Agentic Payment: аналитический отчет об агентных платежах — от платежных маршрутов до экосистемного ландшафта

Автор: Уилл А Ван

27 августа на пятнадцатом Китайском форуме по платежам и клирингу член партийной группы и заместитель председателя Народного банка Китая Лу Лэй коснулся самой горячей темы в данный момент: агентных платежей.

Три высказывания руководителя практически полностью очертят круг задач, с которыми индустрия агентных платежей столкнется в ближайшие два года.

Первое о природе платежей. Суть платежа заключается в переходе права собственности на денежные средства, что объективно требует предсказуемости результатов транзакции, четкого разграничения ответственности и возможности прослеживания всего следа; в то же время большие модели и автономные агенты характеризуются случайностью генерируемого вывода и недостаточной прозрачностью логики. Их слепое или чрезмерное наделение полномочиями по принятию решений по сделкам подорвет фундамент доверия в денежных переводах.

Второе касается коммерческих правил. Текущие регуляторные правила индустрии платежей и механизмы урегулирования споров построены вокруг концепции «человек как конечный приниматель решения по сделке»; новая модель, при которой агенты автоматически инициируют и поддерживают проведение сделок, может размыть границы ответственности между потребителями, действующими организациями и алгоритмическими системами.

Третье относится к конкуренции множества сторон. Борьба за протоколы по своей сути является борьбой за бизнес-правила и технические стандарты, а также за лидерство в эпоху искусственного интеллекта.

Если читать эти три мысли последовательно, станет ясно, что все они говорят об одном и том же.

Делу платежей шестьдесят лет, и оно всегда продавало предсказуемость. Вы можете просто взять покупки и выйти из магазина после оплаты, потому что за этим стоит гарантия: вы можете ввести данные карты на незнакомом сайте, зная, что в случае проблем кто-то возьмет удар на себя. Вся система — авторизация, клиринг, chargeback, перераспределение ответственности — проектируется исходя из единственного условия:

Лицо, принимающее решение, физически присутствует и несет за свое решение полную ответственность.

Сегодня тот, кто инициирует транзакцию, сам по себе непредсказуем. Он может неверно понять задачу, быть подвержен манипуляциям, купить что-то лишнее в рамках бюджета, и каждое его действие криптографически безупречно. Когда конечным принимателем решения по сделке становится не человек, на каком основании эта построенная на certainty система продолжает функционировать?

Исходя из этих условий интернет-гиганты, лидеры в AI, карточные сети и платежные компании уже дали свои ответы на каждом измерении, и эти ответы различаются. Кто-то модернизирует существующую базу, кто-то строит новые рельсы, а кто-то покупает время.

Настоящий отчет базируется на нашем многолетнем мониторинге данного сектора и практическом опыте. Мы стремимся прояснить сложную логику, скрывающуюся за простыми словами «Agentic Payment» (агентные платежи).

1. Предпосылка, не менявшаяся пятьдесят лет

1.1 Шесть поколений авторизации: менялись только методы

Платежная индустрия за fifty лет прошла шесть поколений технологий авторизации, но так и не изменила одну ключевую предпосылку: в момент авторизации человек обязательно присутствует.

От штампованных подписей и магнитных полос с сетью реального времени к шифрованию EMV-чипов, затем к NFC, дальше к токенизации и сегодня к Agentic Token — шесть обновлений сменили лишь инструменты верификации, проверяя одно и то же: тот ли это человек за транзакцией, что держатель карты. Подписи, PIN-код, отпечатки пальцев, Face ID — методы становились изящнее, фундамент оставался неподвижным.

Аналогично, десятилетия споров в карточных сетях строятся на бинарном вопросе: владелец карты либо авторизовал сделку, либо нет.

Agent мгновенно разрушает три опоры этой предпосылки:

• Авторизация и транзакция разделены во времени: фраза, сказанная вами три дня назад, агент может выполнить в два часа ночи;
• Намерение выражено естественным языком, и запрос «найди мне самый дешевый билет» не помещается ни в одно поле системы риск-менеджмента;
• В истории первый раз инициатором сделки становится не владелец карты.

В мире Agent возникает третий сценарий: карта не украдена, магазин не совершил ошибки, агент сделал именно то, что ему поручили, но потребитель все равно заявляет: «Я этого не хочу».

1.2 Три «возможности», сравненные по пунктам

Вернемся к трем словам Лу Лэя. Настроив их против реализации традиционных платежей, мы четко увидим, где система дает сбой.

• Предсказуемость обеспечивалась тем, что человек нажимает кнопку подтверждения. Этот клик фиксирует размытое намерение в виде транзакции с точной суммой и конкретным адресатом. У Agent такого клика нет.
• Четкое разграничение ответственности ранее опиралось на merchant of record и правила карточных сетей. Кто юридический продавец по контракту, к тому и обращаться при проблемах. Эти правила отлаживались десятилетиями, работая только потому, что роли в цепочке были фиксированными, ограниченными и прямо названными в регламенте. В агентной цепи ни один этап пока не описан существующими правилами.
• Прослеживаемость обеспечивается учетными системами и историей операций. Здесь Agent, парадоксально, превосходит старые методы — цепочка подписей完整, аудиторский след полным, каждый шаг закреплен на криптографическом уровне.

Из трех возможностей ИИ-модель способна предоставить только последнюю, причем ту, которая проще всего реализуется.

1.3 Билет на самолет и четыре вопроса

В среду утром в семь вы просыпаетесь в Гонконге, и на телефон приходит уведомление о списании: 2600 гонконгских долларов, Cathay Pacific, маршрут Гонконг–Сингапур, четверг.

А вам нужен был среда. Накануне вечером вы попросили agent заказать эконом-класс на среду с бюджетом до 3000. Пока вы спали, прямые рейсы на среду подорожали до 3800. Агент искал варианты до трех часов ночи и наконец нашел билет на утренний четверг за 2600 — уложился в бюджет, цель верная, дата сдвинулась на сутки. Бронирование было для встречи в Сингапуре в 9:00 четверга — к моменту посадки этот самолет вы уже пропустили.

Авторизовали ли вы эту транзакцию? По буквальному смыслу — да; по вашему намерению — нет. Оба ответа верны, и в этом корень проблемы.

