Last Updated on 2026年8月8日 by Co-Founder/ Researcher
MetaMaskがAIエージェント向けウォレットを一般公開しました。発表文が繰り返すのは「セルフカストディ」です。ところが開発者ドキュメントでは、設定の最初に選ぶのが鍵をサーバー側で管理するモードで、そちらが大半の利用者向けとされています。虚偽ではありません。条件が付いているだけです。
MetaMaskは2026年8月6日、AIエージェント向けのセルフカストディ型ウォレット「MetaMask Agent Wallet」を一般公開した。6月8日に200枠のアーリーアクセスとして始まった製品の正式版にあたる。Claude CodeやCodexなどのフレームワークを専用CLIで接続し、HyperLiquidと対応EVMチェーン上でスワップ、無期限先物、予測市場、流動性提供を実行できる。支出上限とプロトコルのアローリストを事前に設定し、Guard ModeかBeast Modeを選ぶ。対応EVM取引はシミュレーション、Blockaidによる脅威スキャン、MEV保護の3段階を通り、適格取引には月1万ドルを上限とするTransaction Protectionが適用される。
From:MetaMask Agent Wallet is now live
【編集部解説】
エージェントに鍵を渡す、とは何を渡すことなのか
AIエージェントに資産を触らせる。この一文が引き受けている重さは、実装の細部にしか現れません。MetaMask Agent Wallet の一般公開は、その細部を公開ドキュメントで確認できる、数少ない機会になりました。
まず時系列を整えます。2026年6月8日、MetaMaskは200枠のアーリーアクセスとしてこの製品を発表しました。当時の告知は「一般公開は今夏」。それが8月6日に実現した、というのが今回の出来事です。
パッケージレジストリには、その2か月が数字として残っています。@metamask/agentic-cli の初版公開は5月28日。以降、8月4日の5.4.0まで68日間で21回リリースされ、その間に1.0.0から5.0.0まで5つのメジャーバージョンが公開されました。そして8月6日、パッケージ名は @metamask/agent-wallet に変わり、v6.0.0として公開されています。エージェントに読ませるスキル定義も、CLI v6.0.0に合わせてv7.0.0へ上がり、コマンドのフラグ名が広範に変更されました。
この頻度は、活発な開発の証拠であると同時に、「今日動いたスクリプトが来月も動く」という前提を置きにくい状態でもあります。自動売買を任せる相手としては、両方の意味を持ちます。
鍵はどこにあるのか
発表文が繰り返す「セルフカストディ」は、この製品の中核的な主張です。ただし開発者ドキュメントを開くと、設定の第一歩で2つの選択肢が提示されます。
ひとつは Server wallet。鍵はサーバー側のTEE（Trusted Execution Environment）で管理され、エージェントは利用者のメインウォレットにアクセスできません。もうひとつが Bring your own wallet。BIP-39のニーモニックを自分で用意し、鍵は手元のマシンに置きます。
QuickstartはServer walletを「Most users（大半の利用者）」向けと位置づけています。ただし、ウォレットモード自体を「default」とは明記していません。ドキュメント上で「default」と書かれているのは、Guard Modeのほうです。
MetaMaskは「You retain self-custody（自己管理性は保たれる）」と説明しており、その根拠はシードフレーズをいつでもエクスポートして離脱できる点にあります。この主張自体を否定する材料はありません。ただ、日常の署名がサーバー側で行われる構成を「セルフカストディ」と呼ぶかどうかは、読者ごとに判断の分かれるところです。用語の是非より、構造を知ったうえで選ぶことが重要だと考えます。
サインイン方式にも注意が要ります。Google、メールのパスワードレス、MetaMask MobileのQRコードの3種類があり、同じメールアドレスを使っても、方式ごとに別々のアドレスが生成されます。別の方式でログインすると別のアドレスが表示されるため、元の資産があるアドレスを使うには、当初と同じサインイン方式を選ぶ必要があります。
ガードレールが効く範囲
Guard Mode と Beast Mode の対比は、報道でも広く紹介されました。ただし、報じられていない前提がひとつあります。トレーディングモードは Server wallet にのみ適用されます。ローカルで鍵を管理するBYOW構成では、Server wallet 固有のアローリストや24時間の出金上限は使えません。一方、BYOWでもMetaMaskのトランザクションセキュリティ自体は利用できます。
