Agenci AI mogą już płacić. Badacze wciąż znajdują sposoby, by ich oszukać

Wyobraź sobie, że prosisz asystenta AI o zarezerwowanie biletu na pociąg, a on po prostu to robi: znajduje cenę, płaci i wysyła ci potwierdzenie. Bez wpisywania danych karty, bez przycisku „potwierdź zakup”. To obietnica „płatności agentowych”, a niektóre z największych firm technologicznych i finansowych właśnie budują dla nich infrastrukturę.

Najciekawsze sygnały w tej dziedzinie nie pochodzą jednak z premier produktów. Pochodzą z laboratoriów badawczych, gdzie specjaliści od bezpieczeństwa pokazują, jak można oszukać te systemy, oraz z kancelarii prawnych, które czytając nowe europejskie przepisy o płatnościach, zauważyły, że agenci AI w ogóle nie są w nich wspomniani.

To historia technologii, w której problemy pojawiają się przed klientami. Często to właśnie ten moment, w którym warto zwrócić uwagę.

Czym właściwie są „płatności agentowe”?

Agent AI to oprogramowanie, które nie tylko odpowiada na pytania, ale działa: szuka, rezerwuje, kupuje. Żeby za coś zapłacić, potrzebuje sposobu na przesyłanie pieniędzy, który nie zależy od tego, czy człowiek wypełni formularz płatności.

Pojawiło się kilka konkurujących standardów. Najbardziej znane to:

• x402, zapoczątkowany przez Coinbase. Ożywia stary, nieużywany kod internetowy „402 Payment Required” (wymagana płatność), aby strona mogła poprosić agenta o drobną płatność, często w stablecoinach, zanim udostępni dane lub usługę. W lipcu 2026 r. trafił do neutralnej fundacji działającej pod skrzydłami Linux Foundation.
• AP2, Agent Payments Protocol Google, który korzysta z podpisanych „upoważnień”: cyfrowej instrukcji użytkownika określającej, co agent może kupić i do jakiej kwoty.
• ACP, Agentic Commerce Protocol, kolejna otwarta specyfikacja płatności przez agentów.

Programiści są wyraźnie zainteresowani. Na GitHubie projekt x402 ma około 6700 gwiazdek i 2200 kopii („forków”), na których inni budują, AP2 około 3300 gwiazdek, a ACP około 1500. Sieci kartowe również pracują nad specjalnymi tokenami płatniczymi dla agentów.

Ile pieniędzy naprawdę się przemieszcza? Bardzo mało

Tu entuzjazm zderza się z rzeczywistością. Najostrożniejszy szacunek pochodzi z raportu Visy i firmy analitycznej Artemis, opartego na danych z kwietnia 2026 r. Po odfiltrowaniu fałszywych transakcji typu „wash” i testów ustalono, że przez x402 przeszło około 15 mln dolarów w około 110 mln płatności, czyli mniej więcej po 14 centów. Surowe, niefiltrowane dane wynosiły około 136 mln dolarów, więc filtr usunął blisko 90% kwoty.

Od tamtej pory narzędzia pomiarowe bardzo się różnią. Surowy licznik na blockchainie pokazuje stały ruch między maszynami, podczas gdy inne narzędzia odnotowują załamanie wartości: według danych Helios Analytics cytowanych przez CCN do sierpnia wartość rozliczeń spadła w skali roku o 93%, wobec szczytów bliskich 800 000 dolarów dziennie pod koniec 2025 r. Nikt nie przedstawił jeszcze neutralnej, zweryfikowanej liczby realnych płatności agentowych.

To, co zostaje, to głównie oprogramowanie płacące innemu oprogramowaniu za drobne porcje danych lub mocy obliczeniowej, a nie ludzie kupujący bilety na pociąg. Gdy agenci kupują dziś coś dla konsumentów, korzystają głównie ze zwykłych kart. Jeden ze startupów z letniego naboru Y Combinator w 2026 r., Agentcard, po prostu wydaje agentom AI wirtualne przedpłacone karty Visa.

Badacze pierwsi znaleźli słabe punkty

Podczas gdy realny wolumen pozostaje mały, zainteresowanie naukowców szybko rośnie. Wyróżniają się trzy prace opublikowane w 2026 r.