Пытаясь вернуть 2600, вы обращаетесь к разработчику agent, к Cathay Pacific или к эмитенту карты? Этот запрос распадается на четыре нерешаемых пока юридических вопроса агентских платежей:

• Действительно ли авторизация состоялась,
• Где проходят ее границы,
• Кто отвечает за выход за рамки,
• Кто в конечном итоге покрывает убыток.

Каркас агентского права формировался две тысячи лет вокруг этих четырех вопросов. Они естественно делятся на две части: первые два относятся к сфере «доказывания» — здесь справится криптография; вторые два относятся к сфере «юрисдикции и распределения вины» — здесь решает только правило. Сегодня все игроки почти целиком сконцентрированы на первых двух.

Эти четыре вопроса — развернутая расшифровка второй фразы Лу Лэя.

Текущие правила регулирования «построены вокруг человека как конечного принимателя решения», что конкретно означает ответы на эти четыре вопроса, привязанные к личности: человек сам авторизует, человек сам чертит границы, выход за рамки возможен только при взломе/мошенничестве, а для покрытия ущерба уже существуют устоявшиеся механизмы распределения.

Четыре ответа разделяют один фундамент. Когда фундамент исчезает, все четыре ответа одновременно висят в воздухе.

На четыре вопроса сегодня нет ответов. Но индустрия не ждет.

2. Экологическая картина агентной коммерции (Agentic Commerce)

За последний год российские и зарубежные карточные ассоциации, платежные институты и технологические компании плотно выпустили более десяти протоколов, касающихся агентных платежей; гиганты поглощают компании, прокладывают новые пути и борются за стандарты. Правила еще не написаны, но индустрия уже заняла все позиции на карте.

На том же форуме генеральный директор Ant Group и председатель совета директоров Alipay Хань Иньи представил четыре направления исследования глобальных AI-платежей: первое — технологические и инфраструктурные платформы вроде Stripe; второе — компании криптоиндустрии вроде Circle и Coinbase, использующие стейблкоины и кошелек для прямой поддержки автоматических machine-to-machine платежей; третье — традиционные платежные сети Visa и Mastercard; четвертое — платформы ИИ, такие как Google и OpenAI.

Этот список содержит огромный объем данных. В комплексе это четыре типа участников, в разрезе — пять关键环节.

Разрез по участникам показывает, кто в игре, но не показывает, где именно он находится. Чтобы увидеть вторую картинку, нужно повернуть ось — анализировать по цепочке извлечения стоимости одной агентной транзакции.

2.1 Пять этапов в цепочке извлечения стоимости

Одна агентная транзакция, от возникновения намерения до поступления денег на счет, последовательно проходит пять этапов. У каждого этапа своя власть, свой способ монетизации и совершенно разный уровень владения ценностью.

В этой таблице есть три момента, требующих раскрытия.

Во-первых, ячейка низкой ценности совпадает с ячейкой полного open source. MCP, A2A, AP2, UCP, x402 — все они беспрецедентно переданы в фонды, и на всех публичных картах они отмечены как зоны с минимальным захватом стоимости. Это не случайно. Протокол передается в open source именно для того, чтобы никто не мог брать ренту на этом слое; здесь open source — инструмент предотвращения концентрации ценности, а не её причина.

Во-вторых, карточные сети занимают сразу две ячейки. Они взимают плату за правила на этапе ③ и владеют собственной расчетной сетью на этапе ⑤. Только одна компания охватывает оба этапа в таблице, причем это самые труднозаменимые позиции.

В-третьих, самое важное: два из пяти этапов объективно не могут нести ответственность.

Уровень входа контролирует самую дорогую ценность, но отсутствует в движении средств; уровень протокола вообще не имеет юридического лица — код нельзя доставить повестку, на него нельзя подать в суд, и он не может выплачивать компенсации. Этапы ③④⑤ могут. Доверительный слой обеспечивает исполнение не через суды, а через право «отказать в данной транзакции»; координатор слоя (PSP) сам является лицензированным эквайером и страхует chargeback для мерчантов; расчетный слой опирается на баланс и резервные средства.

Возникает дисбаланс: в трех этапах с наивысшим уровнем захвата ценности два из них способны нести ответственность, а третий — вход — занимает позицию с максимальной ценностью, не беря на себя ничего.

2.2 Люди позволяют ИИ выбирать, но боятся платить

Позиции расставлены, но спрос сильно фрагментирован.

Первая часть уже преодолевена.

По данным Adobe на основе свыше 1 триллиона визитов на розничные сайты США: в мае 2026 года конверсия трафика от ИИ превышала показатели не-AI каналов на 54%, а год назад конверсия этих посетителей была меньше половины показателей обычных каналов. В марте 2025 года отставание составляло 38 пунктов, к марту 2026 года преимущество уже достигло 42 пунктов — за 12 месяцев график сдвинулся на 80 пунктов.

Данные платформы Shopify объясняют причину: более половины сессий, инициированных ИИ, напрямую попадают на страницы товаров, тогда как органический поиск дает около 20%; конверсия трафика от ИИ на 50% выше органического поиска, а средний чек на 14% выше.

Пришло не больше людей, а другие люди. Они точно знают, чего хотят, идут к конкретным товарам и покупают длинные хвосты поисковой выдачи. Перелом конверсии произошел не из-за того, что потребители стали смелее, а из-за того, что пришли именно те, кто пришел покупать.

Вторая часть почти не сдвинулась.

Исследование Checkout.com в июне этого года показало: сегодня лишь 3% транзакций involve AI agents. Более показательна природа «страха»: 24% потребителей заявили, что никогда не поручат покупку ИИ, 27% не доверяют ни одной организации управлять ИИ-шопинг-агентом. Это уже не выжидательная позиция, а активный отказ.

Почему боятся? Ярче всего объяснил инцидент в крипто-сфере в феврале. ИИ-агент по имени Lobstar Wilde увидел пост с просьбой о помощи в соцсетях, самостоятельно принял решение вмешаться и перевел 450 000 долларов. Пост оказался фейковым, а пользователь изначально планировал пожертвовать всего 4 SOL.

