AIエージェントに「出張に合うホテルを予約して」と頼めても、最後にカード番号を丸ごと預けるとなれば話は変わる。番号を隠すだけなら既存のネットワークトークンで対応できるが、AIには「誰の代理で、どの店に、いくらまで支払ってよいか」も伝えなければならない。Visaが2026年6月10日に発表したOpenAIとの提携は、OpenAIのエージェント体験をVisaのトークン化と承認基盤へ接続し、この条件付きの支払い権限を扱う計画だ。Agentic tokenをカードの別名ではなく、制限された代理権として捉えると、AI決済の安全性をどこで確かめるべきかが見えてくる。
カードのコピーではなく、条件付きの代理権
クレジットカードやデビットカードの16桁の番号は、Primary Account Number（PAN）と呼ばれる。通常のネットワークトークンはPANを別の番号へ置き換え、決済ネットワークの内側で元の口座と対応付ける。加盟店やアプリがPANを保存せずに決済でき、漏えいした値を別の場所で使いにくくする仕組みだ。
トークン化そのものはAI以前からある。スマートフォンのウォレットでは、同じカードを登録しても端末ごとに異なるトークンを発行できる。Visaの開発者資料によれば、利用先を特定の端末や加盟店に絞り、利用回数、取引上限、期限を設定することも可能だ。PANを別の表記へ置き換えたうえで、決済網が利用範囲と有効状態を管理する代替資格情報である。
Agentic tokenは、このネットワークトークンをAIの代理購入へ合わせたものだ。Visaは、エージェント用の資格情報を特定のエージェントと購入文脈に拘束し、認証済みの利用者指示と照合する設計を示している。
| 見分ける対象 | 主な役割 | 制限の例 |
|---|---|---|
| PAN | カード口座を識別する元の番号 | カード口座の状態や発行会社の判定 |
| ネットワークトークン | PANを加盟店や端末から隠す | 端末、加盟店、期限、取引上限 |
| Agentic token | AIが代理購入に使う資格情報 | エージェント、加盟店、金額、認証済み指示 |
ホテルのカードキーにたとえると分かりやすい。宿泊客は建物全体のマスターキーではなく、指定した部屋を滞在中だけ開けられる鍵を受け取る。Agentic tokenも、口座へ無制限に触れる能力ではなく、定めた範囲で決済要求を出す能力をAIへ渡す。ただし、カードキーは使うたびに発行会社へ信用照会せず、宿泊客の購入指示も記録しない。比喩が表せるのは権限を狭く切り出す点までで、金融ネットワークの承認や不正検知は別に働く。
登録から承認までをつなぐ6段階
Visa Intelligent Commerce（VIC）の公開フローでは、トークンを発行して終わりにはならない。旅行用のAIにホテル予約を頼む場面なら、処理は次の順序で進む。
- エージェントとカードを登録する。 AI事業者はVICへ参加し、利用者はエージェント側のアカウントへVisaカードを追加する。カード保有者の追加確認を経てエージェント用トークンを発行し、将来の指示を認証するPasskeyも設定する。
- 購入指示を認証する。 エージェントが候補のホテルを示し、予約してよいかを利用者へ尋ねる。利用者は加盟店や金額などを含むPayment InstructionをPasskeyで認証する。
- 支払い資格情報を取得する。 エージェントが決済の準備をするとVICへ資格情報を要求する。VICは要求が認証済み指示と合うかを調べ、対象の加盟店と金額に対応するネットワーク側の制御を設定する。
- 加盟店へ提示する。 エージェントは取得した資格情報を、加盟店のゲストチェックアウトやAPIへ渡す。初期の想定には、既存のウェブフォームへ値を入力する方式も含まれる。
- 決済網で承認する。 加盟店からVisaNetへ承認要求が届くと、意図した加盟店から正しい金額で来たかを制御と照らす。通常のリアルタイム承認と不正監視も残るため、トークンを持つAIが自分で支払い可否を決めるわけではない。
- 結果を記録する。 エージェントは購入の成否をVICへ返す。Visaは、利用者の指示と取引結果を紛争対応や不正防止に使えるとしている。
この流れでは、利用者がAIへ渡す入力は「このカードを自由に使え」ではない。ホテル、金額、承認の要否などを含む指示であり、出力は条件に合った取引だけを承認経路へ載せることだ。指示から外れた要求をネットワーク側でも拒める点が、チャット画面の確認ボタンだけに頼る設計との違いになる。
条件との一致は承認の必要条件であり、決済の成功を約束するものではない。カードの利用可否や不正の疑いは、発行会社とVisaの既存の承認経路でも判定される。反対に、指示と合わない要求は、口座に残高や利用枠があっても通さない。この二重の判定によって、AIの代理権とカード口座の信用判断を混ぜずに済む。
