ルールのある MCP サーバー：上限の範囲で動く AI エージェント

エージェントとお金

ポートフォリオをリバランスしたり、サービスの代金を払ったり、ポジションを買い増したりするエージェントは、残高を読み、トランザクションを送る必要があります。エージェントに秘密鍵（private key）を渡すのは、すべてを渡すのと同じです。取引所の API キーを渡しても、大差はありません。エージェントに与えるべきなのは、範囲が狭く、取り消しができ、上限の付いた権限と、何をしたかのログです。

AirNox Wallet は、まさにそれを Model Context Protocol を通じて提供します。エージェントのフレームワークがツールとやり取りするのに使うオープン標準です。MCP を話すクライアントなら、どれでもウォレットに接続できます。権限を持つのはウォレットだけです。エージェントが提案し、ポリシーが裁定します。

デフォルト拒否

初期状態では、エージェントは何もできません。公開されたウォレットも、許可された操作も、設定された上限もないので、すべてのリクエストが拒否されます。あなたが、ウォレット自身の画面で、一つずつ判断しながら意図的に開放していきます。エージェントが何を送っても、ポリシーは変えられません。ポリシーには、MCP インターフェースからはまったく手が届かないからです。

ポリシー

公開範囲。エージェントにそもそも見せてよいウォレットとアドレスを選びます。エージェント用のタグが付いていないアドレスは、エージェントにとっては存在しないのと同じです。タグ付きのアドレスはウォレットの画面で印が付くので、どれが見えているのか常にわかります。

許可する操作。公開した各ウォレットとアドレスについて、どの操作を許可するかを選びます。残高と履歴の読み取り、見積もりの取得、トランザクションの送信、スワップ。読み取りの権限は、書き込みの権限を意味しません。

上限。支出には、法定通貨建てで、1時間あたり、1日あたり、累計の上限が設けられます。上限は全体、ウォレットごと、アドレスごとに設定でき、最も厳しいものが適用されます。上限に達すると、リクエストはエージェントが理解できる理由とともに拒否され、エージェントは待つか、あなたに頼むことができます。

監査ログ（audit log）。すべての呼び出しが記録されます。エージェントが何を求め、ポリシーがどう判断し、ウォレットが何をしたか。ログはウォレットやアドレスで絞り込めるので、全部を読まなくても、1つのアカウントでの1つのエージェントの活動を確認できます。

AirGap モードでは

鍵がスマホにあるウォレットの場合、デスクトップのポリシーは話の半分にすぎません。エージェントが提案するトランザクションは、どれもスマホで署名されなければなりません。スマホがデコードした内容を読みながら1件ずつ手動で確認することも、確認なしで署名してよいものについてのルールをスマホ自体に設定することもできます。そして、デスクトップには越えられない境界があります。エアギャップ（air-gapped）型のアドレスをエージェントに公開できるのは、スマホだけです。デスクトップがスマホに代わってそれを許可することはできません。

これで、権限の連鎖が保たれます。エージェントはデスクトップに頼む。デスクトップは自分のポリシーを適用する。スマホは自分のポリシーを適用し、鍵を持つ。

接続のしかた

MCP サーバーはウォレットの中で動きます。エージェントはローカルで接続します。標準入出力を使うクライアント向けの小さなランチャー経由か、ウォレットが発行するトークンで保護されたローカルエンドポイント経由です。クラウドのリレーも、私たちのアカウントもありません。エージェントはあなたのマシンで動き、あなたのウォレットと話し、あなたが引いた線の内側にとどまります。

ポリシーが許可しないものは、すべて拒否されます。許可されたものは、すべてログに1行を残します。エージェントのためのウォレットは、こうあるべきです。