„Five Attacks on x402” (Pięć ataków na x402), opublikowana w maju przez badaczy z Ohio State, australijskiego CSIRO i Uniwersytetu w Manchesterze, przetestowała protokół na ponad 25 000 żądań płatności. Pokazali, że można obciążyć użytkownika bez dostarczenia usługi, że jedną płatność użyto ponownie 248 razy do odblokowania usługi na działającym serwerze, że płatne treści wyciekały przez zwykłe pamięci podręczne stron internetowych oraz że fałszywy serwer przechwycił prawie 72% ruchu agentów na etapie wyszukiwania usług. Znaleźli 11 podatności w trzech zestawach narzędzi open source.

Analiza bezpieczeństwa AP2 Google, opublikowana w sierpniu, skatalogowała 48 różnych zagrożeń, z czego osiem oceniono jako poważne. Najważniejszy jest jej główny wniosek: ważne podpisane upoważnienie nie gwarantuje, że użytkownik naprawdę chciał płatności, jeśli informacje, które agent widział przed podpisaniem, zostały zmanipulowane.

Formalna analiza czterech protokołów (x402, MPP, ACP i AP2), również z sierpnia, wykorzystała matematyczne narzędzia weryfikacji do przeprowadzenia 86 przypadków testowych. Czterdzieści z nich przyniosło wyniki, których wcześniej nie opisano.

Te ataki testowano głównie na referencyjnych zestawach narzędzi i w sieciach testowych. Duzi operatorzy produkcyjni, tacy jak Coinbase i Cloudflare, mogli już część z nich naprawić. Ale pokazują one, że warstwa bezpieczeństwa wokół płatności agentowych jest daleka od ukończenia.

Nowe europejskie przepisy nie wspominają o agentach AI

Unia Europejska od lat przepisuje swoje zasady płatności, znane jako PSD3 i rozporządzenie w sprawie usług płatniczych (PSR). Ostateczne teksty kompromisowe przekazano do zatwierdzenia w kwietniu 2026 r., a publikacja spodziewana jest w drugiej połowie roku. Przepisy miałyby obowiązywać 21 miesięcy po wejściu w życie.

Według podsumowania działu prawnego PwC tekst nie zawiera przepisów o agentach AI, płatnościach inicjowanych przez agentów ani o upoważnieniach płatniczych. Wrześniowa analiza kancelarii Annerton wymienia otwarte pytania: czy upoważnienie udzielone z góry liczy się jako autoryzacja płatności, czy agent może sam być regulowaną usługą płatniczą i jak powinno działać silne uwierzytelnianie klienta, czyli krok „potwierdź w aplikacji banku”, gdy w twoim imieniu działa maszyna.

Ogólne zasady nadal obowiązują i wskazują jeden kierunek. Dostawca usług płatniczych pozostaje odpowiedzialny, gdy uwierzytelnianie zawiedzie lub gdy przeoczy podejrzane transakcje, a odpowiedzialność własna konsumenta jest ograniczona do 50 euro. Nasza lektura tych analiz, będąca interpretacją, a nie utrwalonym prawem, jest taka, że to banki i firmy płatnicze w UE najpewniej poniosą straty, gdy zmanipulowany agent za coś zapłaci. To czyniłoby je naturalnymi pierwszymi klientami narzędzi, które sprawdzają, o co agent był naprawdę proszony.

Europejski Bank Centralny także się temu przygląda. We wrześniu ogłosił nabór dla firm do platformy innowacji cyfrowego euro, z nurtem „AI w płatnościach”, który w 2027 r. obejmie agentów AI i mikropłatności.

Pieniądze zaczynają napływać, powoli

Jeśli firmy płatnicze będą potrzebować narzędzi do kontroli agentów, ktoś musi je zbudować. W Europie ta „warstwa zaufania” jest dopiero na najwcześniejszym etapie:

• Ralio z Londynu pozyskał w kwietniu 2,5 mln dolarów w rundzie pre-seed. Sprawdza każdą płatność agenta według reguł, wątpliwe przypadki przekazuje człowiekowi i zapisuje ślad decyzji.
• SolvaPay ze Sztokholmu pozyskał 2,4 mln euro, również w kwietniu, aby usługi programowe mogły pobierać opłaty bezpośrednio od agentów AI.
• Cygrid z Berlina pozyskał w październiku 2,66 mln euro na kontrolę tego, co mogą robić tożsamości agentów AI, choć nie skupia się na płatnościach.