Жесткий лимит бюджета контролирует масштаб возможных потерь, но не контролирует действия в пределах бюджета, противоречащие намерению пользователя.

Проходимость барьера «доверяешь ли рекомендациям ИИ» еще сомнительна, а барьер «готов ли делегировать ему оплату» пройден не был.

2.3 Сам канал еще не сформирован

Помимо хайпа, нужна база, но индустрия пока не обладает единой линейкой измерений.

Данные Contentsquare на основе миллиардов сессий показывают: трафик от ИИ составляет лишь 0,2% от общего объема сессий.

Это данные Q4 2025, опубликованные в январе 2026 — сопоставление с майскими данными Adobe разделено двумя кварталами, при этом кривая выросла в шесть раз за год. В тех же базовых данных абсолютная конверсия от ИИ-трафика составила 1,3%, все еще ниже email-канала (1,9%); Adobe же сообщал о относительной премии, так что метрики несовместимы.

Динамика роста говорит сама за себя. 11 мая Shopify в корпоративном блоге заявил об увеличении заказов с ИИ-рефералов на 1300% в годовом исчислении за квартал; 5 августа на конференц-звонке компания сообщила, что трафик и заказы от ИИ-каналов выросли втрое год к году.

Эти цифры нельзя вычитать друг из друга. Первая измеряет только реферальные заказы, вторая объединяет трафик и заказы, расширяя меру; а цифра «втрое» отсутствовала в пресс-релизах второго квартала и форме 10-Q.

Сама «несоизмеримость» — вот суть проблемы. Одна компания, одна тема, разница двенадцать недель, но даже общие агрегаты не сходятся, хотя это самая прозрачная отрасль по отчетности.

Та же ловушка существует со стороны ответственности: широко цитируемые прогнозы роста спорных транзакций охватывают все disputes в интернете, ни одна из которых не атрибутирована Agent.

2.4 Мерчанты на другой стороне не подключены

Опустившись на шаг вниз по цепочке, мы сталкиваемся с мерчантами, которые должны принять всё это.

Регулирующая и risk-компания Ballerine дает самый прямой прогноз: 73% мерчантов не готовы к агентским сервисам, большинство провайдеров платежей еще не внедрили эти протоколы, и ни одна сторона в платежной цепи не согласовала распределение ответственности. Цифры Checkout.com кажутся противоречивыми, но задают другой вопрос: 89% мерчантов утверждают, что активно готовятся.

73% не готовы, 89% готовятся — цифры не конфликтуют: первый спрашивает, интегрирована ли система, второй — ведется ли работа вообще.

Все делают, сделали год, но подключено всё те же 3%.

2.5 Машинные A2A-транзакции уже превысили сотни миллионов

Перенеся взгляд с людей на машины, картина меняется радикально.

Ончейн-данные x402 фиксируют совокупный оборот в 135,7 млн долларов и 178,3 млн транзакций. После фильтрации накруток и тестовых операций остается 15 млн долларов скорректированного оборота, 109,6 млн валидных транзакций и около 5300 активных мерчантов. Реальный рынок масштабом меньше ончейн-поверхности на порядок, но даже после такой очистки количество транзакций остаётся в сотнях миллионов.

Противником этих транзакций нет колеблющегося потребителя, нет мерчанта, модернизирующего кассу, и никто не ждет чьей-либо авторизации.

Что они покупают? По текущим категориям в сети можно выделить примерно пять типов:

• API по вызову: поиск, карты, погода, проверка корпораций, любые метрические точки. Agent платит сразу по факту обнаружения, без предварительного запроса ключей;
• Данные и котировки: финансовая отчетность, ончейн-данные, нормативная информация, социальные сигналы — оплата за запрос или объем;
• Инференс и вычисления: оплата за вызов модели, GPU и песочные среды арендуются по запросу, сессия завершается сразу после выполнения задачи;
• Контент и материалы: изображения, музыка, шрифты, статьи, датасеты — оплата за использование, а не закупка квот;
• Agent покупает у Agent: один агент субподряжает подзадачи другому, оплачивает вывод, рассчитываясь в USDC.

По количеству транзакций это крупнейшая категория на сегодня.

У этих пяти категорий есть общая черта: потребление происходит немедленно после доставки, невозможен возврат. Ни одному продукту не нужно принимать товар обратно, ни один не создает зону spore, ни один не требует человеческого «я передумал» задним числом.

Но сотни миллионов не означают зрелого рынка. Разобрав структуру, видим очень молодую форму: топ 1% покупателей генерирует ~90% оборота, всего 0,02% дают ~48% — это скорее автоматизированные бэк-офисы десятков институтов, чем масс-маркет; распределение по сетям аналогично концентрировано: Base обрабатывает ~90% валидных транзакций, а предложение еще не выросло.

Форма кривой особенно показательна. Объем транзакций достиг пика в ноябре 2025 (~38 млн в месяц), к марту 2026 упал до ~2,1 млн, но оборот остался на $1,64 млн, а средняя цена сделки обновилась历史新高.

Количество упало на 77%, цена растет. Кривая не умирает, она меняет категорию.

Индустрия заняла все позиции, потребители доверяют рекомендациям, но не отдают право на оплату, мерчанты готовятся, но не интегрированы — три стороны человеческой цепочки ждут хода друг друга; машинная сторона уже обработала сотни миллионов.

«Агентные платежи» — одно слово, в которое не влезают обе реальности.

3. Два знаменателя за одним термином

Почему две картины из предыдущей главы не сходятся? Потому что сравнивают они принципиально разные вещи.

Термин «Agentic Commerce» (агентная коммерция) скрывает фундаментальное расщепление — фактически это две совершенно разные транзакции,共用щие имя.

• Шопинг с ИИ-агентом: человек поручает agent купить товары («купись мне кроссовки 42 размера»), агент ищет, сравнивает цены, оформляет заказ, но финальное решение принимает человек и тратит свои деньги.
• Автономные машинные сделки: машины самостоятельно приобретают цифровые услуги для выполнения своих задач, вызывают LLM API, платят $0.003, получают результат и продолжают работу без нажатия кнопки «подтвердить покупку» человеком.

