CRYPTO AI×クリプト

【PayBox】AIに鍵を渡さないまま「払う」を任せる

MoonPayの新しい保管庫は、エージェント決済の主導権を消費者側に置こうとしています。ただし公式ドキュメントに、プロンプトインジェクションの話は一言も出てきません。

mitsui

2026年8月4日／ 9分

おはようございます。
今日は「PayBox」をリサーチしました。

TL;DR

PayBoxは MoonPay が2026年7月29日に公開した、AIエージェント向けの非カストディアル決済保管庫（non-custodial payment vault）です。ChatGPTやClaudeにコネクタを1つ追加するだけで、トークン取引・ブリッジ・DeFi・ネット決済が会話から実行できます。公式は自らを「決済処理業者でもカストディアンでもなく、認証情報のコントロールプレーン」と定義しています。
「AIに決済させる」自体は各社が同じ方向に走っていますが、PayBoxの新しさは非カストディアル × リモートMCP × 消費者直結という組み合わせにあります。加盟店側の規格でも認可の標準でもなく、x402の買い手側クライアントという珍しい座標です。
ただしプロンプトインジェクションによる実損失はすでに出ています（2026年5月・Bankr、約$175,000相当）。公式ドキュメントはこの論点に触れておらず、「非カストディアル」という自己申告も規制上そのまま通る保証はありません。

概要｜PayBoxとは？

PayBoxは、AIエージェントに「支払う権限」だけを貸し出すための保管庫です。ユーザーはウォレットやAPIキーを預け、AIアシスタント側にはコネクタを1つ追加します。あとは「このトークンを買って」「このAPIに払って」と会話で頼めば、エージェントが取引を組み立て、ユーザーがパスキーで承認した瞬間に実行されます。発表は2026年7月29日、paybox.sh ですでに稼働しています。

重要なのは、PayBox自身が資金の通り道ではないと明言している点です。

"PayBox is a control plane for credentials, not a payment processor or custodian."

資金移動は資金源と相手方のあいだで直接起き、PayBoxを経由しません。MoonPayの既存アカウントも要らないスタンドアロン製品です。

解決する課題

AIエージェントに決済させようとすると、結局どこかで秘密鍵かカード番号そのものを渡すことになる
一度渡した権限を、あとから「今回だけ」「この金額まで」と絞り込めない
エージェントが申請した内容と実際に実行される内容が同じである保証がない
個人が使える窓口がなく、開発者向けSDKか事業者向けの決済基盤しかない

プロダクトの柱

1. 預ける認証情報は3種類、権限の強さがまるで違う

Wallets: MPC（Multi-Party Computation／秘密分散による多者計算）で管理され、秘密鍵・シードフレーズ・MPCシェアはエージェントに返りません。返るのは署名結果とtx hashだけです。
Secrets: APIキー・パスワード・KYC書類など。こちらは生の値がそのままエージェントに渡ります。公式も「共有しても構わないと思えるものだけ保存してください」と書いています。
Payment cards: 公式ヘルプ上は "Coming in a future release"、つまり未実装です。

鍵の保護は原文で "Wallet keys are protected by threshold cryptography (MPC) and secure enclaves (TEEs)." と説明されており、MoonPayもAIエージェントも単独では完全な秘密鍵にアクセスできず、署名もできない構造です。

2. 承認はパスキー、しかも1アクション限り

原文は "Every passkey approval is scoped to a single action and expires after use, so a captured or replayed approval can't be run again or expanded into broader access."。承認は1回の行為にだけ紐づき、使えば失効します。さらに、エージェントが申請後に 金額 / 加盟店 / 送金先 / コントラクト / 関数 / シークレット名 のどれか1つでも変えたら、新しい承認リクエストが必須です。権限そのものの変更も必ず人間のパスキー承認を要します。

モードは2つ。Always Ask（毎回パスキー）と Autonomous（ユーザーが決めた上限内でAIが自律実行）です。

3. 「コネクタ」の正体はリモートMCPサーバー

独自規格ではありません。エンドポイントは https://api.paybox.sh/mcp、認証は OAuth 2.1 + PKCE です。公開ツールは request_payment / request_wallet_sign / request_swap / request_secret のほか、x402系の discover_services / pay_x402 / use_service まで揃っています。対応チェーンはローンチ時点で Solana ＋ EVM互換7本（Ethereum, Hyperliquid, Tempo, Base, Robinhood Chain, Arbitrum, Polygon）で少なくとも計8（原文は "including" 表記）。提供地域は制裁対象国を除きグローバルです。

