FIDO Alliance, Google и Mastercard создают стандарт для AI-агентов в онлайн-шопинге

AI-агенты, которые совершают покупки вместо вас, выходят из стадии концепта. Вопрос уже не «будут ли», а «насколько безопасно» — и именно этим вопросом занялись FIDO Alliance, Google и Mastercard.

Почему это стало срочным Автономный шопинг — уже не эксперимент.

OpenAI запустила Operator: агента, который управляет браузером в реальном времени, ищет товары, выбирает нужные позиции и нажимает «Оплатить» без участия человека. Google представила Agent Mode в Chrome, Anthropic тестирует Computer Use, десятки стартапов встраивают аналогичные функции в поиск и браузеры. Проблема в том, что единого стандарта аутентификации AI-агентов при транзакциях не существует.

Каждая компания решает этот вопрос самостоятельно — или вовсе игнорирует. Пока агентный шопинг остаётся нишевой функцией, риски управляемы. Когда эта возможность появится в каждом смартфоне, цена несогласованности ляжет на пользователей.

Без общего протокола открываются очевидные дыры: Агент совершает покупки без явного согласия пользователя Злоумышленник перехватывает сессию агента и проводит несанкционированные транзакции Агент попадает на фишинговый магазин и передаёт реквизиты карты Несколько конкурирующих агентов дублируют один и тот же заказ * Отсутствие бюджетных лимитов приводит к непредвиденным расходам ## Кто взял задачу на себя FIDO Alliance — некоммерческая организация, создавшая стандарты passkey и беспарольной аутентификации, которые сегодня поддерживают Apple, Google, Microsoft и большинство крупных банков, — объявила о партнёрстве с Google и Mastercard. Цель: разработать открытый стандарт аутентификации AI-агентов при совершении платёжных операций — протокол, который свяжет идентификацию агента, согласие пользователя и платёжную инфраструктуру в единую безопасную цепочку. Это не первый раз, когда FIDO Alliance берётся за масштабную задачу.

Несколько лет назад SMS-коды казались неотъемлемой частью онлайн-банкинга. Сегодня passkey вытесняют их на всех крупных платформах. Именно партнёрство с Apple, Google и Microsoft превратило passkey из академического проекта в реальное изменение рынка — без участия инфраструктурных игроков такого уровня любой стандарт остаётся рекомендацией на бумаге.

Google контролирует Chrome и Android — через эти платформы проходит большинство онлайн-покупок в мире. Mastercard управляет одной из крупнейших платёжных сетей, обрабатывающей миллиарды операций ежегодно. Вместе они закрывают всю цепочку: аутентификация → браузер → транзакция.

Как может работать защита

Конкретные спецификации ещё в разработке, но архитектурная логика понятна по предыдущим стандартам FIDO Alliance: открытый протокол, доступный любому разработчику, а не проприетарное решение одной корпорации. Вероятные ключевые элементы: Делегированные токены — агент получает ограниченный одноразовый ключ, а не постоянный доступ к реквизитам карты Контекстная верификация — платёжная система подтверждает, что операцию инициирует авторизованный агент в рамках заранее согласованных параметров Явные лимиты — пользователь устанавливает бюджет, разрешённые магазины и категории товаров Аудит-лог — каждое действие агента фиксируется и остаётся доступным для проверки Если стандарт примут крупные платформы и платёжные сети, разработчикам агентов придётся его поддерживать — именно так работает инфраструктурная стандартизация: правила устанавливает тот, кто контролирует инфраструктуру.

Что это значит

Гонка за автономными AI-агентами идёт полным ходом, и индустрия наконец признаёт: скорость внедрения без стандартов безопасности создаёт реальные риски для пользователей. Инициатива FIDO Alliance, Google и Mastercard — попытка установить правила прежде, чем агентные транзакции станут массовыми и дорогостоящими. Если стандарты приживутся, поручить агенту заказать продукты или купить авиабилет окажется безопаснее, чем вводить данные карты вручную на незнакомом сайте.