AIエージェントに財布を渡す日 ― 承認付き"買い物エージェント"を作って実演

Transcript

1. AI エージェントに財布を渡す日 承認付き「買い物エージェント」を作って実演 Qiita Tech Festa Day 2026 · 2026.7.25 山下 祐樹
2. 自己紹介 山下 祐樹(yama3133) AWS Community Builder (AI Engineering) 2026 Japan All AWS Certifications Engineers
3. 決済まで全部やる 財布 を、渡す。 HUMAN 人間 財布を渡す AI AGENT エージェント 自律的に実行 PAYMENT 自動決済完了 人間が何もしなくていい。そんな世界が、もう来ている。
4. 2026 年、何が変わったか 01 Amazon Bedrock AgentCore に決済機能が登場 AgentCore Payments ̶ エージェントが自律的に支払いを実行できる新機能 悲報：東京にはまだきてない 02 Coinbase ・ Stripe と連携、 x402 プロトコルで自動課金 有料 API ・ MCP サーバーへの支払いをエージェントが自動で処理 03 エージェントが「お金を払って」サービスを使う時代へ 人間の介在なしに、エージェントが自律的に外部サービスを購入・利用できる
5. ちなみに X４０２とは？ 長年使われてなかったHTTPステータスコード 「４０２ Payment Required」 を再利用したもの サーバーが「402」のレスポンスを返すと →クライアントが自動で支払いを行い、 確認後にコンテンツやデータが返却される
6. 今日話すこと： 2 つのモード 自律モード vs 承認モード MODE I MODE II 自律モード Autonomous Mode 承認モード ガードレール： Spending Limit のみ ガードレール： Spending Limit ＋ 承認ゲート 上限金額の範囲内であれば エージェントが自律的に決済を完了 高リスクな購入で処理が一時停止 人間が承認してから決済を再開 デモ ①② デモ ③④ 商品検索 → 自律決済 → 完了通知 速くて楽、でも「何でも通る」リスクも 高額購入 → 一時停止 → 承認 → 再開 安全性と追跡可能性を両立 Approval Mode リスクに応じて使い分ける ̶ それが安全なエージェント設計の第一歩
7. 自律モード： spending limit だけで動く エージェントが自律的に決済するフロー ① Agent ② 有料 API / MCP ③ 決済完了 🤖 🛒 ✅ 買い物エージェント 商品データ・決済 API 自律決済・完了通知 ユーザーの指示を受け取り 商品を検索・選定する x402 プロトコルで 自動課金リクエストを受信 人間の承認なしに 決済が自動完了する spending limit: ¥5,000 x402 Protocol (Coinbase / Stripe) 上限内 → 即時実行 ガードレール：上限のみ Amazon Bedrock AgentCore payments ユーザーへ結果を返却 上限内であれば人間の介入なし ̶ 速くて便利、しかし「何でも通る」リスクも
8. 自律モード デモ① ̶ 商品検索から決済まで コード実行 → 自律決済の流れ agent̲shopping.py Terminal Output # spending limit を設定 spending_limit = 5000 # 上限 ¥5,000 $ python agent_shopping.py currency = "JPY" if amount <= spending_limit: execute_payment() # x402 プロトコル経由 # (Coinbase / Stripe) # 上限を超えたら実行しない else: raise SpendingLimitExceeded() [Agent] 商品を検索中 ... → "ワイヤレスイヤホン" を検索 → 3 件の候補を発見 [Agent] 最適な商品を選定 : 商品 : TrueSound Pro X1 価格 : ¥2,980 [Payment] spending limit 確認中 ... 上限 : ¥5,000 / 金額 : ¥2,980 ✓ [Payment] x402 で決済中 ... [Payment] ✓ 決済完了 txn_abc123 ※ イメージ図（自律モードの概念を表すシミュレーション）
9. 自律モード デモ② ̶ 速くて楽、でも怖い 決済完了の結果と、自律モードの限界 決済完了レシート 自律モードの特性 Status: ✓ COMPLETED Time: 2026-07-25 14:32:07 メリット Item: TrueSound Pro X1 Amount: ¥2,980 Limit: ¥5,000 Used: ¥2,980 (59.6%) Remain: ¥2,020 人間の介入なし → 即時実行・高速 シンプルな設定（上限金額のみ） 繰り返し購入・定型タスクに最適 リスク Provider: Coinbase (x402) TxID: txn_abc123def456 上限内なら何でも通る → 不要な購入・意図しない課金のリスク Human approval: NOT REQUIRED 高額・不可逆な取引には不向き 監査ログがないと後追いが困難 では、どこまで自動化していいのか？
10. QUESTION どこまで自動化していいのか？ エージェントが自律的に決済できる時代、判断の軸が必要だ。