カード決済だけ、話が食い違っている

プレスリリース（7/29）は「Visaのagentic commerce protocol経由でカード決済ができる」をローンチ機能として掲げています。ところが公式ヘルプ（8/2時点）では Payment cards は "Coming in a future release"。この2つは両立しません。ローンチ済みの連携先も AgentRes.dev（レストラン予約）、Purch.xyz（買い物）、BRIJ.fi（航空券）と、いずれもx402経由で払える先です。なお手数料は、PayBox固有の体系が公式のどこにも書かれていません（＝非開示）。

変遷｜エージェント決済は、誰の側から作られてきたか

オンランプ企業が、なぜ決済保管庫を出せたのか

MoonPayは2019年に Ivan Soto-Wright（CEO）と Victor Faramond が創業しました。Soto-Wright は英国の自動貯蓄・投資アプリ Saveable（のちにPlum Fintechが買収）のCEO兼共同創業者です。本業はずっと法定通貨と暗号資産のオン/オフランプ、つまりカードやApple Payをウォレットやdappsに埋め込むインフラでした。現在は3,000万人超の顧客、180カ国、法人顧客1,700社超。この法人数は3か月前（4月29日のリリース）では「500社超」で、直近の伸びが急です。

PayBoxを支えるMPC＋TEEの中身は自前ではありません。2026年4月29日のSodot買収（条件非開示）で手に入れたものです。Sodotの基盤は$500億超の取引と1,000万超のウォレットを保護してきた実績があります。PayBoxは新規開発というより、買ってきた鍵管理基盤に会話インターフェースを載せた製品と見るのが正確です。

資本面では2021年11月に$555Mを調達し評価額$3.4B。2022年末にTiger Globalが内部評価を$2.8Bへ引き下げ、2025年12月にはICEが約$5Bでの出資を協議中とBloombergが報じました（協議段階でクローズは未確認）。規制面では2025年6月にNYDFSのBitLicenseと送金業免許、11月25日には MoonPay Trust Company が限定目的信託免許を取得しています。カストディ認可を持つ会社が、非カストディアル製品を出したという構図です。

エージェント決済は3層に分かれて積み上がってきた

x402（実行・決済層）: Coinbase発。HTTP 402 Payment Required を復活させ、エージェントがアカウントもサブスクもなしにAPIやサービスへ直接支払える規格です。V1が2025年5月、V2が2025年12月11日。2026年7月14日にLinux Foundation傘下の x402 Foundation が正式稼働し、参加40社。MoonPayはPremier memberで、AWS・Amex・Circle・Google・Mastercard・Stripe・Visaらと並んでいます。
ACP（チェックアウト層）: OpenAI＋Stripeが2025年9月29日に公開。ただし ChatGPT の Instant Checkout は2026年3月に撤退しました（※正確な停止日は要確認）。Shopifyの数百万加盟店のうち稼働していたのは数十社にも満たず、Walmartではチャット内決済のコンバージョンがクリックスルー比で約3分の1でした。
AP2（認可・信頼層）: Googleが2025年9月16日に発表、60社超が参加。暗号署名された「マンデート（委任状）」でエージェントの権限を証明する仕組みで、2026年4月28日に FIDO Alliance へ寄贈されています。

PayBoxはこのどれでもありません。加盟店側の規格（ACP）でも認可の標準（AP2）でもなく、x402の買い手側クライアントという位置です。近い先行例は Base MCP（2026年5月26日、リモートMCP＋OAuth 2.1＋非カストディアル）で、設計思想はほぼ同じ。一方 Robinhood の Agentic Credit Card（5月27日）はエージェントにカード番号そのものを渡す方式で、規約には "You are solely responsible for each transaction" と書かれています。Coinbaseは Payments MCP / Agentic Wallets / Coinbase for Agents に分散し、リモートMCP版はカストディアル。クリプト外では Natural（7月20日にSeries A $30M）がFDIC保険付きウォレットで同じ市場を狙っています。

数字も見ておきます。x402.org公式の直近30日は 7,541万件 / $2,424万（平均約$0.32）。ところが Visa×Artemisの共同レポート（2026年7月14日） は、wash取引やテストを除いた「調整後」として2025年5月以降 $1,500万 / 1億960万件 を出しています。Artemisは観測取引の約半分が人工的な活動だとしており、件数は多いのに金額が伸びない構図です。

