今年の4月、私は『AIエージェントに財布を渡せますか』という連載を書いた。あのとき掘り下げたのは「渡し方」だった。人間の財布——クレジットカード——をエージェントに代理で使わせるとき、購入意図をどう証明し、責任の所在をどう固定するか。GoogleのAP2が用意した答えは、マンデートという暗号学的な委任状だった。
8月4日、この問いに対する答えが、まったく逆の側から届いた。Cloudflareが「Agents Week」の中核として発表したCloudflare Walletsは、人間の財布を渡す仕組みではない。エージェントに、エージェント自身の財布を発行する仕組みだ。そして発行者は、銀行でも、カード会社でも、決済スタートアップでもない。世界のWebサイトの約2割（計測手法により16〜25%と幅がある）が利用するとされるCDN事業者だ。
「渡せますか」という4月の問いは、「誰が発行しますか」という問いに変わった。今日はこの発表を解剖し、エージェント決済のレールが二手に分かれつつある構造と、財布の発行者が変わることの意味を考えてみたい。
エージェントは銀行口座を開けない
まず、Cloudflareが埋めた空白の正体から始める。
銀行口座の開設手続き——本人確認、KYC——は、口座の持ち主が人間か法人であることを前提に組まれている。運転免許証を持たず、登記もされず、明日には破棄されて別のインスタンスに置き換わるかもしれないソフトウェアは、この枠組みのどこにも入らない。クレジットカードの発行審査も同じだ。エージェントには与信の主体になる法的な足場がない。
だからこれまでのエージェント決済は、すべて「人間の決済手段を、いかに安全に又貸しするか」という形をとってきた。AP2のマンデートも、VisaのIntelligent CommerceもMastercardのAgent Payも、構図は共通している。財布の発行者は従来どおり銀行とカード会社のままで、エージェントはその財布に触る許可を、暗号学的な証拠つきで得る。既存のカード網という巨大なレールに、委任の配線を接ぎ木する発想だ。
Cloudflareの発想は逆だった。エージェントが既存の口座を開けないなら、口座に相当するものをHTTPの側に作ればいい。
Cloudflare Walletsの中身 — 財布・上限・顔
発表の中身を正確に見る。Cloudflare Walletsは2層構造をとる。人間であるアカウント所有者が持つのがAccount Walletで、ここに資金を入れ、必要なら引き出す。資金の供給はステーブルコインが（対象ユーザー向けに）予定されている。そしてAccount Walletの下に、エージェントごとのVirtual Walletをぶら下げる。エージェントはAPIキーでこの財布を操作し、与えられた権限の範囲でだけ支出できる。
Virtual Walletには3種類のガードレールが設定できる。総額の割り当て（allowance）、支払い先の許可リスト（allow list）、そして1回あたりの取引上限（maximum transaction size）だ。上限を超える支出をエージェントが必要とした場合は、人間の承認へエスカレーションされる。10ドルだけ入れた財布を渡せば、何が起きても損失は10ドルで止まる——という素朴だが強力な安全モデルが、財布そのものに組み込まれている。
図1：Cloudflare Walletsの2層構造。人間が資金を持つAccount Walletから、エージェントごとのVirtual Walletへ支出を委任する。割当・許可リスト・取引上限という3種のガードレールが財布そのものに埋め込まれ、超過時は人間の承認に戻る。
もうひとつの柱が身元だ。Walletsと同時に、Cloudflareはcloudflare.payドメイン上のハンドル——たとえばresearch.example.cloudflare.pay——の予約受付を開始した。エージェントが支払いに現れたとき、受け手はそのハンドルから「どの組織が所有するエージェントか」を確認できる。CEOのMatthew Princeはプレスリリースでこう言っている。「エージェントがあなたのドアに現れたとき、誰が送り込んだのかを知る必要がある。Cloudflareはエージェントに顔を——所有する人間や組織へのリンクを——与えることができる。信頼と説明責任と本物の商取引は、その後についてくる」。
財布と顔。つまりこれは決済機能の追加ではなく、エージェントという新しい経済主体への、口座と身分証の一括発行だ。現時点で提供が始まったのはハンドル予約のみで、財布本体の開放・入出金・Virtual Wallet発行は「今後数ヶ月」とされている。この時間差は覚えておいていい。実物より先に、名前空間の陣取りが始まっている。
なぜCDNなのか — 7月と8月で、決済ループが閉じた
「なぜCloudflareが」という問いには、直前の1ヶ月を並べると答えが見える。