身元、同意、資格情報を分ける
悪意あるプログラムが有効なトークンを盗めば、「番号が本物か」だけを調べても正当な代理購入とは判定できない。AI決済には、少なくともエージェントの身元、利用者の指示、支払い資格情報という3つの証明が要る。それぞれが答える問いは異なる。
VisaのTrusted Agent Protocolは、署名付きの情報を使い、加盟店を訪れたソフトウェアが承認済みエージェントか、閲覧と購入のどちらを目的にしているかを検証する。加盟店は通常のボットや攻撃者と見分け、商品情報の閲覧だけを許すか、決済へ進ませるかを決められる。これは「誰が来たか」を確かめる層だ。
Passkeyで認証したPayment Instructionは、「利用者が何を頼んだか」を固定する。たとえば、出張規程に合うホテルを探す権限と、提示された一室を指定額で予約する指示は同じではない。検索段階では幅を持たせても、支払い時には加盟店、金額、承認条件へ狭められる。指示を後から更新または取り消すためのAPIもVICの設計に含まれる。
Agentic tokenが担うのは「何を使って支払えるか」である。VICは資格情報の要求を認証済み指示と照合し、加盟店から届く承認要求も再び確認する。署名、指示、トークンを一つの秘密情報へ詰め込むのではなく、別々の検証点としてつなぐわけだ。Trusted Agent Protocolを採用しない加盟店もありうるため、エージェントの識別が常に同じ強さで行われるとは限らない。
ChatGPTとVisaNetを結ぶ分業
Visaの発表は、決済機能を「OpenAI experiencesへ統合する」と表現している。これはVisaNetの承認処理をチャット画面の内側へ移すという意味ではない。ChatGPTなどのエージェント体験が利用者の要求を受け取り、Visaが資格情報の発行、指示との照合、ネットワーク承認、不正監視を担い、加盟店が販売主体として注文と履行を処理する分業である。
OpenAIのAgentic Commerce Protocol（ACP）とも役割を分ける必要がある。OpenAIの現行資料はACPを、加盟店の構造化カタログや在庫をChatGPTへつなぎ、会話の中で商品を提示するための接続層と説明する。一方、VICとAgentic tokenは、カード口座に結び付いた支払い資格情報と、その利用条件を決済網で扱う。商品を見つける言語と、代金を動かす権限は別物だ。
靴を買う例なら、ACPは色やサイズ、在庫、販売店をAIが理解する経路になる。利用者が一足を選んだ後、VICはその販売店と金額に合う資格情報を用意し、加盟店の決済経路から承認を受ける。両方がつながれば会話から購入まで進めるが、ACPに商品が載っている事実は支払い許可を意味せず、Agentic tokenを持つ事実も在庫確保や配送を保証しない。
「漏れない」より「外れても使えない」
Agentic tokenはPANの露出を減らし、権限を狭める。それでもAIが誤った商品を選ぶ、偽の加盟店へ誘導される、外部コンテンツの命令に影響されるといった問題は残る。利用者が広すぎる購入指示を認証すれば、取引が技術上は条件内でも本人の期待から外れる可能性がある。返品、配送、チャージバックの責任も、トークンを発行しただけでは決まらない。
自動で事務用品を補充する企業エージェントを考えると、月間予算だけを設定するのは粗い。加盟店カテゴリー、商品種別、一回の上限、承認が必要になる条件を組み合わせ、指示の変更履歴と実際の購入結果を残す必要がある。権限を止める方法、トークンを失効させる方法、担当者が異議を申し立てる経路も運用設計に含めるべきだ。
停止操作は緊急時の飾りではない。Visaのトークン管理APIは、トークンの有効化と停止に加え、再開や削除を含むライフサイクル管理を前提にする。企業なら担当者の異動、購買規程の変更、エージェント事業者との契約終了に合わせて、古い権限を残さない運用が要る。支払い条件を細かく書けても、誰も失効処理を担当しなければ安全域は時間とともに広がってしまう。
提供状況にも留保がある。Visa Developer CenterはVICを開発・展開中とし、公開された手順は潜在的な機能の表現で、すべての市場で使えるとは限らないと明記している。VisaとOpenAIの発表も、対象となるOpenAI製品、地域、一般利用の開始日を確定していない。提携発表から「ChatGPTがすでに自律的にVisa決済できる」とは結論できない。
AI決済を評価するときは、カード番号を隠したかという一点より、誰のエージェントを認め、どの指示を本人が認証し、加盟店と金額の逸脱をどこで拒み、結果を誰が監査できるかを確かめたい。これらが分かれて実装され、権限を更新・停止できるなら、Agentic tokenは便利な自動購入を、口座全体を預ける行為から切り離せるからだ。
