自律的なオンチェーンアクション:AIエージェントがオンチェーンで実際にできること

いまやAIエージェントは、Polymarketのポジションを開き、自分のAPI残高をUSDCで補充し、Aaveの複数マーケット間でリバランスを行う。しかも人間が確認ボタンを押すことなく、である。1年前にエージェントがオンチェーンでできると言われていたことと、実際に毎日出荷されていることのギャップは、多くのプロダクトページが認めている以上に大きい。この転換点は、LLMがアクションを提案するだけの存在から、アクションに署名する存在へと変わる瞬間だ。

コードを書くLLMはコパイロットである。ウォレットを保持するLLMはエージェントである。ウォレットが実在し、エージェントがそこから支出できるようになった時点で、あらゆるオンチェーンのプリミティブはモデルが呼び出せるツールになる。状態の読み取り、トランザクションへの署名、APIへの支払い、スワップとブリッジ、投票、アテステーション。この記事では6つのプリミティブを一つずつ確認し、それぞれを使っている稼働中のエージェントを名指しし、それらをエッジケースではなく本番のユーザーとして扱えるスタックを示す。

自律的なオンチェーンアクションとは何か

自律的なオンチェーンアクションとは、エージェントがその特定の呼び出しについて人間の承認なしに署名・送信するトランザクションのことである。エージェントは事前に設定された権限の範囲内で動作する。支出上限とコントラクトのアローリストを持つセッションキー、あるいはカストディアルウォレット上のポリシーといった枠組みの中で自由に行動する。状態の読み取りは自律的なオンチェーンアクションではない。ユーザーが事前に許可していない送金を実行することも、自律的なオンチェーンアクションではない。署名が実際に行われること、しかもアクションごとのプロンプトなしに行われることが条件になる。

この定義が重要なのは、それが市場を仕分けるからだ。人間がウォレットで署名するためのトランザクションペイロードを生成するだけのチャットボットは、オンチェーンエージェントではない。一方、モデルがどこにも介在していなくても、自ら署名してブロードキャストするcronジョブはすでにオンチェーンエージェントである。基準は自律的な署名であって、モデルの有無ではない。

オンチェーンエージェントはどのプリミティブを使うのか

6つのプリミティブが、2026年にエージェントが実行するオンチェーンアクションのほぼすべてをカバーする。それぞれがモデルが呼び出すツールに対応し、それぞれに知っておくべき固有の障害モードがある。

• Read(読み取り)。 状態、価格、残高、イベントをクエリする。エージェントはRPCエンドポイント、インデックス化されたData API、あるいはその両方をラップするMCPサーバーを使う。読み取りアクセスは最も安価で最も信頼性の高いプリミティブである。ダッシュボード上の「エージェント」トラフィックの大半もここから来ており、そのためヘッドラインのトランザクション件数は誤解を招きやすい。
• Sign(署名)。 エージェントが管理するウォレットからトランザクションを送信する。自律性が始まるのはここからだ。署名にはカストディパターン(埋め込みウォレット、MPC、スマートアカウント、あるいは生の秘密鍵)と、いま署名すべきかどうかを判断するポリシーエンジンが必要になる。生の秘密鍵は渡されたものすべてに署名する。ノーと言えるのはポリシーだけだ。
• Pay(支払い)。 オフチェーンの計算資源やAPIに対して決済する。エージェントは、crypto-nativeなサービスに対してはx402経由でUSDCを支払い、マーチャントがカードやステーブルコインに対応している場合はStripeのMachine Payments Protocol経由で支払う。呼び出しごとの上限がなければ、エージェントは402が要求する金額をそのまま支払ってしまう。
• Swap and bridge(スワップとブリッジ)。 プールやチェーンをまたいで価値を移動させる。エージェントはSolana上のJupiter、EVM上のUniswapや0x、そしてAcrossやdeBridgeのようなブリッジを呼び出して、次のアクションが意味を持つチェーンへ資金を移す。単純なスワップをそのままブロードキャストすると、そのサイズゆえにサンドイッチされうる。
• Govern(ガバナンス参加)。 投票、委任、提案を行う。取引系のプリミティブに比べて出来高としては少ないが、形としてはより興味深い。単一のエージェントが、人間の投票者には手が回らない数百のDAOにまたがってトラッキング戦略を実行できる。リスクは、ポリシーが保有者の意図から逸脱した後も投票を続けてしまうことだ。
• Prove(証明)。 アイデンティティをアテストし、レピュテーションのレシートを投稿し、ERC-8004に登録する。これは最も新しいプリミティブであり、単発のエージェントを他のエージェントが雇用できる合成可能なサービスへと変える。アテステーションの価値は、それを発行する主体の信頼性次第でしかない。