考察｜「非カストディアル」は主張であって、確定した地位ではない

PayBoxの設計は、いま出ているエージェント決済プロダクトのなかでは素直によくできています。ただしその良さはエージェントが正しい意図で動いている前提の上に成り立っていて、その前提はすでに破られています。

強み

権限の粒度が細かい: 承認が1アクション限りで、金額・宛先・関数のどれか1つでも変われば再承認。「一度渡したら終わり」型の委譲とは別物です。
秘密鍵をどこにも集めない: MPC＋TEEにより、MoonPay単独でも署名できません。Sodot買収で実績のある基盤をそのまま使えたのが効いています。
消費者が直接使える: SDKでも加盟店向け規格でもなく、コネクタ1つで個人が使えます。x402の標準に乗っているぶん横にも広がりやすい設計です。

弱み・リスク

1. プロンプトインジェクションで、すでに実損失が出ている

2026年5月4日、Xのリプライにモールス信号を仕込んで Grok に復号・投稿させ、それを @bankrbot が実行命令と解釈した事件がありました。Base上で約$175,000相当が攻撃者へ送金されています（うち8〜9割は後に返還されました）。SlowMistの結論は「二次確認機構も送金上限もなかった」で、第一提言は上限設定ではなく自然言語出力と金融アクションの分離でした。Unit 42 も2026年3月の報告で、間接プロンプトインジェクションは「もはや理論ではなく実際に武器化されている」と書いています。x402自体を検証した研究（arXiv:2607.19545、7月21日）は4種の攻撃を提示し、主要15 facilitator のすべてに違反を発見しました。

PayBoxの再承認トリガーは、この種の攻撃にかなり効きます。宛先を書き換えたら人間の承認が要るからです。しかしPayBoxの公式ドキュメントはプロンプトインジェクションに一言も触れていません。Autonomousモードなら上限の範囲は人間の目を通らないので、攻撃者が上限内で刻めばよいという話も残ります。

2. 誤作動したとき、誰が責任を負うのかが決まっていない

Goodwinの分析（6月11日）によれば、米国のReg E では「消費者が資格情報を渡した時点で、エージェントが意図を超えて動いても『承認済み』と推定される」構造です。MoonPay自身のFAQも救済経路の不在を認めていて、カード紛争は「カード発行会社へ」、ウォレット取引は「非カストディアルウォレットと同じルール。ブロードキャスト後は取り消し不能」と書かれています。

3. 「非カストディアル」は自己申告である

州の資金移動業法（MTMA）における control の定義は "the power to execute unilaterally, or prevent indefinitely, a virtual currency transaction" です。MPCで「MoonPayのシェアがなければ署名できない」設計は、裏返せば取引を無期限に阻止できるということでもあり、機能的なコントロールに当たり得ます。MoonPay自身、テキサス州から Consent Order 2024-031 で無免許送金業と認定され$30,516.30の制裁金を受けた前例があり、同じグループはNYの信託免許でカストディ認可も持っています。非カストディアルという位置づけは、まだ当局に検証されていない主張です。

4. Secretsは生の値が渡る／そもそも需要が未証明

「エージェントは生のクレデンシャルに触れない」という一般化は誤りです。Wallets型には当てはまりますが、Secrets型は生の値がそのまま渡ります。加えて需要が未証明で、x402取引の約半分は人工的な活動、ACPのInstant Checkoutは撤退。「インフラは揃ったが買い手がいない」構図が続いています。

個人的な見解

PayBoxで面白いのは、技術そのものより設計の向きです。ACPもAP2も「加盟店と発行体の側からエージェントを迎え入れる」規格でしたが、PayBoxは逆に消費者の側から権限を切り出して貸す方向で作られています。x402が標準化団体に移った直後にこの位置を取ったのは筋のいい判断です。

一方で、この製品が効くかどうかは公式ドキュメントが触れていない領域で決まります。要は、鍵を守る話とエージェントを守る話は別問題だということです。MPC＋TEEは鍵の漏洩を防ぎますが、正規の鍵で正規の手順を踏んだ不正な取引は止めません。Bankrの$175,000はまさにそれでした。

見どころは2つ。プロンプトインジェクション対策を明文化してくるか、そしてカード決済が実際にいつ出るか（PRとヘルプの食い違いは、Visa側の連携が未完成であることを示唆しています）。どちらも数か月で答えが出るはずなので、そこで評価し直したいところです。