パスキーだけでは足りない、AIエージェント決済に必要な「認可の証明」とEC事業者の準備
FIDO Authenticate APACでGoogle・Mastercard・PayPalが議論した、AIエージェント取引における認証と認可の違いを解説します。パスキーの実測値、AP2やVerifiable Intentなど四つの委任設計の比較、EC事業者が今決めておくべきことまでまとめました。
この記事のポイント
- FIDO Allianceがシンガポールで開いたAuthenticate APACのパネルで、Google・Mastercard・PayPalが「AIエージェント取引では本人認証だけでは足りない」という論点を共有しました。
- パスキーが証明できるのは「本人であること」までで、「そのエージェントが何をどこまで買ってよいか」という認可は別の仕組みで運ぶ必要があります。
- EC事業者にとっての当面の争点は、自社の決済導線がどの委任方式の証跡を受け取れるか、そして商品情報がエージェントに正しく提示される状態になっているかです。
本人確認は済んでいるのに、誰も「何を買ってよかったか」を知らない
パスキーは利用者を認証できますが、エージェンティックコマースではAIエージェントが何を買う権限を与えられていたかの証明も必要になります。
www.frontier-enterprise.comFIDO Allianceが2026年6月にシンガポールで初開催したAuthenticate APACのパネル「Enabling Trusted, Simple Interactions in the Agent Era」で、Google・Mastercard・PayPalの担当者が同じ問題を指摘しました。AIエージェントが購入するとき、加盟店も銀行も決済ネットワークも、利用者本人を確認するだけでは判断材料が足りないという問題です。
GoogleでAndroidプラットフォームのIdentity and Authentication Leadを務めるLee Campbell氏は、購買の起点が変わったことを強調しています。買い手はもう加盟店のサイトを開かず、GeminiやChatGPTといったエージェントの画面のまま買い物を終える。すると加盟店側には、エージェントが自社の商品や条件を正確に提示したのかを確かめる手段がないという空白が生まれます。
利用者の側にも同じ空白があります。「緑のTシャツを買っておいて」と頼んだ時点では、最終的な商品も、加盟店も、価格も決まっていません。承認したはずの取引の中身が、承認した瞬間には存在しないわけです。
パスキーが証明しているのは「誰か」だけ
ここで整理しておきたいのが、パスキーが何を証明する技術なのかという点です。パスキーはFIDO2とWebAuthnという仕様に基づく認証方式で、端末の中で鍵ペアを生成し、秘密鍵は端末から出さず、サービス側には公開鍵だけを預けます。ログイン時は端末が生体認証などで利用者を確認したうえで署名を返す。パスワードのように盗んで使い回せる共有秘密が存在しないため、フィッシングに強いという性質があります。
つまりパスキーが答えているのは「この操作をしているのは登録された本人か」という問い、すなわち認証（authentication）です。一方、AIエージェント取引で追加で必要になるのは「この主体はこの取引を行う権限を与えられているか」という問い、つまり認可（authorization）です。
従来のECでは、この二つを分けて考える必要がほとんどありませんでした。カート画面を見て本人が最終確認ボタンを押す瞬間に、認証と認可が同時に成立していたからです。エージェント取引はこの同時性を壊します。権限を渡す瞬間と、実際に買う瞬間が、時間的にも文脈的にも離れる。MastercardのProduct Management担当Senior Vice PresidentであるJonathan Grossar氏が語ったVerifiable Intentの設計思想も、この分離を前提に組まれています。
17%の改善と、登録したのに使わない人たち
パスキー自体の効果については、実測値が出はじめています。Mastercardは昨年にpayment passkeyを展開し、これまでに1,000を超える加盟店が認証済み決済を受け取れる状態になったとしています。従来の認証手段と比べた認証成功率の改善は17%。Grossar氏は市場によって差はあるとしつつ、一度パスキーを作った消費者は使い続ける傾向があると述べています。
PayPalはさらに長く、12年から13年にわたってFIDOベースの認証を運用してきました。PayPal passkeysの導入以降、パスキー利用者のコンバージョン率は従来の認証手段の利用者を上回っており、Identity Product担当Senior DirectorのRakan Khalid氏は2026年2月の決算報告でもパスキーと生体認証が収益ドライバーとして言及されていると語っています。
ただし、この話には裏側があります。パスキー実装ベンダーのCorbadoがまとめたPayPalの公開値によれば、2026年5月時点で登録者は1億人を超え、対象ユーザーに対する登録率は48%に達している一方、実際のログインでパスキーが使われる比率は20%程度にとどまります。登録は進んでも利用は進まないという段差が、業界最大級の導入事例でも残っているわけです。認証成功率の改善幅だけを見て導入判断をすると、この段差を見落とします。
認可をどう運ぶか、四つの設計が並走している