モードごとの差も、想像より大きいものです。Guard Modeでは、脅威スキャンに加えて、ネットワーク・アドレス・トークン受取人の各アローリストと、24時間ローリングの出金上限が働きます。Beast Modeでは、このアローリストと出金上限がいずれも存在しません。残るのは脅威スキャンと、悪意ある取引・リスクの高い契約に対する2FAです。
その出金上限にも、ドキュメント自身が限界を明記しています。Permit2などの署名そのものは、24時間の出金上限の計算に含まれません。署名1回で資産が抜かれる手口は、Crypto Verseでも繰り返し扱ってきた古典的な攻撃です。MetaMaskは、出金を確実に追跡できない場合にはアローリストに依存するよう案内しています。加えて、バックエンドを経由しない取引では出金の追跡自体が不正確になるとも書いています。限界を隠さず書いている点は評価できます。同時に、その限界を知らないままBeast Modeを選べば、アローリストという受け皿も同時に外れることになります。
「すべての取引を検査」が及ぶ範囲
発表文は、対応EVM取引が必ず3段階のパイプラインを通ることを強調します。ここは範囲の確認が要ります。
開発者ドキュメントのSupported chainsページには、プリコンフィグ済みのEVMメインネットが22件掲載されています。そのうちTransaction Shield欄が「Yes」なのは13件、「No」なのは9件（Unichain、opBNB、ZKsync Era、Mantle、Celo、Hemi、Blast、Scroll、Palm）です。ただしこの列はTransaction Shieldの対応状況を示すもので、3段階のパイプライン全体の適用可否と同義ではありません。製品ページはこれとは別に、HyperliquidとSolanaも対応対象として挙げています。
むしろ公開資料には別の不整合が残っています。製品ページの本文は3段階のうちシミュレーションを現在の機能として説明する一方、同じページのFAQには「dry-run simulation (soon)」との記載があります。またFAQは、脅威スキャンの対象をBlockaid対応チェーン9件として注記しています。現時点の公開資料だけでは、3段階のそれぞれがどのチェーンで実装済みなのかを一意に確定できません。公式は、確定的なEVMチェーン一覧は mm chains list の出力を見るよう案内しています。
補償のほうは、さらに前提が重なります。Transaction Protection は、月額9.99ドル（年額99ドル）の Transaction Shield というサブスクリプションに紐づきます。14日間の無料トライアルがあり、上限は月1万ドルかつ月100取引まで。請求は取引確定から21日以内、同時に有効な請求は3件まで、補償はmUSDで支払われます。MetaMaskが列挙する対象外の国・地域に所在する当事者、および米政府の制裁対象者は加入できません。なお、ステーブルコインで支払う場合、月額プランでも12か月分の支払い承認に一度で署名する仕様で、承認時点で119.88ドル相当の残高が必要になります。
そして適格要件の筆頭に、「MetaMask Extension上であること」が置かれています。Agent WalletはCLI製品であり、既定の構成ではサーバー側で署名されます。この要件との整合について、公開されている資料の範囲では説明を確認できていません。Agent Walletのドキュメントは補償に注記記号を付し、Transaction Shieldの規約ページへ誘導するにとどめています。加えてTransaction Shieldのページ自体、「対象ネットワーク」の節では13件を挙げ、「対象外となる取引」の節では9件を挙げるという食い違いを抱えています。1万ドルという数字を根拠に安心を組み立てる前に、自分の構成が適格要件を満たすかを、加入前に同社へ確認する価値があります。
補償対象外の列挙も具体的です。シードフレーズや秘密鍵の漏洩、投機的・経済的損失、プロトコル側のハッキング、P2P取引、署名から5分を超えて送信された取引、サブスクリプション開始前に原因が生じた損失。エージェント運用でも起こり得る損失のうち、これらは補償の対象になりません。
技術的には、確かに一歩進んでいる
留保を並べましたが、技術面の前進は実在します。