この順番は恣意的なものではない。ReadとSignは普遍的な核だ。Payはエージェントを経済主体にする。Swap、Bridge、Governはエージェントに到達範囲を与える。Proveは、あるエージェントを別のエージェントから可読にする。プリミティブを一つ欠けば、アクションのカテゴリ全体がメニューから消える。

エージェントは今日、オンチェーンで実際に何ができるのか

具体的な棚卸しを、カテゴリ別に整理する。

DeFiポジションとイールド

DeFiエージェントには大きく2つの形がある。共有トレジャリーに対して専門化された役割の群れとして動くものと、単一の仕事をこなすリバランサーとして動くものだ。

繰り返し現れるメカニズムはこうだ。エージェントはインデックス化されたData API経由でポジションを読み取り、目標配分を計算し、Aave、Morpho、Pendleに対してsupplyやwithdrawの呼び出しに署名し、一定の間隔で再チェックする。難しいのは計算そのものではない。新しいマーケットがより良く見えても、それがアローリストに載っていない限り権限の範囲内にとどまり続けることだ。

このループは仮説上の話ではない。以下のデモでは、エージェントが複数のL2にまたがってAaveのUSDCイールドを比較し、Baseから最適なチェーンへブリッジし、supplyを実行する。すべてターミナル上で行われ、手元にETHは一切なく、スコープの限定された鍵だけが使われている。

トレーディングとリバランス

トレーディングエージェントは今や主要な取引所全般で稼働している。FarcasterやX上の自然言語インターフェースの裏で動き、0xやUniswapを通じてBase、Solana、Polygon上のスワップをルーティングするものもある。Hyperliquidのパーペチュアルに対してスキルベースのスタックを運用し、数百のマーケットにわたってトレーリングストップとスマートマネースコアリングを行うものもある。

Hyperliquidはパーペチュアル市場で最も密度の高いエージェント表面であり、builder-code由来の収益は8桁に達している。このカテゴリにおけるエージェントの優位性は、シグナルの質が良いことではない。午前3時にシグナルに基づいて迷わず行動する意志そのものだ。

予測市場

自律的なPolymarketポジションは、いまや実在するカテゴリだ。CoinDeskの2026年3月のレポートは、Polystratエージェントが最初の1か月で4,200件を超える取引を行い、その3分の1以上が正のP&Lを示したと報告している。人間トレーダーの成功率はその約半分だった。より広範な予測エージェントのネットワークは、Gnosis上で累計数百万件のトランザクションを記録している。このカテゴリはドル建てでは小さく、トランザクション件数では大きく見える。これはエージェントの振る舞い一般に共通する形だ。小さな賭けを数多く、絶えず評価し続ける。

NFTとコレクティブル

エージェントによるNFT活動はまだ成熟しておらず、大半は複合的なものだ。その形は、エージェントがターゲットを特定し、ETHやSOLにスワップし、マーケットプレイスのプラグインを通じて購入し、その後マークアップして出品する、というものだ。Solana Agent Kitは、ローンチ側にはMetaplexのミントアクションを、マーケットプレイス側にはTensorやMagic Edenを提供している。「買って再出品する」という複合アクションは、単一のコントラクト呼び出しではなく、エージェントのツールループの中に存在する。

