画面と親指が、ソフトウェアの権限より勝る理由
このアーキテクチャは、LedgerがWYSIWYSと呼ぶ原則に基づいています。すなわち、見たものが署名されるということです。エージェントは自分自身のソフトウェア環境内で取引を準備しますが、承認ステップはその環境の外で完全に行われます。誰かがそれを確認する前に、内容の正確な取引詳細を表示する信頼された物理サイナーのディスプレイで行われます。プライベートキーはデバイスの安全なチップから決して出ないため、侵害されたエージェント、汚染されたスキル、あるいは狙いを定めたプロンプトインジェクション攻撃であっても、サイナーに何かの承認を求めることはできます。しかし、現実にその場に人間が物理的に立ち会っていない限り、誰も承認させることはできません。ソフトウェアだけのウォレット権限は、たとえ慎重に設計されていても、最終的には攻撃者が制御しようとしているのと同じ実行環境の中にあります。ハードウェアは、最終的な判断の場所をコードが届かないところへ移します。
Ledgerが摩擦を正当化するために挙げる数字
Ledgerは、追加される承認ステップを裏付ける2つの外部データを提示しています。脆弱性率26.1%は、**独立した調査「Agent Skills in the Wild」**によるものです。同調査は、31,000件超の公開されたエージェントスキルをスキャンし、少なくとも1つの欠陥を含む共有があることを見出しました。人間のミスに関する数字は、広く引用されている業界の数字で、Ledgerはこれを特定の調査に帰属させることなく、そのローンチ資料に組み込みました。
AIエージェントがウォレットを管理し始める中、Ledgerはハードウェアに賭ける
Ledgerは2026年7月16日に、Agent Stackツールキットを一般に公開し、開発者に対して、AIエージェントが暗号の残高を読み取りポートフォリオを分析し、その後資金を動かす取引を下書きするための標準化された方法を提供しました。しかも、その取引は常にその裏にあるプライベートキーに一切触れることなく行われます。パリ拠点のハードウェアウォレットメーカーは、リリースを単一の制約に基づいて設計しました。つまり、エージェントはスワップや支払いを下書きできるものの、実行の判断はLedgerデバイス上の物理ボタン押下を経由し、ウォレットの持ち主によって確認される必要がある、という点です。今回の公開は、6月10日に始まったプレビュー期間に加え、1,000を超えるテスト用エージェントで運用されました。そして、同社の2026年のAIセキュリティロードマップにおける、最初の一般向け成果物となります。 署名で止まるためのツールキット Agentic AIは過去2年、暗号ユーザー向けに調査、監視、下書きの自動化を進めてきました。次に自然なのは、エージェント自身にお金を動かさせることです。しかしその段階には、特定の信頼問題が立ちはだかります。エージェントにプライベートキーを渡せば、1つの幻覚した価格、まずい指示、あるいは成功したプロンプトインジェクション攻撃が、数秒で口座を吸い取る可能性があります。エージェントのウォレットアクセスを完全に遮断してしまえば、約束されていた効率の大半はそれとともに消えます。Ledgerの答えは、読み取りと分析の側ではエージェントの能力を完全に維持しつつ、実行で一本の明確な線を引くことです。同社はこのルールを、開発者向けドキュメント全体で使われる3語で説明しています。エージェントは提案し、人間が承認する。
4つのモジュール、共有された一本の境界 Agent Stackは、単一のロックされた製品ではなく、4つの個別で組み合わせ可能な部品として提供されるため、開発者は特定のユースケースに実際に必要なものだけを採用できます。
| モジュール | | --- | 機能 | | Device Management Kit Skills | Claude Code、Codex、Cursorなどのエージェントフレームワークを、カスタムのウォレット統合コードなしでLedgerサイナーに接続する、Markdownベースの手順 | | Ledger Wallet CLI | 読み取り専用なので、エージェントが残高や履歴を自由に確認できるようにします。送信やスワップの準備も可能ですが、価値を移動するような内容は、物理的な確認でそこで一時停止します | | Ledger Enterprise CLI | エージェントをLedger Enterpriseに接続し、キーを一切保持することなく、取引の下書きを作成し、機関投資家アカウント向けのガバナンスワークフローを支援できるようにします | | Ledger Enterprise Multisig CLI | 機関投資家アカウントのためのマルチシグアクションを、エージェントが下書き作成および照会できるようにします。ただし、必要な定足数の承認とハードウェア署名が、実際に実行するものの前にゲートとして働きます |