Первое — замещение, передел市场份额 из существующего человеческого поведения; второе — созидание, создание новой транзакционной массы.

Потолки определяются разными параметрами, а все доступные рыночные прогнозы измеряют преимущественно первую половину.

(Все говорят об Agentic Commerce, но никто не поясняет, что это две вещи: два пути, три уровня архитектуры)

3.1 Шопинг с ИИ-агентом: потолок задан деньгами, которые человек и так потратит

Сначала посмотрим на наиболее измеряемую половину.

Morgan Stanley прогнозирует до 2030 года диапазон от 190 до 385 млрд долларов, и методология звучит честно: доля составит 10–20% от американского e-commerce. Оценка eMarketer на этот год — около 20,6 млрд долларов продаж AI-платформ в ритейле США. McKinsey предполагает глобальный объем agentic commerce к 2030 году в диапазоне 3–5 трлн долларов.

Разброс от 20 млрд до 5 трлн отличается более чем в 200 раз. Это отражает не столько разногласия в скорости роста, сколько путаницу в предмете подсчета: одни считают только чеки внутри AI-интерфейса, другие включают все затрагиваемые ИИ заказы, третьи добавляют машинные вызовы.

Но как бы ни менялась методология, замещающей половине свойственен общий потолок: ее знаменатель — деньги, которые люди потратили бы в любом случае.

CEO Mastercard Майкл Мибач прояснил это через сценарий. Вы хотите отправиться в поход, спрашиваете ИИ, что взять с собой, он выдает список из пятнадцати вещей, исключая палатку, потому что знает о наличии у вас своей. Получив список, вам все равно придется заходить на сайты друг за другом, теряя часы; если оформить checkout мгновенно — процесс потечет гладко.

Затем он добавил оценочное суждение:本质上 люди не начнут покупать на пять палаток больше просто потому, что появился Agent. Это прежде всего замена существующего трафика.

Agent меняет то, как тратятся деньги, где и кому достается маржа, а не объем расходов.

Это битва за каналы, входы и атрибуцию, миграция存量; а у миграции存量 каждая vested interest имеет причины затягивать — мерчанты не хотят отдавать checkout, платформы не отдают входы, а карточные сети на этом пути ничего не теряют.

3.2 Автономные ИИ-транзакции: половина, которую игнорируют прогнозы

Вторая половина не фигурирует ни в одном прогнозе.

Джо просыпается утром, на телефоне сообщение от личного Agent.昨夜 он закрыл позицию Walmart — спутниковые снимки показали снижение пешеходного трафика на парковках, плюс данные sentiment analysis в предсказательных рынках подтверждают short-настроения; он разослал календарным agent трех потенциальных клиентов приглашения на встречу с одной страницей брифинга; также просканировал цены шести облачных провайдеров, найдя замену с аналогичной производительностью, но на 65% дешевле в годовой подписке.

Итого стоимость: $0.67.

Эти $0.67 не сэкономлены, они созданы заново. Раньше таких сделок не существовало не из-за отсутствия спроса, а потому что человековая decision cost превышала transaction value — никто не будет тратить цент, чтобы проверить спутниковые данные парковки ради продажи акции. Само решение «стоит ли проверять» уже стоило нескольких центов.

В human economy микроплатежи weren't недоделаны, они математически невозможны. Как только плательщик меняется, неравенство переворачивается.

Как только оно переворачивается, форма потребления Agent резко расходится с человеческой. AMP PBC анализирует 100 триллионов токенов, проходящих через OpenRouter, и выводы противоречат ожиданиям большинства: медианный запрос исходит не от человека, задающего вопрос LLM, а от машины в бесконечном цикле. Один agent крутится ночью, повторяя тысячу однотипных вызовов, без надзора, непрерывно.

Это уже не единичная покупка, а постоянный поток потребления.

Еще один маркер на развилке. Ончейн ИИ-агенты за прошлый год провели около 176 млн транзакций, средняя сумма — лишь $0.31–$0.48, причем ~76% находятся ниже порога фиксированной комиссии Visa в $0.3.

Карточные сети здесь не «недостаточно хороши», люди просто никогда не проводят такие транзакции.

(Agentic Economy: почему агентная экономика растет именно на блокчейне)

Тогда каков знаменатель созидательной половины?

CEO Circle Джереми Аллар дал координату: компания по сути есть «организация познания с наклеенным логотипом», а затраты на персонал составляют от четверти до половины выручки, в knowledge-компаниях — почти всё. Когда каждая функция шлифуется до четко определенных skill, чистая skill, пригодная для внутренней оркестровки, становится чистой настолько, что её могут обнаружить и нанять извне; открытый рынок агентского труда никому не нужно создавать — это естественное overflow самооптимизации миллионов корпораций.

Знаменатель замещения — consumer spending, знаменатель созидания — labor costs.

Созидание измеряет не шопинг, а token-расчеты и найм машинного труда. Разные знаменатели — жестчайшее доказательство «двух разных сделок».

3.3 Картины сходится

Возвращаясь к дисбалансу из главы 2.

Цифра 3% или 73% измеряют замещение — а замещение требует самых строгих consumer protections: returns, chargebacks, dispute resolution, KYC, ни одно звено нельзя пропустить; здесь нужно согласие каждого vested interest уступить место.

Созидательный тип не требует передачи прав пользователем, мерчантам не надо перестраивать кассы, никому не нужно уступать позиции, поэтому он уже преодолел рубеж в сотни миллионов.

Последовательность внедрения определяется этим, а не технической зрелостью, а стороной承擔风险. Протоколы с гарантийным покрытием идут быстрее всего — API, данные, compute: мгновенная доставка, понятная тарификация, no refund disputes. Enterprise-backed сценарии вторгаются позже — пулы budget и approval chains существовали до появления agent в ручном режиме, они лишь транслируют authorization, а не изобретают новую. Consumer retail с фоном на стороне человека идет медленнее всего.

Яркое подтверждение supply-demand dislocation: потребители чаще всего готовы делегировать agent покупку свежих продуктов (41%) и повседневных товаров (31%), реже всего — финансовых услуг (15%); в то время как мерчанты ожидают, что agentic commerce сначала внедрится в сложные решения вроде финансовых продуктов.