支払い、トップアップ、トレジャリー

これはx402が設計された目的そのもののユースケースだ。エージェントは有料エンドポイントにアクセスし、価格を含む402を受け取り、USDCの支払いに署名し、再試行して処理を進める。Cloudflareは自社のエージェントネットワーク全体で1日あたり約10億件の402レスポンスを配信していると報告している。x402 Foundationは2026年4月にLinux Foundation傘下で正式に発足し、Visa、Mastercard、Stripe、AWS、Google、Solana FoundationとBase Foundationを含む22の設立メンバーが名を連ねた。

あまり語られていない対の存在が、逆方向のフローだ。すなわち自律的なトップアップである。エージェントは自身のUSDC残高を監視し、それが閾値を下回るとトレジャリーウォレットから自身への補充送金に署名する。このパターンはAlchemy CLIのagent wallets機能で一連の流れとして解説している。Paymentはエージェントを経済主体に変え、トップアップは人間の承認なしにそれを支払い能力のある状態に保ち続ける。

ガバナンスとアイデンティティ

DAOの投票は出来高としては最小のカテゴリだが、形としては最も興味深い。委任された投票ポジションを保有するエージェントは、一貫したポリシーを適用しながら数百の提案にわたって投票できる。いくつかのエージェントプラットフォームは、ガバナンスアクション系のスキルをツール表面上の第一級のアクションとして公開し始めている。

アイデンティティはまだ新しいが急速に進んでいる。ERC-8004は、エージェントのアドレスと能力を登録し、他のエージェントがそれを発見して雇用できるようにする。x402と組み合わせることで、エージェントは有料サービスを提示し、USDCで支払いを受け取り、その仕事を自分が所有していない下流のエージェントへとルーティングできる。

エージェントは人間を介さずにどう署名するのか

カストディはここで最も重みを持つ選択だ。以下の5つのパターンが、現在本番のエージェントを動かしている。

この12か月間で優位に立ったパターンは、埋め込みウォレットとポリシーエンジンの組み合わせだ。Turnkeyの委任型エージェント署名は、すべての署名リクエストをエンクレーブ内でコントラクトのアローリスト、受取人リスト、関数セレクタのチェック、トランザクションごとの上限に照らして評価する。Privyのagentic wallet ドキュメントは、開発者所有とユーザー所有の両方のエージェント署名者を扱い、同様のポリシーガードを備えている。2026年2月にローンチしたCoinbase Agentic Walletsは、MPCカストディとセッション上限、ネイティブなx402決済を組み合わせている。Agent Wallets(Alchemy CLI内)も一つの選択肢だ。ダッシュボードからウォレットを作成し、CLIにスコープ付きの期限付きアクセスを付与し、エージェントにコマンドラインから取引させることができる。

これらのいずれも解決していないのが、権限の範囲そのものだ。1日あたり1,000ドルの上限内であれば何でも署名するウォレットでも、その上限内で資金を抜かれることはあり得る。カストディパターンの選択は他のあらゆるエージェントの意思決定より上流にあり、多くのチームがデモに向かう過程で最も安易に済ませてしまう部分でもある。

Alchemyはオンチェーンエージェントをどうサポートしているか

私たちはエージェントをエッジケースではなく本番のユーザーとして扱う。重要な3つの表面がある。

• ウォレットと署名。 Alchemy CLIは、初回実行時にエージェントにスコープの限定されたウォレットを渡す。ウォレットのカストディはPrivyに委任され、エージェントはチェーン、コントラクトのアローリスト、支出上限で区切られたセッション内で動作する。同じCLIが、alchemy evm send、alchemy wallet connect、alchemy agent-promptを通じて送金、スワップ、ブリッジ、コントラクト呼び出しを処理する。
• 支払い。 エージェントは、x402経由でUSDCによりRPC、NFT、Data APIの各表面に対して支払う。ダッシュボードへのサインアップも、APIキーも、契約も不要だ。Stripe のMPPはカードのフォールバックが必要なケースにおいて相互運用可能であり、両プロトコルを並べて解説したx402とMPPの比較記事がある。
• 発見可能性。 Alchemy Skillsは、人間が何かを読む必要なく、エージェントがインストールして私たちのAPIの呼び出し方を学べる、機械可読なドキュメントだ。Alchemy MCPサーバーと組み合わせることで、ClaudeやCursor上のエージェントは、ツールループから離れることなく認証、支払い、そして100以上のチェーンに対する実行を行える。

