GMOグローバルサイン・HDとVESS Labs、AIエージェントの身元・権限確認を共同実証

自社に関係する？

AIエージェント経由の注文を受ける国内EC事業者と、決済・セキュリティ担当者に関係する実証です。GMOグローバルサイン・HDとVESS Labsは2026年9月24日に、企業を越えて取引するAIエージェントの身元と権限を確認する仕組みを共同で設計・実証したと発表しました。GMOグローバルサイン・HDの発表

受注側の論点は、相手がどの企業に属するエージェントで、どこまで取引する権限を持つかを確かめることです。今回の実証では、人による購入承認の確認から発注、模擬的な支払い処理への連携までを動作確認したとしています。実際の決済や商取引は行っていません。

別々に開発した買い手・売り手のエージェントを接続

実施期間は2026年4月から9月です。GMOグローバルサイン・HDが買い手側、VESS Labsが売り手側のAIエージェントをそれぞれ独立して開発し、接続しました。相互に身元と権限を確認する流れを検証しています。実証の説明

発表で説明された確認範囲を、注文を受ける側の視点で整理します。

段階	実証で確認したこと
相手の確認	買い手・売り手双方のエージェントの身元と権限を確認
購入承認	人による購入承認を確認し、承認した取引内容と実際の発注を結び付ける
発注と支払いへの連携	商品の発注から模擬的な支払い処理への連携まで動作確認
事後の確認	誰が、誰に、どの範囲まで権限を与えたかを後から確認できる仕組みを実装

確認範囲の出典

これは両社の実証結果の説明です。国内ECで注文を受け付ける商用サービスの提供開始や、実店舗での導入実績を確認したものではありません。商用提供時期、価格、特定のEC事業者での採用は未確認です。

VCで身元と権限を確かめる仕組みを検証

利用したのは、VC（Verifiable Credentials／検証可能なデジタル証明書）です。発行者の電子署名により、発行元と改ざんの有無を確認できると説明されています。VCの説明

両社が背景として挙げるのは、事前登録した相手だけと接続するAllowlistの限界です。初めて取引する相手が増えると、事前登録だけで対応するのは現実的でないとしています。そこで、取引のたびに相手企業のシステムへ問い合わせず、その場で確認する仕組みを検証しました。実証の背景

編集部としては、受注時の確認を「所属企業の確認」と「その注文を行う権限の確認」に分けて整理する材料になると考えます。今回の発表には、人が承認した取引内容と発注を結び付ける仕組みも含まれます。ただし、自社ECへ組み込む際の接続条件や運用手順の詳細は未確認です。

不正ケースを含む281件の自動テストを実施

発表によると、認証情報の使い回し、失効した証明書の利用、購入内容の不正な変更などが正しく拒否されることを確認しました。不正ケースを含む281件の自動テストが、2026年8月28日時点ですべて正常完了したとしています。テスト結果の説明

281件は自動テストの件数です。実際の注文件数や決済件数ではなく、商用環境での不正防止率を示す数字でもありません。本誌が独立に試験した結果ではなく、テスト条件や各ケースの詳しい内容は未確認です。

共同研究レポートは9月24日に両社サイトで公開したと案内されています。経営層向けのエグゼクティブサマリーとエンジニア向けの本編がありますが、本記事ではレポート本文の内容は未確認として扱います。レポート公開の案内

国内ECとの関係

確認日：2026年10月29日。提供元の発表に記載された実証の範囲を整理したもので、実際のECサイトや決済環境での動作検証は行っていません。

立場・機能	確認できたことと限界
日本の販売者 × 商品発見	今回の実証は身元・権限確認と発注・模擬支払いへの連携。商品をAIに発見してもらう機能や集客効果は未確認
日本の販売者 × 決済	相手の身元・権限、人の購入承認と発注の対応を確認。支払いは模擬環境で、実決済の受け入れ条件は未確認
日本の購入者 × 商品発見	購入者向けの商品検索サービスの提供や利用条件は未確認
日本の購入者 × 決済	人の購入承認を確認する仕組みを実証。一般の購入者が利用できるサービスや対応する決済手段は未確認

国内ECとの関係を整理した出典

今後は、AIエージェント同士の商取引に関するオープンな標準仕様への対応、人が毎回承認しなくても一定条件内で自律取引できる仕組みなどを検討するとしています。本人確認・年齢確認が必要な取引や、権限を引き継ぐ取引への応用も検討対象です。いずれも今後の方針であり、提供済みの機能とは扱いません。今後の検討事項

今すること — 編集部の提案

まず、エージェントから注文を受ける場合に、所属企業と委任された権限を何で確認するか整理することを提案します。EC運用担当と決済・セキュリティ担当で、誰が誰にどの範囲の操作を認めたか、後から確認するために必要な記録を検討できます。これは編集部の提案であり、本実証の商用導入手順ではありません。

次に、人が承認した取引内容と届いた注文を照合する方法を検討します。認証情報の使い回し、失効した証明書、購入内容の変更を受け付けないために、どの段階で何を確認するかを論点にできます。今回のテスト結果だけで、自社環境でも同じように拒否できるとは判断できません。

利用中のEC基盤や決済サービスへ確認する際は、相手の身元確認、権限確認、購入承認、実決済への接続を分けて尋ねることを提案します。今回確認できた支払い処理は模擬環境までです。導入を判断するには、商用提供の有無や自社で利用できる条件を別途確認する必要があります。

技術的な補足と出典

• GMOグローバルサイン・HDの発表：発表日2026-09-24、確認日2026-10-29。共同実証の期間、両社の役割、VCによる確認、模擬支払い、不正ケースの拒否と自動テスト件数、今後の検討事項を参照しています。

商用提供時期、価格、特定のEC事業者での採用、AP2・A2A・UCPなど特定プロトコルの採用は未確認です。共同研究レポート本文も未確認です。発表には2026年10月14日の共催イベント「AI Agent Trust 2026」の開催予定が記載されていますが、当日の開催実績や発表内容は未確認です。