ガスの扱いは改善されました。ネイティブ残高がガスを賄えないERC-20の送付・スワップでは、対応するルートの場合にEIP-7702のリレーを利用し、移動するERC-20から手数料が差し引かれます。複数チェーンにまたがってエージェントを動かすとき、各チェーンのガストークンを事前に用意しておく作業は、自動化の障害のひとつでした。対象ルートでは、その負担を減らせます。なおリレーの対応可否はチェーンごとに異なります。
バッチ実行にはERC-7821を採用し、承認とスワップを単一の execute() に統合します。承認のフロントランニングを避けられる設計です。ただしERC-7821のステータスは現在もDraftであり、確定した標準ではありません。利用できないチェーン・アカウントでは逐次送信に戻ります。
見落とされがちですが、「詳細なエラーコードとヒントによってエージェントが自己改善する」という項目は、この製品が誰に向けて作られたかを最もよく表しています。人間が読むエラーメッセージではなく、LLMが読んで次の一手を修正するための構造化された出力。ウォレットのインターフェースが、人間ではなく機械の読み手を第一の顧客に置き始めた、という設計思想の転換です。
検証可能性という論点
Crypto Verseが繰り返し立ち返る問いがあります。その仕組みは、外部から検証できるか。
CLIはnpm上でMITとApache-2.0のデュアルライセンスを表示し、両方のライセンス全文を同梱しています。一方、package.json が指すソースリポジトリ github.com/MetaMask/agentic は、現時点で公開されていません。公開パッケージは289ファイルで、うち283ファイルが dist/ 配下です。src/ ディレクトリは同梱されていません。エージェント向けのスキル定義リポジトリは公開されていますが、それは命令文であって、鍵を扱う実装ではありません。
サーバー側でTEEが使われているという説明についても、2026年8月7日に確認したMetaMaskおよびConsensysの公開資料では、Agent Wallet固有のリモートアテステーション結果や第三者による監査報告書を確認できませんでした。MetaMaskの長年の運用実績は信頼の根拠になりますが、それは実績にもとづく信頼であって、検証にもとづく確認ではありません。この2つを区別しておくことが、自律的に取引する主体に資産を預ける判断の出発点になります。
留保として残るもの
3点を挙げます。
第一に、効果を測る材料が見当たりません。今回確認したMetaMaskの公開資料では、アーリーアクセス期間の取引件数、2FAによる停止件数、脅威スキャンの検知件数、誤検知率のいずれも確認できませんでした。エージェント型ウォレットの評価には欠かせない数値です。
第二に、技術的な実証範囲が限定的です。アーリーアクセスは200枠で始まりましたが、実際の参加人数や取引件数は公開資料では確認できません。MetaMaskはBlockaidの脅威スキャンを「数百万件のMetaMask取引で実証済み」としていますが、その内訳やAgent Wallet固有の検証件数は公表していません。エージェントが24時間、高頻度で取引を投げ続ける条件下での挙動は、これから検証される段階にあります。
第三に、価格・条件の透明性です。2026年8月7日に確認した公式ニュース、製品ページ、開発者ドキュメントには、Agent Wallet本体の料金体系の記載を確認できませんでした。また、適格損失に対するTransaction Protectionが有料のTransaction Shieldサブスクリプションに紐づく点は、製品ページだけでは把握しにくい構成です。Transaction Protectionは損失後の補償であり、シミュレーションや脅威スキャンのような予防的なセキュリティ機能そのものではありません。規約もこれを保険ではないと明記しています。
日本の読者にとって
税務の扱いです。エージェントが暗号資産の売却や交換を繰り返せば、そのつど所得計算が必要になる場合があります。国税庁は、現行制度では暗号資産の売却または使用による利益について、事業所得等に付随する場合を除き原則として雑所得と案内しています。
制度改正はすでに成立しています。2026年3月31日に成立・公布された所得税法等改正法は、特定暗号資産の譲渡等について所得税15%、個人住民税5%の申告分離課税を設けました。適用は、2026年7月15日に成立した金融商品取引法等改正法の施行日の属する年の翌年1月1日以後です。施行日は政令で定められます。