7月1日、CloudflareはMonetization Gatewayを発表している。Cloudflareの背後にあるあらゆるリソース——Webページ、API、データセット、MCPツール——に、リクエスト単位の課金を設定できる仕組みだ。使われるのはx402。HTTPに30年近く前から予約されていながら使われてこなかったステータスコード402（Payment Required）を復活させ、「このリソースは0.01ドルです」という応答と、支払い証明つきの再リクエストで取引を成立させるプロトコルだ。Coinbaseが2025年5月に立ち上げ、現在はCoinbaseとCloudflareが設立したx402 Foundationが管理する（2025年9月に設立を発表し、2026年7月14日からはLinux Foundation傘下で正式運用が始まっている。発表時点の参加は40社）。2025年12月のV2でマルチチェーン対応とヘッダーの標準化が入り、立ち上げから累計1億件超の決済を処理したとされる。
つまり7月に売り手側（リソースに値札をつけて課金する側）が、8月に買い手側（エージェントが持つ財布）が揃った。決済はステーブルコインでサブセカンド決済、手数料はカード網の固定費が乗らないため、1セント未満のマイクロペイメントが経済的に成立する。さらにCloudflareは2025年9月に、自社発行のドル建てステーブルコインNET Dollarの計画も発表済みだ（現時点では「近日提供」のまま）。財布、値札、通貨、身分証——エージェント経済の決済ループを構成する部品が、すべて1社の中で閉じた。
そしてこのループは、カード網を一度も通らない。
図2：エージェント決済の二重レール。カードレール（上段）は人間の財布への委任を規格化して既存カード網に接続する。x402レール（下段）はエージェント自身に財布を発行し、ステーブルコインでカード網の外側を流れる。7月のMonetization Gateway（売り手側）と8月のWallets（買い手側）で、下段のループが1社の中で閉じた。
CDNという立地は、後から考えれば決済の一等地だった。エージェントの経済活動は、人間の買い物と違ってHTTPリクエストの形をしている。APIを叩く、データを取る、コンテンツを読む。その膨大なリクエストの通り道に、Cloudflareは最初から立っている。x402は決済をHTTPヘッダーに埋め込むプロトコルだから、HTTPを仲介する者がそのまま決済を仲介できる。銀行は口座に来た取引しか見えず、カード網は加盟店に来た取引しか見えないが、CDNはWebのトラフィックそのものの中にいる。
対照的な事実をひとつ添えておく。Walletsが発表された週、Visa、Mastercard、Stripe、PayPalといった決済側のプレイヤーからは、目立った新発表がなかった。カード陣営が沈黙していたわけではない——Visaは2025年内に「数百件のエージェント起点取引」のパイロットを重ね、Mastercardは2026年3月に欧州初のエンドツーエンドのエージェント取引を通している。だが、彼らの動きがすべて「既存レールへの接続」である一方で、Cloudflareはレールそのものをもう1本敷いた。この非対称が、8月4日の発表の構造的な重さだ。
委任状は、ついに財布の中に入った
ここからが、私がこの発表でいちばん重要だと思う論点だ。支出上限という機能は地味に見えるが、「委任状を誰が執行するか」という問いへの、新しい答えになっている。
『合鍵を渡すな、委任状を書け』で書いたとおり、エージェントへの権限委譲の正しい形は、ログインの丸渡しではなく、範囲を絞った委任状だ。だが委任状には、書くことと守らせることの間に距離がある。AP2のマンデートは精巧な委任状だが、その本領は事後の説明責任にある。「ユーザーは確かにこの購入を承認した」という暗号学的証拠を残し、事故のときに責任の所在を確定する。言うなれば公正証書だ。取引を止める力は、証書そのものにはない。
一方、Virtual Walletの支出上限は、事前の防止として働く。割り当てが10ドルなら、エージェントがどれほど巧妙に騙されても、11ドル目の支出はインフラが拒否する。公正証書ではなく、限度額つきの子供用交通系ICカードに近い。残高以上は、改札が開かない。
この違いが実際の事故で試されたのが、今年5月のGrok/Bankrbot事件だった。X上でエージェントに暗号資産の送金を指示できるBankrbotに対し、攻撃者がモールス符号でエンコードした指示を注入し、約17.5万ドル相当を流出させた（被害額は報道により15万〜20万ドルの幅がある。後に大半が返還されたが、それは攻撃者側の事情にすぎない）。このとき破られたガードレールは、モデルへの指示——つまりプロンプト層——にあった。セキュリティ側の総括は簡潔だ。ガードレールが間違った層にあった。システムプロンプトはガイダンスであって、執行ではない。
先日書いた『人間の承認は13.6%しか機能しない』と、実は同じ座標移動がここでも起きている。実行時の防御は、UIの承認ダイアログからモデル内の防御へ、そしてモデル防御からインフラの執行へと、層を下って沈んでいく。人間の注意力は騙され、モデルの自制も騙される。だが財布の残高は騙せない。お金という領域では、防御が沈んでいく先の最下層が、財布そのものだった。