Одни хотят начинать там, где не нужно думать, другие — там, где задача наиболее рутинная.

Сценарий с наибольшей визуальной привлекательностью выйдет на рынок самым поздним.

4. Семь препятствий на пути одной агентной транзакции

Главное отличие двух типов сделок не в сумме или частоте, а в том, где живет ответственность. Замещение тормозит, потому что каждая единица тянет за собой полный ответственный chain; созидание ускоряется, потому что та цепь изначально пуста.

Таблица из главы 2 показывает, кто чем владеет, но не указывает, где ляжет ответственность — позиции разделены по принципу «чем владеет», ответственность нужно делить по принципу «через кого проходят средства».

Чтобы провести эту линию, достаточно проследить одну транзакцию и зафиксировать моменты смены руки.

4.1 Стек агентных платежей

Публичные архитектуры существуют не в одном варианте, каждый полезен по-своему, но у них общий структурный пробел: почти все объединяют «credentials» и «funds» в одну обработку.

Это не упущение, а следствие ракурса. Эти фреймворки сформировались в контексте card payments, где на карточной rail ответ на оба вопроса всегда совпадает — credentials выпускаются card network и issuer, funds тоже хранятся в issuer. Объединение не вызывает ошибок.

Но на других двух путях они мгновенно расходятся. На stablecoin rail credential — это офлайн-подписанный authorization перевода, funds в ончейн-кошельке, issuer credentials и controller funds могут быть разными субъектами; на fiat prepaid rail credential — это account凭证, а funds сидят на балансе эмитента или депозитария, один и тот же продукт может выступать как stored value или service prepayment.

L1–L3: три пути полностью совместимы

Первые три слоя решают вопросы «человека» и «агентских отношений» — понимание намерения, получение авторизации, верификация идентичности, не касаясь движения средств.

Самое ожесточенное противостояние на этих трех уровнях развернулось на слое авторизации, где первыми начали действовать не карточки, а Google и Stripe — они борются не за долю платежей, а за язык определения авторизации.

Google AP2 разделяет presence и absence автора через два документа; Stripe Shared Payment Token абстрагирует карту, agent token и BNPL до одного интерфейса; Verifiable Intent Mastercard совместно с Google взаимозаменяем с AP2; Visa TAP декларирует совместимость, но процесс перевода теряет информацию.

Чей формат authorization-документа станет通用语言, получит право определять само слово «authorization».

Борьба за лидерство, о которой говорил Гу Лэй, в промышленности материализуется именно в формате authorization-документов.

На слое идентичности остается один нюанс: консенсус индустрии гласит, что агент может выполнять действия, но authorization и ответственность навсегда принадлежат реальному человеку. Note МВФ от апреля этого года прямо предлагает регуляторам перейти от KYC к KYA — Know Your Agent.

L4 diverges, L5 — ось всей статьи

На слое credentials три rails впервые демонстрируют совершенно разные артефакты:

• Card rail: network tokens или виртуальные номера карт, выпущенные сетью и эмитентом;
• Stablecoin rail: офлайн-подписанное authorization перевода, выпущенное личным ключом пользователя;
• Fiat prepaid rail: account凭证, выпущенное эмитентом счета.

Разные эмитенты означают разных лиц, к которым можно обратиться при инцидентах. На слое funds критерий сводится к одному: до начала движения средства кем custodyed?

Более точная формулировка следует из стандарта «substance over form» в американской практике: владеет ли субъект или jointly владеет ключами кошелька, сохраняет ли veto power над переводом, способен ли приостанавливать или редиректить транзакции по своим risk-логикам, аккумулирует ли user funds на любом этапе.

Этот уровень демонстрирует textbook пример. 18 августа AWS анонсировала general availability Amazon Bedrock AgentCore Payments. Ранее для agent уже вышли Runtime, Memory, Identity, Gateway, Policy и Observability, решающие execution, memory, identity, tool access, policy enforcement и audit. Распределение funds в Payments заслуживает дословного анализа: средства остаются в external wallet (Coinbase или Stripe Privy), budget и permissions задаются людьми или enterprise, AgentCore лишь встраивает payment decision, wallet invocation и payment logging в execution pipeline agent.

Из семи слоев реализованы шесть, L5 оставлен другим.

Это не недостаток capability, а осознанный choice. Оно одновременно отвечает на вопрос главы 2: какие позиции способны承担责任. Субъект пуст на L5 — он не может возмещать убытки; не потому что не хочет, а потому что нечем платить.

L6 и L7: один mature, один blank

На уровне actual движения средств инфраструктура трех путей находится в разных эпохах. Card rail использует VisaNet и сеть Mastercard, раздельный clearing & settlement, децилии правил; fiat rail опирается на локальные clearance системы и bank drafts, тоже mature; crypto rail: public chains и cross-chain orchestration только формируются, плюс появляется роль, отсутствующая на двух других — facilitator, принимающий signed authorization от agent, верифицирующий signature и submitting tx onchain.

Последний слой — пустошь.

归属 merchant of record — ключевая переменная этого слоя: если stays с мерчантом, посредник берет только tech fee; если self-assumed, необходимо обрабатывать returns, chargebacks и regional tax registrations. Status quo прост: liability за chargeback по умолчанию ложится на мерчанта, потому что мерчант не может предъявить cryptographic proof, какой именно agent инициировал запрос.

Draft правила карточных сетей стремятся锚定 эту liability на issuer network tokens, но правила еще в разработке.

4.2 Все протоколы отвечают лишь на первые два из четырех вопросов

Разобрав примитивы десятков протоколов, видно высокую конвергенцию, consensus включает четыре пункта: authorization должен быть layered; boundaries ограничены мерчант scope, max amount, time window, usage frequency; digital signature serves as non-repudiable evidence; agent never touches raw credentials.

Пятый пункт — общий пробел: все детально определяют, как授予, ни один не регламентирует clean withdrawal после issuance, но before execution.

Этот пробел кричащий, потому что он именно тот запрос, который рынок ставит первым.

Вернемся к авиабилету. «До 3000» помещается в поле max amount, валидируемо машиной; «эконом-класс» —枚举类型; «будущая среда» — time window. specs выглядят безупречно.