Dla porównania amerykański Baselayer pozyskał we wrześniu 35 mln dolarów w rundzie serii A na poświadczenie „Know Your Agent” (poznaj swojego agenta), mniej więcej dziesięć razy więcej niż rundy europejskie.

Widać też, jak ustawiają się dotychczasowi gracze. Sponsorowana analiza patentowa GlobalData wykazała, że udział Mastercard w publikacjach patentowych dotyczących agentów AI wzrósł w ciągu roku z 0,7% do 5%, w tym zgłoszenie dotyczące weryfikowalnego delegowania płatności. Udział Visy prawie się nie zmienił.

Dlaczego to ważne, nawet jeśli nigdy nie dotykasz kryptowalut

Łatwo uznać to wszystko za niszową technologię. Ale pytanie, które się pod tym kryje, kto płaci, gdy oprogramowanie popełni błąd z twoimi pieniędzmi?, dotrze do zwykłych klientów banków na długo przed tym, zanim większość ludzi zacznie robić zakupy przez agenta AI.

Nowe przepisy UE zawierają już pewne zabezpieczenia, które wskazują kierunek. Tekst daje konsumentom prawo do zwrotu, gdy oszuści podszywają się pod ich dostawcę usług płatniczych, i stwierdza, że samo przejście kroku uwierzytelniania nie wystarcza, by dowieść, że płatność była autoryzowana. W połączeniu z limitem 50 euro dla odpowiedzialności płatnika sugeruje to, że regulatorzy skłaniają się ku ochronie człowieka, a nie formalności. Jeśli to podejście zostanie przeniesione na agentów AI, koszt zmanipulowanego agenta spadnie głównie na banki i firmy płatnicze, co daje im mocny powód, by domagać się lepszych zabezpieczeń, zanim pozwolą agentom swobodnie wydawać pieniądze.

Dla twórców tych systemów badania wskazują wyraźną lukę: coś, co stoi przed momentem podpisania, sprawdza, o co agent był naprawdę proszony i co przeczytał po drodze, oraz prowadzi zapis odporny na manipulacje. Czy będzie to osobny produkt, czy funkcja istniejących systemów bankowych, to jedno z otwartych pytań na najbliższe dwa lata.

Co może pójść nie tak?

• Wolumen może nigdy nie dogonić oczekiwań. Jeśli agenci nadal będą używać zwykłych kart, nowe protokoły mogą pozostać niszą.
• Ogólne zasady mogą wystarczyć. Regulatorzy UE mogą objąć agentów istniejącymi zasadami uwierzytelniania i odpowiedzialności albo wytycznymi technicznymi, zanim jakikolwiek startup zdobędzie przewagę.
• Ataki mogły już zostać naprawione w dużych systemach produkcyjnych, które obsługują większość realnego ruchu.
• Sieci kartowe mogą dołączyć rozwiązanie do swoich usług. Visa i Mastercard mogą wbudować ocenę ryzyka we własne programy dla agentów, zmniejszając miejsce dla niezależnych startupów.

Na co uważać dalej

• Neutralne, zweryfikowane zliczenie realnych płatności agentowych. Dzisiejsze narzędzia różnią się o rzędy wielkości.
• Monetization Gateway Cloudflare, uruchomiony w lipcu 2026 r. i rozliczany przez x402, to jedyny produkt o dużym zasięgu, który mógłby ożywić wolumeny.
• Oficjalna publikacja PSD3 i PSR w Dzienniku Urzędowym UE oraz ewentualne wytyczne Europejskiego Urzędu Nadzoru Bankowego o tym, jak upoważnienia i uwierzytelnianie dotyczą agentów.
• Większe rundy finansowania europejskich startupów weryfikujących agentów, co pokazałoby, że inwestorzy wierzą, iż banki za to zapłacą.
• Zgłoszenia patentowe Mastercard dotyczące płatności delegowanych, które mogą wpłynąć na to, co wolno budować innym.

Technologia, dzięki której maszyny mogą sobie płacić, już istnieje. Czy powierzyłbyś jednej z nich swoją kartę, to inne pytanie, a obecnie badacze odpowiadają na nie szybciej niż rynek.