Платит не человек, а агент: как перестраивают антифрод

Осенью 2024 — весной 2025 года платёжная индустрия впервые всерьёз столкнулась с ситуацией, к которой антифрод не готовили: покупку оформляет не человек, а программный агент, действующий от его имени. Visa в конце апреля 2025 года анонсировала инициативу Visa Intelligent Commerce для платежей, инициированных ИИ-агентами; Mastercard в те же дни представила Agent Pay. Обе компании прямо признают проблему: системы фрод-мониторинга десятилетиями учились считать «нечеловеческое» поведение — сотни запросов в минуту, отсутствие движений мыши, идеально ровные интервалы — признаком атаки. Теперь ровно такое поведение может быть легитимной покупкой.

Цена вопроса не абстрактная. Ложное срабатывание антифрода — это отклонённая транзакция и потерянный клиент; пропуск реального мошенничества — это chargeback и убыток для продавца или банка. С массовым выходом агентов оба показателя рискуют вырасти одновременно, если правила скоринга оставить прежними.

Что именно сломалось

Классический скоринг платежа опирается на набор сигналов: устройство, геолокация, история карты, поведенческая биометрия, скорость ввода данных. Значительная часть этих сигналов у агента либо отсутствует, либо выглядит подозрительно по старым меркам.

• Поведенческая биометрия обнуляется. Нет курсора, нет тайминга нажатий, нет привычного «человеческого шума» при вводе данных карты.
• Устройство и IP размываются. Агент часто исполняется в облаке, а не на телефоне владельца карты — и адрес дата-центра исторически считался красным флагом.
• Скорость и объём. Агент может проверить десять магазинов и оформить заказ за секунды. По старым правилам это паттерн карточного тестирования (card testing).
• Согласие теряется по дороге. Продавец не всегда может отличить «пользователь поручил агенту купить именно это» от «агент действует за пределами полномочий».

Что предлагают платёжные системы

Идея, к которой пришли и Visa, и Mastercard, в основе одна: агента нужно не маскировать под человека, а наоборот — сделать его видимым и верифицируемым. Вместо того чтобы гадать «человек ли это», система должна знать, что это конкретный агент, которому конкретный держатель карты выдал конкретные полномочия.

Антифрод будущего проверяет не «похоже ли это на человека», а «уполномочен ли этот агент на эту покупку в этих пределах». Скрытность бота перестаёт быть уликой — уликой становится отсутствие мандата.

Технически это строится на нескольких элементах:

• Идентичность агента. Агент получает собственные верифицируемые учётные данные, привязанные к пользователю, — по сути токенизированный мандат^*, а не «голый» номер карты.
• Границы полномочий. Лимит суммы, категории продавцов, срок действия. Покупка вне рамок отклоняется независимо от того, «нормально» ли она выглядит.
• Сигнал о происхождении транзакции. Продавцу и эмитенту передаётся признак «инициировано агентом», чтобы скоринг применял отдельный набор правил, а не общечеловеческий.

Stripe со своей стороны в 2025 году выкатила инструменты для агентских платежей и отдельную платёжную модель под LLM-агентов, а также обучила собственную foundation-модель для фрод-детекции на платёжных данных. Логика та же: отделить трафик агентов в отдельный класс и скорить его по своим признакам, а не выбраковывать как аномалию.

Как меняется сам скоринг

Для агентских платежей вес сигналов перераспределяется. Поведенческая биометрия теряет смысл, зато растёт значимость криптографической проверки мандата, репутации агента (как часто его транзакции оспаривают), соответствия покупки заданным лимитам и связки «этот агент — этот пользователь — это устройство инициации».

Сравнение подходов

Важно не переоценивать готовность: на весну–лето 2025 года большинство анонсов — это рамки, пилоты и SDK для разработчиков, а не повсеместно работающий стандарт на кассе любого магазина. Конкретные сроки массового развёртывания у каждой компании свои, и их стоит сверять на официальных страницах.

Кому это пригодится, а кому нет

Пригодится:

• Маркетплейсам и ритейлу с повторяющимися покупками — подписки, расходники, продуктовые корзины, — где агент реально может закрывать рутину в рамках лимита.
• Платёжным провайдерам и эмитентам, которым выгоднее пропустить легитимную агентскую покупку, чем терять клиента на ложном отказе.
• Разработчикам AI-агентов, которым нужен способ платить, не прося пользователя каждый раз вводить карту вручную.

Скорее не пригодится или преждевременно:

• Разовым дорогим покупкам — автомобиль, недвижимость, крупная электроника, — где ручное подтверждение человеком остаётся нормой и по здравому смыслу, и по риску.
• Небольшим продавцам без интеграции с новыми протоколами: пока эквайер и платёжная система не поддерживают агентский сигнал, магазин будет видеть агентский трафик как обычный подозрительный.
• Юрисдикциям и банкам, где регулирование сильной аутентификации клиента ещё не адаптировано под «клиент — это агент».

Открытые риски

Новая модель переносит точку атаки. Если раньше мошенник крал данные карты, то теперь ценнее скомпрометировать сам мандат агента или подменить инструкцию пользователя (prompt injection на уровне заказа). Отдельный вопрос — как оспаривать покупку: если агент купил не то, кто виноват — пользователь, разработчик агента или продавец. Пока единого ответа на уровне правил chargeback нет, и именно здесь развернётся основная работа ближайших лет.

^* Токенизированный мандат — цифровое разрешение, в котором вместо реквизитов карты хранится ограниченный по сумме, сроку и категориям токен, привязанный к конкретному агенту и пользователю. Утечка такого токена наносит меньше вреда, чем утечка номера карты.