Но невысказанная половина фразы — «строго среда, иначе пропущу встречу в 9:00 четверга» — не помещается ни в какое поле.

Это не сумма, не enum, не тайм-окно. Это reason why you said it.

Целостность намерения существует только в голове человека, authorization-документ — лишь его проекция. Это не unfinished engineering, structural limitation.

Execution環節 безупречен: сумма пройдена, класс пройден, тайм-окно зависит от того, зашили ли «среду» hard constraint — не зашили, транзакция协议层面无瑕. Precision authorization boundaries — единственный defense line here.

Весь стек протоколов направляет усилия на одно: proof. О том, «чьим считать случившееся», — молчит.

Proof built, adjudication still a blank field.

5. Три пути развития агентных платежей

Ключевой пятый слой из главы 2 материализуется в трех путях. Разница между ними никогда не сводилась к выбору tech stack — кто custody funds, тот же кто承担赔付 liability.

(Отсутствующий слой ответственности в AI-платежах: кто платит за ошибки Agent)

5.1 Кошельки и Credits: ответственность авансируется

Фонды на собственном балансе, пополнение = авторизация, balance = boundary, exhaustion = finality.

Это первый из трех путей. Alipay объявил к маю этого года cumulative 300 млн completed agent payments; внимательно читая, большинство — internal shopping assistants: ИИ помогает сравнивать цены,凑单 и оформлять заказ на Taobao, payment flows по-прежнему closed-loop, disputes run по platform rules.

Первое внедрение обеспечено не решением авторизационной проблемы, а сокращением её до масштаба, где решение не требуется: one merchant, one wallet, one rule; consumer, merchant и pay provider — один platform.

Цена — невозможность выйти из экосистемы: как Qwen от Alibaba закажет чай на Meituan?

Это же путь с наибольшим шумом.

Называть внутренних AI-shopping ассистентов «Agentic Payment» создает иллюзию solved problem.

5.2 Card rail: ответственность покрывается сетевыми правилами

Фонды в issuer, у карточных сетей есть two things others lack: global acceptance network и decades-polished dispute infrastructure — от chargebacks до liability shift, 3DS, прецеденты, timelines, burden-of-proof standards и appeal mechanisms.

TAP, Verifiable Intent, AP2, ACP, UCP build exclusively на этом rail, делая одно: трансформируя存量 assets в форматы, usable для agents.

Преимущество: ответственность принадлежит, disputes имеют channel; Проблема: правила в разработке, и до финализации спор по авиабилету попадет в tribunal, где никто не знает jurisdiction framework.

5.3 Onchain direct pay: ответственность либо floating, либо code-substituted

Фонды в personal wallet пользователя, receipt = finality.

Onchain volume x402 упал на 77% от пика ноября 2025; core区间 $0.10–$1.00 сжался с 46% до 4%.

Выжившие: buy tokens, invoke APIs, rent compute — товары instant-delivery & consume, no-regret.

Причина в характере протокола. x402 barebones: no authorization docs, no recourse, no dispute channels. Для instant-consume goods barebones — feature, saving dispute processing cost; но любой товар prone to errors, barebone protocols simply won't enter.

Три пути не делят один торт, каждый чертит территорию по плотности споров: zero-dispute goes to chain & stablecoin, high-dispute goes to cards, avoided-dispute goes to wallets.

Три пути разместили ответственные стороны, но ни один не отвечает на четвертый вопрос: кто ultimately bears loss.

5.4 Закон не дает ответа

Ответственность должна определяться законом. Но закон дает не silence, а three contradictory answers: unwritten, amended after writing, half-written then retracted.

Первое: unwritten. В США нет специальных regulations для agent transactions. Reg E разрешает consumers authorize payments via «card, code or other methods», но не регламентирует deviation by AI agent; обычно применяется к consumer deposit accounts at financial institutions, protection doesn't extend to crypto-native rails. Contract formation isn't issue — ESIGN Act признал contracts formed by electronic agents с 2000 года; vacuum lies post-formation: liability allocation для agent overreach lacks specific rules, case law.

Второе: written then amended. Amazon filed suit against Perplexity in Nov 2025, alleging Comet AI assistant used user credentials to log into Amazon accounts for purchases without disclosing AI identity. March: district court granted injunction, finding access unauthorized by Amazon regardless of user consent; Aug 4: Ninth Circuit reversed, ruling that when user delegates agency, the entity accessing Amazon's computers is the user, not Perplexity — agent is not independent visitor, it's user's hand.

First federal appellate court handling this issue delivered two opposite rulings in six months. Both levels回避 crucial point:争论 focuses purely on entry qualification, neither judgment mentions liability for wrongful purchases post-entry.

Третье: half-written then retracted. EU AI Liability Directive formally withdrawn Oct 2025 eve of mass commercialization due to unforeseen divergence among 27 member states; PSD3 leaves another gap: Strong Customer Authentication designed for humans holding phones, agents have no fingerprints.

Over these three answers sits cross-border layer, often mischaracterized: trouble isn't jurisdiction vacuum, it's jurisdiction overload.

Model runs on US servers, user sits in HK, merchant in SG, settlement in USDC — single行为 falls under consumer domicile, data subject location, market location simultaneously, но нет «place of occurrence» для tie-breaker.

Поэтому наиболее близкие к глобальному consensus и可直接执行的 правила в платежной цепи остаются карточными.

Исполняемость не от судов, а от права «отклонить данную транзакцию».

5.5 Три способа заполнения пробела

После legislative absence, заполняются private orderings. На сегодня появились три метода.

Первый: pricing. Amex bypasses protocol for direct commitment: protected qualifying cardholders for transactions caused by registered agent errors; card networks shift chargeback liability для compliant transactions, replicating 3DS playbook; Munich Re и двое конкурентов запустили AI liability insurance, payout triggered когда error rate exceeds agreed threshold.

Все три инструмента при pricing смотрят на один variable: насколько тонко нарисованы границы authorization. Precision authorization boundaries = price of liability.

Но у pricing inherent limit: каждая сторона тарификует только то, что сама может просчитать. Amex защищает только зарегистрированных agents, insurance покрывает сверх threshold, card networks покрывают compliant transactions. За пределами — пустошь.