ただし、現物の特例には取引経路の条件があります。対象となるのは、特定暗号資産を暗号資産取引業者に譲渡する場合や、同業者への売委託を通じて譲渡する場合です。したがって、登録された暗号資産取引業者を介さないDEX上の直接スワップやP2P取引は、少なくともこの現物の特例の対象外です。一方、暗号資産デリバティブには別の分離課税規定が設けられているため、Hyperliquidの無期限先物や予測市場を現物取引と一括して扱うことはできません。エージェントに任せる取引がどの課税関係に該当するかは、取引類型と相手方によって変わります。個別の判断は税理士などの専門家に確認してください。
責任の所在にも未確定な部分があります。AIエージェント専用の責任法制や、十分な裁判例の蓄積はありません。一方、経済産業省は2026年4月9日、現行法上の民事責任の解釈適用を整理した手引きを公表し、補論としてAIエージェントを扱っています。この手引きは、AIの利用形態を「補助／支援型」と「依拠／代替型」に分けて検討しています。Agent Walletで人の最終判断を介さず取引を自動実行する場面は、後者に近い構成と評価し得ます。ただし、手引きはAIエージェントを一律に後者へ分類しておらず、利用形態によって判断が異なります。個別事案で誰が責任を負うかは、契約関係や利用態様などによって変わります。
なお、本記事は特定の運用手法や銘柄を推奨するものではありません。DeFiの各操作には、スマートコントラクトの脆弱性、無期限先物の清算、流動性提供におけるインパーマネントロス、カウンターパーティ、規制変更といったリスクが伴います。エージェントに任せても、これらのリスクは消えません。判断の主体が移るだけです。
それでも、この製品が置いた石は大きい
批判的に読んできましたが、結論は否定ではありません。
これまでのエージェント型ウォレットには、取引所が鍵を預かる方式と、セキュリティを開発者の裁量に委ねる方式がありました。同時に、その二分法に収まらない設計もすでに登場しています。Coinbaseは2026年2月にAgentic Walletsを公開し、セッションごと・取引ごとの支出上限をエージェント自身が変更できない仕組みと、TEEによる鍵の隔離を提供しています。
MetaMask Agent Wallet の特徴は、先行事例のない設計にあるのではありません。Server walletにおいて、ネットワーク・アドレス・受取人の各アローリスト、24時間の出金上限、2FA、Guard ModeとBeast Modeの切り替えを、エージェントから独立したポリシーとして束ねた点にあります。これが標準になるかどうかは、今後の各社の実装にかかっています。
同時に、この記事が示したかったのは別のことでもあります。「セルフカストディ」「対応EVM取引に対するセキュリティチェック」「最大1万ドルのTransaction Protection」は、いずれも公式が掲げる表現・機能です。ただし、いずれにも適用条件があり、一部は公式資料のあいだにも記述の不整合が残っています。その条件は、開発者ドキュメントと規約ページに、隠されることなく書かれています。読みにいけば分かる。読みにいかなければ分からない。
人間の主権とは、鍵を握ることだけを指すのではないと考えます。何を委ねているのかを正確に知ったうえで、委ねると決めること。エージェントが署名する時代に、私たちに残された最後の主権は、おそらくそこにあります。
【用語解説】
セルフカストディ（自己管理型）
利用者が資産移転の最終的な支配権を持ち、第三者のカストディ口座に資産を預託しない構成。Agent WalletのServer walletでは鍵はサーバー側のTEEで管理される一方、MetaMaskはシードフレーズを利用者がエクスポートできることなどを根拠にセルフカストディと説明している。ローカルで鍵を保持するBYOWとは構造が異なる。
TEE（Trusted Execution Environment／信頼できる実行環境）
同一システム上の通常の実行環境から、処理やデータを隔離して保護するための実行環境。具体的な保護範囲や攻撃耐性は実装と脅威モデルに依存する。リモートアテステーションは、実行環境の状態を外部から確認する代表的な手段の一つ。
シードフレーズ（Secret Recovery Phrase／SRP）
ウォレットの秘密鍵を生成・復元するための単語列。通常12語または24語で構成される。保持する者が資産を動かせるため、漏洩は資産の喪失に直結する。
BIP-39ニーモニック
シードフレーズの生成方式を定めた仕様。Agent WalletのBring your own wallet構成では、利用者がこの形式の単語列を自分で用意し、鍵を手元のマシンに置く。
アローリスト
接続を許可する対象をあらかじめ列挙し、それ以外を遮断する方式。Agent WalletのGuard Modeでは、ネットワーク、アドレス、トークンの受取人の3種類について設定できる。Beast Modeでは存在しない。
