Ledger делает ставку на аппаратные решения, поскольку ИИ-агенты начинают управлять кошельками

Краткое резюме

• Ledger открыл публично набор инструментов Agent Stack, позволяя AI-агентам управлять криптокошельками при том, что приватные ключи остаются запертыми внутри аппаратного устройства.
• Любая транзакция, которая перемещает средства, по-прежнему требует ручного подтверждения на устройстве Ledger signer до выполнения.
• MoonPay и Shisa.ai уже запускают production-инструменты, построенные на новой архитектуре.
• Ledger планирует позже в 2026 году выпустить аппаратно привязанные agent-идентичности и инструменты подтверждения человеком.

Ledger открыл набор инструментов Agent Stack публично 16 июля 2026 года, дав разработчикам стандартизированный способ позволить AI-агентам читать крипто-балансы и анализировать портфели, а затем готовить транзакции, которые должны переместить средства — при этом им никогда не нужно прикасаться к приватным ключам за ними. Парижский производитель аппаратных криптокошельков построил релиз вокруг единственного ограничения: агент может подготовить своп или платеж, но решение выполнить это все равно должно пройти через физическое нажатие кнопки на устройстве Ledger, подтвержденное человеком, который владеет кошельком. Запуск следует за периодом предпросмотра, который начался 10 июня и проходил с более чем 1,000 тестовыми агентами, и это первый публично доступный результат из 2026 AI security roadmap компании. Набор инструментов, созданный чтобы останавливаться на подписи Агентный AI уже в течение двух лет автоматизирует исследования, мониторинг и подготовку для криптопользователей, а очевидный следующий шаг — позволить агентам перемещать деньги самостоятельно. Но этот шаг упирается в конкретную проблему доверия. Отдайте агенту приватные ключи, и один галлюцинирующий прайс, неверная инструкция или успешная атака prompt injection могут опустошить счет за секунды. Полностью отключите агента от доступа к кошельку — и обещанная эффективность во многом исчезнет. Ответ Ledger сохраняет агентам полные возможности на стороне чтения и анализа, но проводит жесткую границу на уровне выполнения. Компания формулирует правило тремя словами, которые встречаются в ее документации для разработчиков: агенты предлагают, люди одобряют. Четыре модуля, одна общая граница Agent Stack поставляется как четыре отдельных, комбинируемых компонента, а не как один закрытый продукт, поэтому разработчик берет только то, что реально нужно под конкретный сценарий.

| Module | | --- | Function | | --- | | Device Management Kit Skills | Инструкции на основе Markdown, которые подключают agent-фреймворки вроде Claude Code, Codex или Cursor к Ledger signer без кода для кастомной интеграции кошелька | | Ledger Wallet CLI | Позволяет агенту свободно проверять балансы и просматривать историю, поскольку это только чтение. Подготовка отправки или свопа тоже возможна, но все, что будет перемещать стоимость, останавливается на физическом подтверждении | | Ledger Enterprise CLI | Подключает агентов к Ledger Enterprise, чтобы они могли готовить транзакции и поддерживать governance-процессы для институциональных аккаунтов, не удерживая ключ | | Ledger Enterprise Multisig CLI | Позволяет агентам готовить и запрашивать действия multisig для институциональных аккаунтов, хотя кворумное одобрение и аппаратная подпись все равно блокируют любые действия, которые реально будут выполнены |

Почему экран и большой палец лучше, чем софтверные разрешения Архитектура опирается на принцип, который Ledger называет WYSIWYS: что вы видите, то вы и подписываете. Агент подготавливает транзакцию в собственной программной среде, но этап одобрения происходит полностью вне этой среды — на доверенном дисплее физического signer, который показывает точные детали транзакции перед тем, как кто-то подтвердит ее. Поскольку приватный ключ никогда не покидает защищенный чип устройства, скомпрометированный агент, отравленный skill или таргетированная атака prompt injection все равно могут попросить signer одобрить что-то. Но ни один из них не сможет заставить signer одобрить без физического присутствия человека. Разрешения на уровне только software, даже тщательно продуманные, в итоге живут в той же среде выполнения, которую атакующий пытается контролировать. Аппаратное решение переносит финальное решение туда, куда код не может добраться. Цифры, которыми Ledger обосновывает необходимость «трения» Ledger подкрепляет добавленный этап подтверждения двумя внешними цифрами. Уровень уязвимостей 26,1% получен из** независимого исследования, Agent Skills in the Wild**, которое просканировало более 31,000 опубликованных agent skills и обнаружило, что эта доля несет как минимум один изъян. Фигура, связанная с человеческой ошибкой, — широко цитируемое отраслевое число, которое Ledger включил в материалы запуска, не указывая, к какому конкретному исследованию оно относится.

| Metric | | --- | Figure | | --- | --- | | AI agent skills с хотя бы одной уязвимостью безопасности | 26,1% | Agent Skills in the Wild (arXiv, Jan 2026) | | Инциденты безопасности, прослеженные до человеческой ошибки | Примерно 60% | Отраслевой показатель без атрибуции, приводимый Ledger | | Агенты, протестированные во время закрытого предпросмотра | Более 1,000 | Пост Ledger о предпросмотре от 10 июня |

Ledger утверждает, что поверхность атак со стороны AI расширяется быстрее, чем большинство защит успевают отслеживать, что и объясняет первую цифру. Вторая цифра работает в другую сторону: по версии компании, подготовка при помощи агентов на самом деле может сократить число обычных ошибок даже при добавлении одного ручного шага на финише. Что меняется для трейдеров, фондов и разработчиков с этого момента MoonPay и Shisa.ai уже запускают production-инструменты на этой архитектуре, а интеграция MoonPay позволяет агенту определить сделку и подготовить ее, пока приватные ключи остаются ограниченными аппаратным устройством, и при этом любая транзакция все равно требует нажатия кнопки. Enterprise Multisig CLI переносит ту же логику в корпоративные казначейства, где кворумное одобрение и так замедляет выполнение по другим причинам, и дополнительное аппаратное подтверждение почти ничего не меняет на практике. Розничные сценарии и сценарии high-frequency сильнее конфликтуют с моделью. Торговый агент, который замечает окно арбитража, измеряемое миллисекундами, не может ждать, пока человек мельком посмотрит на экран устройства, а конкурирующие дизайны кошельков, построенные на абстракции аккаунта со smart-контрактами, уже позволяют ботам исполнять действия автономно в рамках лимитов на расходование, которые владелец задает заранее. Ledger делает ставку на то, что аргументы по безопасности перевешивают «стоимость скорости» для большинства пользователей; будет ли так для стратегий с критичной задержкой — отдельный вопрос, на который рынок ответит независимо от этого релиза. Ledger уже обозначил свои следующие шаги.** Работа над agent identity позже в этом году** закрепит каждого агента за аппаратно зарегистрированной идентичностью, записанной в on-chain, заменяя подделываемые строковые идентификаторы, которые агенты сейчас используют, чтобы представляться сервисам и друг другу. Отдельное Proof of Human attestation должно позволить контрагенту криптографически проверить, что реальный человек авторизовал конкретное действие, а не только то, что signer его одобрил. Тем временем Ledger поддерживает $5,000 developer bounty на college.xyz и запускает пул призов $10,000 на ETHGlobal New York для команд, создающих инструменты оплаты и одобрения для агентов в новом стеке — это ближайший толчок, чтобы большее число участников сообщества по созданию агентов тестировали модель с аппаратными ограничениями до появления инструментов identity и attestation.