画面と親指が、ソフトウェアの権限より勝る理由 このアーキテクチャは、LedgerがWYSIWYSと呼ぶ原則に基づいています。すなわち、見たものが署名されるということです。エージェントは自分自身のソフトウェア環境内で取引を準備しますが、承認ステップはその環境の外で完全に行われます。誰かがそれを確認する前に、内容の正確な取引詳細を表示する信頼された物理サイナーのディスプレイで行われます。プライベートキーはデバイスの安全なチップから決して出ないため、侵害されたエージェント、汚染されたスキル、あるいは狙いを定めたプロンプトインジェクション攻撃であっても、サイナーに何かの承認を求めることはできます。しかし、現実にその場に人間が物理的に立ち会っていない限り、誰も承認させることはできません。ソフトウェアだけのウォレット権限は、たとえ慎重に設計されていても、最終的には攻撃者が制御しようとしているのと同じ実行環境の中にあります。ハードウェアは、最終的な判断の場所をコードが届かないところへ移します。 Ledgerが摩擦を正当化するために挙げる数字 Ledgerは、追加される承認ステップを裏付ける2つの外部データを提示しています。脆弱性率26.1%は、**独立した調査「Agent Skills in the Wild」**によるものです。同調査は、31,000件超の公開されたエージェントスキルをスキャンし、少なくとも1つの欠陥を含む共有があることを見出しました。人間のミスに関する数字は、広く引用されている業界の数字で、Ledgerはこれを特定の調査に帰属させることなく、そのローンチ資料に組み込みました。
| 指標 | | --- | 項目 | | 出典 | | --- | --- | | セキュリティ上の脆弱性を少なくとも1つ持つAIエージェントスキル | 26.1% | Agent Skills in the Wild（arXiv、2026年1月） | | 人間のミスに起因して追跡されたセキュリティ侵害 | およそ60% | 帰属のない業界の数字（Ledgerが引用） | | 非公開プレビューでテストされたエージェント | 1,000を超える | Ledgerの6月10日のプレビューポスト |
Ledgerは、AIの攻撃対象となる表面が、ほとんどの防御が追跡できる速度よりも速く拡大している、と主張しています。これが1つ目の数字の理由です。2つ目の数字はその逆を示します。つまり、企業側の主張では、エージェント支援による準備は、最後の段階で手動ステップを1つ追加する一方で、通常のミスはむしろ減らせる、ということです。 ここから先、トレーダー、資金、開発者に何が変わるのか MoonPayとShisa.aiはすでに、アーキテクチャ上で動作する実運用ツールを持っています。MoonPayの統合により、エージェントはトレードを特定して準備できますが、プライベートキーはハードウェアに閉じ込められたままで、さらにすべての取引は依然としてボタン押下を必要とします。Enterprise Multisig CLIは、その同じロジックを企業の資金管理（トレジャリー）にも押し込みます。そこでは定足数の承認だけでも他の理由で実行が遅くなるため、追加のハードウェア確認は実際にはほとんど影響がありません。小口取引や高速取引のユースケースは、このモデルとの相性により緊張が生じます。ミリ秒単位で計測された裁定機会を見つけるトレーディングエージェントは、人がデバイス画面を一目見て確認するのを待てません。さらに、スマートコントラクトアカウント抽象化に基づいて構築された競合のウォレット設計では、事前に所有者が設定した支出上限の範囲内で、ボットが自律的に実行できるようになっています。Ledgerは、多くのユーザーにとってセキュリティ面の根拠がスピードコストを上回ると賭けています。レイテンシーに敏感な戦略にそれが当てはまるかどうかは、このリリースとは別に市場が独自に答えを出す問題です。 Ledgerは次の動きもすでに示しています。今年後半のAgent Identity作業では、各エージェントをハードウェア登録されたIDに紐づけ、オンチェーンに記録します。これにより、現在エージェントがサービスや互いを識別するために使っている、偽装可能なソフトウェア文字列が置き換えられます。別のProof of Humanのアテステーションにより、サイナーが承認したかどうかだけでなく、当該アクションを認可したのが実在の人間であることを、取引相手が暗号的に検証できるようにすることが意図されています。その間、Ledgerはcollege.xyzに対する$5,000の開発者向け懸賞を支援し、新スタック上でエージェントの支払い・承認ツールを作るチームに向けてETHGlobal New Yorkで$10,000の賞金プールを用意しています。これは、IDとアテステーションのツールが到着する前に、エージェント構築コミュニティのより多くに、ハードウェアでゲートされるモデルをテストしてもらうための、短期的な推進です。