では認可はどう証明されるのか。ここは仕様が乱立している領域で、FIDO Allianceは2026年4月にAgentic Authentication Technical Working Groupを設置し、GoogleのAP2とMastercardのVerifiable Intentを初期の寄贈物として受け取ったうえで標準化を進めると発表しました。作業部会はCVS Health・Google・OpenAIが共同議長を務め、検証可能な利用者指示、エージェント自体の認証、コマース向けの信頼できる委任の三領域を扱います。
Campbell氏が説明したAgent Payments Protocol（AP2）は、加盟店・銀行・決済ネットワークに対して「エージェントが利用者の代理として正確に動いており、購入の許可を得ている」ことを示すために設計されています。仕組みとしては、利用者の意図・確定したカート・決済の三段階をそれぞれW3Cの検証可能クレデンシャルとして署名し、鎖のようにつなぐ形を取ります。
Grossar氏が示したVerifiable Intentは、利用者の意図に対する「決定論的で再現不可能な証明」という言い方をしていました。第一層で本人確認を行って端末束縛の鍵を作り、第二層でエージェントに何を許すかを定義して許可加盟店の署名済みリストを含む制約を生成し、第三層で完了した取引をカートに紐づけて記録します。
| 方式 | 証明しようとしているもの | 加盟店側が受け取る形 | 現在地 |
|---|---|---|---|
| AP2（Google） | 利用者の意図と、確定したカートへの承認 | 意図・カート・決済の3段階の署名済みクレデンシャル | 2025年9月公開。FIDOの作業部会へ寄贈 |
| Verifiable Intent（Mastercard） | 購入理由そのものの、再現不可能な証跡 | 本人確認・権限制約・取引証跡の3層 | 2026年2月にパイロット開始。FIDOへ寄贈 |
| Agentic Token（Mastercard Agent Pay） | どのエージェントがどの範囲で決済してよいか | 加盟店・カテゴリ・金額・期間で制限したトークン | 2025年4月発表。2026年6月に機械間決済向けのAgent Pay for Machinesを追加 |
| Delegated Payment（ACP） | 決済手段の一回限りの使用権 | 金額・通貨・有効期限・加盟店IDで縛った単回トークンとリスクシグナル | 仕様公開済み |
四つを並べると、証明しようとしている対象が少しずつ違うことが分かります。AP2とVerifiable Intentは「利用者が何を許したか」を証明しようとし、Agentic TokenとDelegated Paymentは「この決済手段をどこまで使ってよいか」を縛ろうとしている。加盟店から見ると、前者は不正時の責任分界に効き、後者は被害額の上限に効きます。
攻撃側はすでに委任された資格情報を見ている
推進側の言い分だけで判断するのは危険です。VisaのPayment Ecosystem Risk and Controlチームは、エージェンティックコマースの脅威に関する分析で、アンダーグラウンドのコミュニティ投稿における「AI Agent」への言及が直前の半年間と比べて450%以上増加したと報告しています。同じ期間に悪意あるボット起点の取引は世界で25%、米国では40%増えました。
具体的な手口として挙げられているのが、正規に見えて自動チェックも通過する偽装ストアフロントです。エージェントが保存済みの資格情報で購入を完了した後、決済情報を収集して即座に不正利用する。この攻撃が厄介なのは、取引そのものは技術的にすべて正当に見えることです。認証は通っており、トークンは有効で、署名も揃っている。壊れているのは意図だけです。
Grossar氏自身、エージェント基盤が標準策定より速く進んでいることを認め、この先の作業を困難だと表現しました。1年後には基本的な標準ができていてほしい、というのが彼の希望的な見通しです。Campbell氏は3年かけて非公開で仕様を作るやり方では遅すぎるとして、限定的な実装を早く出して学ぶべきだと主張しました。裏を返せば、今動いている実装は学習途上の暫定形だという前提で扱う必要があります。
EC事業者が今の段階で決めておくこと
日本のEC事業者がすぐに標準を選ぶ必要はありません。決めておくべきなのは、決まったときに動ける状態を作ることです。
決済側では、契約しているPSPがどの委任方式に対応する予定かを確認しておくと、後の判断が速くなります。AP2系の署名済み証跡を受け取るのか、カードネットワークのトークン制約に寄るのか、ACPのような単回トークンを受けるのかで、加盟店側の実装量が変わります。あわせて、エージェント経由の取引をログ上で識別できるようにしておくと、不正が起きたときの切り分けが可能になります。
商品情報の側は、標準の行方に関係なく効きます。Campbell氏が指摘した「エージェントが自社の商品と条件を正確に提示しているか」という問題は、価格・在庫・返品条件・配送条件が機械可読で揃っていない限り、どの認可プロトコルを採用しても解決しません。認可の証明はエージェントの権限を担保するだけで、提示内容の正確さは担保しないからです。
なお、パネルでは加盟店側の実装コストや、認可証跡を検証しなかった場合の責任分界について具体的な取り決めは示されていません。FIDOの作業部会が扱う仕様の公開時期も未開示です。
まとめ
パスキーの議論が認証から認可へ移ったこと自体が、エージェント取引が実験段階を抜けつつあるサインです。ただし標準はまだ四つ並走しており、どれかに収束する保証もありません。
当面の見どころは、FIDOの作業部会がAP2とVerifiable Intentをどう統合するかと、Visaが示した偽装ストアフロント型の攻撃に業界がどう答えるかの二点です。EC事業者としては、認可の証明を待つ間も、自社の商品データがエージェントに正しく読まれる状態を作っておくのが確実な投資になります。