Второй: collective rulemaking. 18 авг Rain инициировал Agentic Payments Alliance, 26 founding members включая Visa, Mastercard, Fiserv, Circle, Solana. Operated collectively by founders, owned by none, early work: joint research & frameworks, testing agent identity & authorization standards, advocacy for regulatory issues.

Индустрия восприняла отсутствие federal guidance как blank check для написания собственных стандартов.

Третий: direct assignment of liability. 24 авг China UnionPay Association под руководством People's Bank of China выпустил «自律公约» приложений агентных платежей, effective same day; тремя днями позже Лу Лэй потребовал active implementation from market participants. Базовый принцип сведен к семи китайским иероглифам: «кто предоставляет платежный сервис, тот и отвечает». Участники, предоставляющие account management, transaction processing, acquiring, clearing & routing, несут primary liability — не мерчанты, не developers агентов, не model vendors, не insurers.

Один вопрос, три метода заполнения, разница последнего с первыми в одном: первые не требуют, чтобы кто-то вышел вперед первым, третий требует.

6. Агентная стратегия участников рынка

Rules still unwritten, но деньги уже поставлены. Измерив пятерку ключевых игроков, понимаешь, что решают они один вопрос — «занять ли мне эту позицию» — и алгоритмы у всех разные, у одного ответ полностью противоположен остальным.

6.1 Visa: агентные платежи не войдут в её P&L

Смотрим приоритет, заданный ею самой: fourth tier, parallel brand advertising. This ad-hoc ranking при追问 capital allocation: после consumer payments, value-added services, commercial & liquidity flow идет «above it: stablecoins, agentic». Единственные направления без addressable market denominator — другие每条腿配有 trillion/killion TAM, у этих цифр нет.

Компания, десятилетиями живущая в equilibrium при net rate 29 bps, не изменит сам equilibrium ради нового продукта. Поэтому agentic product list короткий — Agent Score, Agent Directory, Token Assurance Framework — использует тот же token infrastructure, extended от phone до agent.

Она не строит new road для agentic, а меняет drivers на старой.

(Stablecoins и Agentic не вписываются в отчетность Visa)

Но остановка здесь упустит главное, что она делает.

Visa Intelligent Commerce стремится к single integration兼容 TAP, x402, MPP, ACP, UCP; Chief Product & Strategy Officer Jack Forestell定位整件事 одной фразой: AI transforms商业前端, stablecoins重塑资金后端, Visa ensures两端安全、可靠、全球化运转.

Tokenization manages credentials, TAP manages identity, verifiable records manage audit, MPP card specs manage multi-rail access —四条线覆盖全授权链路环节，没有一条抢结算。它不是在和稳定币竞争，而是在悄悄把自己从结算网络重定位为授权基础设施。

卡网络不一定赢得机器经济的结算，但它可能赢得机器经济的授权。

投资记录比协议诚实。Visa Ventures 投了做授权书生成的 Nekuda 和做银行侧审批断点的 Payman——前者的授权诞生在用户与 agent 对话的那一刻，在 VisaNet 之外；后者的资金流压根不走卡轨。一笔买上游，一笔买轨道外，它清楚自己的协议只覆盖「钱经过我时」的那一段。

6.2 Mastercard：兼容多轨结算，但不兼容信任互通

同一道题，Mastercard 交了完全不同的答卷。

它的分界线画得极其精确：只要买东西的还是人，不管个人还是公司，卡都会赢；只有当买东西的变成机器，它才承认不止卡一条轨道。

对于 AI 替人购物，它的答案是把卡体系里现成的东西搬过去：令牌化、零责任保障、争议处理。而对于机器之间的采购，它给的架构只有八个字——链上授权，链下结算。授权在链上，因为机器之间需要即时识别一笔交易；结算在链下，因为钱走哪条路是另一件事。用它自己的话说：结算会发生在不同种类的轨道上，可能涉及稳定币，也可能是别的方式，对此相当开放。

结算可以多轨，信任与互通必须拿下。

而「结算可以多轨」这句话，它是花钱兑现的。8 月 3 日，它以最高 18 亿美元完成了对稳定币支付基础设施公司 BVNK 的收购，比原定计划提前近五个月交割。

买它干什么？答案藏在四方模式里。

在传统法币体系中，划钱的是成员银行，卡组织从不掌握结算。而当它说结算可能发生在稳定币上时，另一条轨道上并没有对应的成员银行体系，没有人替它做那件事。

在稳定币这条轨上没有成员银行，所以它自己当成员银行。

6.3 Stripe：它换的不是发起方，是商品本身

Stripe 的位置最容易被误读成「骑墙」。

它 ACP 与 OpenAI 共创，MPP 与 Tempo 共发，同时是 x402 基金会创始成员；商户接入它的 Agentic Commerce Suite，自动兼容所有协议。并购上，它收了 Bridge、Privy、Metronome，又与 Paradigm 共建 Tempo，今年更以七十多亿买下 AI 模型网关 OpenRouter。

别家买的是自己答卷上的空白题，它买下的是整张考场。

但骑墙不是全部。真正的差别在这里：卡组织想让 agent 学会刷卡，Stripe 想给 agent 花的那个东西定价。

前者换的是发起方，商品没变，还是美元和实物；它要解决的是「当按下按钮的不是人」这个问题，而这个问题它已经解决过一次——从线下到线上、从磁条到线上验证，每一次用的都是同一套办法：给新的发起方发一份受限的凭证。

后者换的是商品本身。network token 完成刷卡，stablecoin token 负责结算，AI token 制造账单——三个 token 今天都在同一家公司手里。

搬运的成本被压到接近零之后，价值全部挤到了定价这一侧，而它买下了唯一能看见跨模型行为全貌的那个观测点。

Google 在争定义权,Stripe 在争执行权。而无论谁立法,执行都走它的通道。

（Token 会是 Stripe 的新美元吗？）

6.4 OpenAI：不做支付公司，但在抢支付上游

OpenAI 的答案不用猜，它自己写进了规格书。

ACP 的委托支付规范明确写着：OpenAI 不是 merchant of record，结算、退款、拒付与合规仍归商户及其 PSP。这是迄今为止公开发布的最清晰的一个答案，而它指向卖方。