以下は、エージェントが402で保護されたエンドポイントに対して実行する、支払いと再試行の形だ。

buildX402Clientが支払いと再試行のループを実行する。402を捕捉し、USDCの支払いに署名し、リクエストを再送する。signSiweはゲートウェイの認証を処理する。エージェントは他のfetch呼び出しと同様にpaidFetchを呼び出すだけで、支払いのステップを意識することはない。

まだ難しいことは何か

今日オンチェーンエージェントを出荷する際に留意すべき3点があり、いずれもセキュリティに直結する重みを持つ。

• プロンプトインジェクションが支配的な攻撃対象領域である。 エージェントのコンテキストに入り込むテキスト状のものは、何であれ指示を運びうる。2026年5月、攻撃者はGrokを組み込んだエージェントを持つターゲットのウォレットにBankrテーマのNFTを送り付け、その後エージェントに「このモールス信号を翻訳して」と依頼した。復号されたテキストは送金の指示だった。約15万〜20万ドルがBase上で流出し、その後資金は返還された(OECDのAIインシデントデータベースに事後分析が掲載されている)。対策はモデル層ではなくポリシー層にある。コントラクトのアローリストをより厳格にし、セッションキーをより狭く絞り、エージェントがこれまで使ったことのないコントラクトに対しては第2署名者による承認を要求し、信頼できるシステムプロンプトと信頼できないツール出力を明確に分離することだ。
• 権限の範囲こそがプロダクトであり、多くの範囲は緩すぎる。 1日あたり1,000ドルの上限内であれば何でも署名するウォレットでも、その上限内で資金を抜かれることはあり得る。コントラクトのアローリストは厳格に絞り、関数セレクタのアローリストはさらに狭く絞り、エージェントが経由しうるルーターやアグリゲーターに対してERC-20の無制限承認を与えてはならない。エージェントが新しいマーケットやコントラクトに遭遇した場合は、自ら範囲を拡張するのではなく、明示的な承認を得るために一旦停止すべきだ。
• サプライチェーンはツール、スキル、MCPを経由している。 エージェントのツール表面は、エージェントの鍵とコンテキストを使って動くサードパーティのコードだ。レジストリからランタイムにロードされるスキル、ネットワーク経由で接続されるMCPサーバー、npm経由でインストールされるプラグイン。それぞれが、悪意あるアップストリームのコミットがトランザクションに署名するウォレットに到達しうる経路になる。バージョンを固定すること。インストール前にコードを読むこと。エージェントのプラグインマニフェストを、本番環境のpackage.jsonと同じように扱うこと。実際、それはまさにそういうものだからだ。

これらのいずれも、このカテゴリを止めるものではない。責任ある開発者がどうこのカテゴリに出荷していくかを形作るものだ。範囲こそがプロダクトであり、エージェントこそがユーザーである。

どこから始めるか

この記事から動くオンチェーンエージェントまでの最短経路は、2つのコマンドと1回の支払いだ。

alchemy authはセッショントークンを返す。alchemy wallet connectは、チェーン、コントラクトのアローリスト、支出上限で区切られたスコープ付きウォレットを返す。そこから先、エージェントはRPCを通じて読み取りを行い、プレミアムエンドポイントに対してx402で支払い、セッション内でトランザクションに署名する。

APIキーも、ダッシュボードへのサインアップも、契約最小額も不要だ。エージェントは初回実行時にAlchemy Skillsをインストールし、100以上のチェーンにわたって私たちのAPIをどう呼び出すかを把握する。エンタープライズ向けの制約に対応する必要がある場合も、専用インフラストラクチャとコミットプランを通じて同じ表面を利用できる。

コードを書くLLMはコパイロットである。ウォレットを保持するLLMはエージェントである。後者を出荷するためのインフラストラクチャはすでにここにあり、アクションの棚卸しは現実のものであり、このカテゴリの今後1年は、書かれた記事の数ではなく、署名されたトランザクションの数で測られることになる。