図3：委任の執行が沈んでいく先。UI層の人間承認は確認疲労で破られ（検知率13.6%）、モデル層のプロンプトによる上限はエンコードされた注入で迂回された（Grok/Bankrbot事件）。Virtual Walletはその下のインフラ層で執行する。委任状が財布の中に埋め込まれたことで、「守らせる」が初めて構造的に成立する。
委任状モデルの言葉で言い直すと、こうなる。これまで委任状は、エージェントの外側の紙——プロンプト、ポリシー、契約——に書かれていて、守られるかどうかはエージェントの読解と自制に依存していた。Cloudflare Walletsは、委任状の主要条項（いくらまで・誰に・1回いくら）を財布そのものに刻んだ。委任状が、初めて自己執行的になった。
発行者が変わることの、値段
ここまで書くと、x402レールの全面勝利のように読めるかもしれない。そうではない。財布の発行者が銀行からCDNに変わることには、まだ値札のついていないコストがいくつもぶら下がっている。
第一に、消費者保護が消える。カードレールには、チャージバックという半世紀かけて整備された紛争解決の仕組みがある。ステーブルコインの送金は原則として取り消せない。エージェントが誤発注したとき、誰にどう申し立てるのか。x402レールにはまだその答えがない。Grok事件で資金が返還されたのは、仕組みが守ったからではなく、攻撃者が返したからだ。
第二に、規制の空白だ。米国では2025年のGENIUS法でステーブルコイン発行の連邦枠組みができ、OCCが規則策定を進めている段階にある。CDN事業者が財布を発行し、自社ステーブルコインの計画を持ち、決済を仲介するとき、それは規制上の何者なのか——送金業者なのか、発行者なのか、単なる技術提供者なのか。高頻度マイクロペイメントの税務処理も含め、答えの出ていない問いが積まれている。
第三に、これが私には最も重いのだが、集中リスクだ。Webサイトの約2割を預かる1社が、エージェントの身分証（cloudflare.pay）と財布（Wallets)と課金所（Monetization Gateway）と、ゆくゆくは通貨（NET Dollar）まで握る。銀行は免許と規制と競争の中で財布を発行してきた。CDNの財布には、まだそのどれもない。Cloudflareは過去に、自社の判断で特定サイトへのサービスを打ち切ったことが何度かある。同じ裁量が、将来はエージェントの経済的な生殺与奪に及ぶ。「エージェントに顔を与える」というPrinceの言葉は、裏返せば「顔を剥奪する権限を持つ」ということでもある。
だから正確な現状認識は、「第2のレールが実体化したが、そのレールの管理者はまだ誰にも監督されていない」だと思う。カードレールの重さ——手数料、遅さ、人間前提の設計——には理由があった。その一部は保護の対価だった。x402レールの軽さも、いまのところ保護を積んでいないことの軽さだ。
私たちは何をするか — 予約・値札・予算
実務に落とす。うちのような小さな会社と、その顧客にとって、8月4日の発表がもたらす宿題は3つある。
第一に、名前の予約。cloudflare.payのハンドルは予約受付が始まっており、財布本体より先に名前空間の陣取りが動いている。ドメイン名の歴史が教えるとおり、識別子の一等地は戻ってこない。自社名・ブランド名のハンドルは、使うかどうかの判断より先に、押さえるかどうかの判断が来る。コストが軽微なら、押さえておくのが合理的だ。
第二に、売り手側の設計。エージェンティックWebの文脈で私たちは「エージェントに読まれるサイト」「エージェントが操作できるサイト」を作ってきたが、その次は「エージェントに売れるサイト」だ。自社のどのリソース——API、データ、記事、診断ツール——に、いくらの値札を付けうるか。Monetization Gatewayのようなリクエスト単位の課金が普及すれば、「無料公開かペイウォールか」の二択だった収益設計に、「エージェントには従量で売る」という第3の選択肢が加わる。棚卸しは今からできる。
第三に、買い手側の予算設計。自社でエージェントを運用するなら、Virtual Walletの3点セット——割当・許可リスト・取引上限——は、Cloudflareを使うかどうかに関係なく、委任状のテンプレートとしてそのまま使える。エージェントに持たせる支出権限を「月いくら・どの相手に・1回いくらまで」の3行で書けるか。書けないなら、そのエージェントにはまだ財布を持たせるべきではない。
そして両にらみを忘れないこと。図2の二重レールは、少なくとも当面、用途で棲み分ける。人間向けの商取引——ECの買い物かご——はUCP/ACPとカード網が本線で、エージェント同士のAPI・データ取引はx402が本線になる。顧客のECサイトに必要なのは前者の対応であり、自社のAPIビジネスに効くのは後者だ。どちらか一方に張る局面では、まだない。
「渡せますか」から「誰が発行しますか」へ
4月の連載を書いたとき、私はエージェント決済を「人間の財布をどう安全に渡すか」という問題だと捉えていた。その枠組み自体は間違っていなかったが、視野が半分だった。渡すという動詞は、財布の発行者が変わらないことを前提にしている。