11. 判断の 3 軸 不可逆性 × 影響範囲 × 金額 ̶ この 3 軸でリスクを分類する I II 不可逆性 影響範囲 Irreversibility 取り消し可能 III 金額 Blast Radius 取り消し不可 例 自分のみ Transaction Amount 顧客・外部 例 少額 高額 例 情報検索・要約 外部 API 決済 個人タスク 顧客への通知 $1 未満 $100 以上 ← 低リスク 高リスク → ← 低リスク 高リスク → ← 低リスク 高リスク → 一度実行したら元に戻せない操作 ほど、人間の確認が必要。決済・ 送信・削除は特に注意。 影響が自分だけなら許容範囲が広 い。チームや顧客に及ぶほど、承 認の重みが増す。 3 軸すべてが高い → 承認ゲート必須 spending limit で自動ガードレー ルを設定。上限を超える取引は承 認ゲートへ。 3 軸すべてが低い → エージェントに委任可
12. 承認モードの仕組み AgentCore Gateway ̶ MCP 承認ゲート ① エージェント ② 一時停止 ③ 人間が判断 ④ 処理再開 ⑤ 決済完了 高リスク購入 を検知 elicitation pause 承認 / 拒否 resume 安全に完了 金額・不可逆性 影響範囲が 閾値を超過 MCP 承認ゲートが 処理を中断し 人間に委ねる 通知を受け取り 内容を確認して 意思決定する 承認されれば エージェントが 処理を再開 人間の確認を経た 安全な決済が 実行される 1 2 3 4 5 人間が介在するポイントを設けることで、高リスクな決済を安全にコントロールできる
13. 承認モード デモ① 楽天で買い物を依頼 ̶ 処理が一時停止し、人間に承認を求める PAUSED wallet-agent — approval request エージェントが一時停止しました 楽天市場で商品を検索・選定。 購入前に必ず、 人間の承認が必要です。 購入内容 モバイルバッテリー 金額 ¥2,340 楽天市場 商品検索 評価 ★5.0 / 3000円以内 承認する 拒否する $ python agent.py &gt; あなた: 3000円以内でモバイルバッテリーを探して買っておいて &gt; 楽天市場でモバイルバッテリーを検索します！ &gt; 5件の候補から最有力を選定 &gt; 購入承認をお願いします APPROVAL REQUIRED tool: request_purchase_approval item: "モバイルバッテリー 5000mAh Qi対応" amount: 2340JPY reason: human_approval_required status: WAITING_FOR_HUMAN_APPROVAL Approve? [y/N]: _ > Agent is waiting for your decision... elicitation pause ̶ エージェントは人間の判断を待ち、自律的に決済を実行しない
14. 承認モード デモ② 承認後 ̶ 処理が再開し、決済ページが発行される APPROVE D wallet-agent — checkout link issued 決済リンク発行完了 人間の承認を受け、エージェントが 処理を再開。決済リンクを発行しま した。 購入内容 モバイルバッテリー 決済金額 ¥2,340 承認者 Human (manual approval) Approval ID cecce9f0-21a4-4f2d... &gt; 購入承認をお願いします Approve? [y/N]: y &gt; Approval received. Resuming... &gt; Stripe Checkout の決済URLを発行します &gt; 決済ページ発行完了: ¥2,340 CHECKOUT LINK status: READY_FOR_PAYMENT item: "モバイルバッテリー 5000mAh Qi対応" amount: 2340JPY approved_by: human checkout_url: checkout.stripe.com/c/pay/cs_test_... timestamp: 2026-07-25T10:42:17Z audit_log: approval_gate_passed &gt; Done. 決済ページのURLをユーザーに送信しました。 承認ゲートを通過した購入は決済ページの発行まで自動化 ̶ 安全性と追跡可能性を両立
15. 設計パターン： 2 つのガードレール 自律モード 承認モード ① エージェントが商品を選択・注文判断 ① エージェントが高リスク購入を検知 ② Spending Limit チェック（自動ガードレール） ② Elicitation Pause（MCP Gateway） ③ 上限内 → 自動決済（x402 / Stripe） ③ 人間が承認 / 却下 ④ 完了通知・ログ記録 ガードレール： Spending Limit のみ + ④ Resume → 決済 or キャンセル ガードレール： Spending Limit ＋ 承認ゲート リスクに応じて「自律」と「承認」を使い分ける ̶ それが安全なエージェント設計の型
16. 明日から使える：次の一歩 1 Amazon Bedrock AgentCore のドキュメントを読む 2 Spending Limit を設定したサンドボックスで試す 3 高リスクな操作に Elicitation Pause を組み込む AgentCore payments / Gateway の公式ドキュメントで全体像を把握する 小さな上限（例： $1）を設定し、自律決済の動作を安全に確認する 不可逆・高額・広範囲な操作を検知したら pause → 人間承認 → resume のフローを実装する エージェントに財布を渡す前に、まずガードレールを設計する Spending Limit（自動）＋ 承認ゲート（人間）̶ この 2 つが安全なエージェントの基盤
17. AI エージェントに財布を渡す日 承認付き買い物エージェントで学ぶ、安全な自律決済の設計パターン ご清聴ありがとうございました