージェントの活動を高リスクとして警戒すべきですか？
高リスクの兆候としては、パスワードのリセット直後、見慣れないインフラストラクチャからエージェントが初回セッションでアクセスすること、振込先口座の変更や高額送金を試みること、通常の閲覧経路をたどらずに機密性の高いアカウント設定へ直接移動すること、過去にエージェントが操作した履歴のないアカウントでエージェントが活動することなどが挙げられます。許容範囲は企業ごとに異なります。食料品アプリと暗号資産取引所では、許容されるエージェントの行動の定義が大きく異なるでしょう。