8月4日に起きたのは、前提のほうの更新だ。エージェントは銀行口座を開けない。その空白を、銀行が埋めるのでも、カード会社が埋めるのでもなく、HTTPの通り道に立つCDN事業者が埋めた。財布の発行とは、突き詰めれば信用の発行だ。銀行が人間の信用を発行してきたように、CDNがエージェントの信用を発行し始めた——それも、委任状を財布の中に埋め込むという、銀行がやってこなかった形で。
もちろん、Walletsはまだハンドル予約が始まっただけの、実体の薄い発表だ。数ヶ月後に開く財布が期待どおりのものかは分からないし、規制がこの構造をどう扱うかも分からない。それでも、「エージェントの財布は誰が発行するのか」という問いが立てられ、最初の答えを書いたのがCDNだったという事実は、もう動かない。
次にこのテーマを書くときは、たぶん「発行されたエージェントの財布を、誰が監督するのか」という問いになる。財布の話は、いつも最後は信用と監督の話になる。人間のお金が、ずっとそうだったように。
参照情報
Cloudflare Wallets: giving agents a way to pay（Cloudflare公式ブログ・2026-08-04） — Account Wallet / Virtual Walletの2層構造、割当・許可リスト・取引上限の3ガードレール、cloudflare.payハンドル予約開始、x402対応、ステーブルコイン資金供給予定の出典。
Cloudflare gives AI agents an identity and a wallet（Cloudflareプレスリリース・2026-08-04） — Matthew Princeの「エージェントに顔を与える」発言、Monetization Gatewayとの両面市場構成、提供タイムライン（予約は即日・財布本体は今後数ヶ月）の出典。
Announcing the Monetization Gateway（Cloudflare公式ブログ・2026-07-01） — x402によるリクエスト単位課金、Pay Per Crawlからの拡張、ステーブルコイン決済の出典。
Cloudflare Agents Week（2026-08-02〜） — Wallets発表を含む週間企画の全体像。
Introducing x402 V2（x402.org・2025-12） — x402 V2の変更点、累計1億件超の決済処理の出典。
Linux Foundation Announces Operational Launch of x402 Foundation（x402.org・2026-07-14） — x402 Foundation（Coinbase・Cloudflareが設立、2025年9月発表）のLinux Foundation傘下での正式運用開始、参加40社の出典。
NET Dollar™（Cloudflare公式） — Cloudflare自社ステーブルコイン計画の現況（2026-08時点で「近日提供」）の出典。
Agentic Payments In B2C Commerce: Where We Are Now（Forrester・2026年春） — カードレール側の現在地：UCP（2026年1月ローンチ）、OpenAI ACP、Visa Intelligent Commerce（2025年内に数百件のパイロット取引）、Mastercard Agent Pay（2026年3月に欧州初のエンドツーエンド取引）の出典。
Santander and Mastercard complete Europe's first live end-to-end payment executed by an AI agent（Mastercard・2026-03-02） — 欧州初のエンドツーエンドのエージェント取引の直接の一次発表。
Cloudflare Wallets Launch With Spending Caps That Block Prompt Injection at the Payment Layer（Tech Times・2026-08-04） — インフラ層執行とプロンプト層防御の対比、チャージバック不在・規制の空白（GENIUS法、FinCEN・IRS上の未整理論点）の出典。
xAI's Grok AI Loses $175K in Crypto Heist via Clever Prompt Injection（The Crypto Times・2026-05-04） / Encoded Prompt Injection: Why LLM Guardrails Are at the Wrong Layer（Security Boulevard・2026-05） — Grok/Bankrbot事件（モールス符号注入・約17.5万ドル流出・後に返還）と「ガードレールの層」論の出典。
関連（unType）：AIエージェントに財布を渡せますか 第3回：完全スタック ― NLWeb・WebMCP・UCP・AP2の全体像
関連（unType）：合鍵を渡すな、委任状を書け — AIエージェントに自社の業務を任せる前に
関連（unType）：人間の承認は13.6%しか機能しない — 承認ダイアログの静かな死と、委任のその先
関連（unType）：AIが買い物をする時代 ― 第3回：ステーブルコインとエージェント決済の新世界
この記事をシェアする