由此形成的三方分工非常干净：OpenAI 负责用户意图、商品发现、比较与决策、发起购买的界面，以及商户接入协议；Stripe 负责支付凭证、代币化授权、风险信号与执行基础设施；商户负责库存、订单、履约、售后，以及大部分真实交易责任。

吃上游，不背下游。

Instant Checkout 退回发现环节，不是打不过，是算过账。它自己给的第一条理由，恰恰就是这篇文章的主线：支付不是 UI 能解决的问题，而是牌照、合规、反欺诈、争议处理、网络规则和资金责任的集合。

商户真正在乎的从来不只是能不能点支付按钮，而是品牌体验谁控制、支付方式谁决定、会员体系能不能接上、归因与数据回流怎么算、谁是 merchant of record、风险和责任谁来背。

在对话内收取货款之后，很难再论证自己不是卖方。

于是它退回到交易链路里更轻、却更有杠杆的一层：用户先来哪里提需求。费率约 4%，性质是渠道分成而非支付服务对价——这正是 AI 平台主张自身不构成支付服务的商业依据。

6.5 支付宝：唯一一个说「我就是那个人」的

前面四家在同一件事上高度一致——都在把责任推到自己站的那一格之外。而第五份答卷是反的。

支付宝走的是三条路里最不被认真对待的那一条：钱包与预充值。今年 5 月的 AI 支付生态大会上，它把这条路做成了一套完整的东西——AI 付、AI 收、Token Pay 和 AI 钱包，覆盖授权、支付、结算、管理与安全。

其中真正值得看的是 AI 钱包。它管的不只是资金，还有对智能体的授权：支付前做意图授权管理、划定边界，支付中做二十四小时任务执行监控与风险预警，支付后提供账单查询。官方的说法是从「能付能收」升级到「能管能控」。

这恰恰是第四章那个共同空白的产品形态。各家协议都在争怎么授予，而消费者要的限额、撤销、取消，在这里被做成了一个用户能看见的界面。它不优雅——因为它绕过了协议层，直接在自己的闭环里实现——但它先做出来了。

真正把它和其余几家分开的是另外六个字。面对 AI 出错谁负责，支付宝重提了二十年前那句承诺：你敢付，我敢赔。

前面几家都在论证自己不是那个人，只有它说自己就是。

它敢说，不是因为胆子大。回到第二章那张表——全表只有它一家同时占着入口、信任、编排与结算四个环节。卡组织横跨两格已经是最难被替代的位置，而它横跨四格：阿宝是入口，风控与争议处置是信任，收单是编排，备付金与清算是结算。一笔交易从头到尾都在自己家里走，赔付才是一句可以兑现的话，而不是一句公关辞令。

代价也写在同一句话里。闭环之所以能兜底，正是因为它是闭环。阿里的千问如何在美团买一杯奶茶——这个问题在 5 月没有答案，在 8 月也还没有。

8 月，它给出的回答方向是一套全栈智能体商业底座和 AHA 多智能体跨端互联协议，拉上手机厂商、车企与大模型公司共建。它在做的事很清楚：把闭环撑到足够大，大到看起来像开放。

而韩歆毅在同一场会上留了一句实话：构建智能体商业底座真正的卡点可能不在技术，而在于建立新的利益分享机制；缺乏合理的分享方式，即使各方有能力也有意愿，最后也很难把所有人聚到一起。

揽下责任的人，最后要面对的是分账问题。

6.6 五份答卷的共同点

把五家放在一起看，结构非常整齐。

前面四家每一家都在自己站得住的那一层加固，而加固的方式，恰恰就是切割责任的方式。

Visa 用投资承认自己只覆盖「钱经过我时」那一段；Mastercard 用规则把第三问圈进自己代币能覆盖的范围；Stripe 谁的责任都不接，却让所有人的交易都从它这里过；OpenAI 用规格书白纸黑字写明自己不是 merchant of record。

四种切割，同一个动作。

而第五家做了相反的事，代价是它只能在自己的院子里做。

这就是这道题今天的全部形状：要么切割责任、把生意做到全世界，要么揽下责任、把生意做在一个院子里。还没有人证明第三条路存在。

结语 · 谁站在那里

那买机票的 2600 块最后是找不回来的。

你打给发卡行，客服问：这笔交易是你授权的吗？是的，你的密钥签过，那就不构成盗刷，拒付通道关上了。你找国泰，票是合规出的，agent 身份验证通过，航空公司没有退票义务。你找 agent 的开发者——如果你找得到的话——它说 agent 严格执行了你的指令，预算之内，时间窗之内，它做对了。

每一方都没有错，而你错过了新加坡早上的会。

这笔钱找不到人负责，并非技术查不到。签名链完整，审计轨迹完整，每一步都钉死在密码学级别。

问题在于链路上的每一个环节，都提前准备好了一份说明，论证自己不是那个人。

这些说明不是托词，它们每一句都成立。卡支付的钱确实在发卡行，稳定币的钱确实在用户自己的钱包，协议方确实只负责传递指令；ACP 的规格书白纸黑字写明自己不是 merchant of record，而 Visa 用两笔投资承认自己只覆盖「钱经过我时」的那一段。

但把这些说明叠在一起，就会得到一个奇怪的结果：一个人人都说钱不经过自己的市场，写不出一份「谁提供支付服务谁负责」——因为没有人承认自己在提供支付服务。

规则之所以先出现在中国，不是因为那里想得更明白，而是因为那里有一个能被落到身上的主体。价值捕获链条上的五个环节里，能站出来的只有握着规则的和握着资产负债表的那几个，而在中国，这几个位置由同一批持牌机构占着。

能收钱的和能负责的高度重合，这不是巧合，而是同一件事的两种表述。

卡组织六十年真正在卖的东西，既不是清算也不是转接，而是「出事了算谁的」。所有论证钱不经过自己的公司，同时也就论证了自己收不到这笔钱。

而这正是陆行长那三个词的落点：可预判、可界定、可追溯。最难的从来不是技术上的追溯，是制度上的界定。