2FA（二要素認証）
実行の前に本人の承認を求める仕組み。Agent Walletでは、サインイン方式に応じてメールのリンクまたはMetaMask Mobileのプッシュ通知で届き、エージェントは承認なしに先へ進めない。
Permit2
Uniswapが開発したトークンの承認・送付権限の仕組み。利用前に対象ERC-20でPermit2コントラクトへのオンチェーン承認が必要で、その後は署名によって個別の許可や送付を行える。悪意ある署名要求を承認すると、その権限の範囲でトークンを移転される危険がある。
EIP-7702
EOA（外部所有アカウント）が認可したコードへ委任し、スマートアカウントのような機能を利用できるようにするEthereumの仕様。現行仕様のコード委任は永続的で、変更または解除されるまで残る。
ERC-7821
複数の呼び出しを単一の execute() で原子的にまとめる最小バッチ実行インターフェース。EIP-7702によるEOAの委任を主要な用途として想定しており、仕様上のRequiresはEIP-7579。2024年11月21日提出、ステータスはDraft。
MEV（Maximal Extractable Value）
標準的なブロック報酬やガス代を超えて、取引の包含・除外・順序変更によってブロック生成から抽出できる最大価値。
Guard Mode / Beast Mode
Agent Walletのトレーディングモード。Guard Modeは全ポリシーを強制し、範囲外の取引に承認を求める。Beast Modeはアローリストと出金上限を持たず、悪意ある取引とリスクの高い契約についてのみ承認を求める。いずれもサーバーウォレット構成にのみ適用される。
Transaction Protection / Transaction Shield
Transaction Shieldは月額9.99ドル（年額99ドル）のサブスクリプション。その特典として、適格取引に月最大1万ドルのTransaction Protectionが適用される。2026年8月7日時点の記載であり、規約は保険ではないと明記している。
無期限先物（パーペチュアル）
満期を持たない先物取引。資金調達率によって現物価格との乖離を調整する。証拠金が不足すると清算される。
インパーマネント・ロス
AMM型の分散型取引所へ流動性を提供した際、預けた資産の価格比率が変動することで、単純保有と比べて生じる相対的な損失。
CLI（コマンドラインインターフェース）
文字による命令で操作する方式。Agent Walletはエージェントのウォレット操作用インターフェースとして mm CLIを提供し、サインインなど一部の操作ではブラウザのダッシュボードも使用する。
【参考リンク】
MetaMask Agent Wallet（外部）
Guard ModeとBeast Modeの差、3段階のセキュリティパイプライン、対応チェーン、FAQをまとめた製品の公式ページ。
Agent Wallet 開発者ドキュメント（外部）
ウォレットモード、トレーディングモード、出金ポリシー、対応チェーン一覧、エラーコードを網羅した開発者向けの一次情報。本記事の論点の土台。
Transaction Shield（MetaMaskサポート）（外部）
補償の適格要件、月額料金、上限、請求の手続き、対象外となる損失の列挙を掲載する。導入を判断するうえで最も直結するページ。
MetaMask（外部）
Consensysが開発するセルフカストディ型ウォレット。2016年公開で、EthereumおよびEVM互換チェーンに対応する。
Consensys（外部）
MetaMask、Linea、InfuraなどEthereumエコシステムの基盤を手がける開発企業。ジョセフ・ルービンが創業した。
Blockaid（外部）
Agent Walletの脅威スキャンを担うセキュリティ企業。悪意あるトランザクションや不正な契約を、実行される前に検知する。
Hyperliquid（外部）
オンチェーンのオーダーブックを持つ独自のL1ブロックチェーン。Agent Walletにおける無期限先物取引の主要な執行先となる。
ERC-7821: Minimal Batch Executor Interface（外部）
Agent Walletがバッチ実行に用いる標準案の原文。2024年11月提出で、ステータスがDraftのままであることを確認できる。
MetaMask/agent-skills（GitHub）（外部）
エージェントに読ませるスキル定義の公開リポジトリ。CHANGELOGから、CLIに入った破壊的変更の履歴をたどることができる。
【参考記事】
MetaMask Launches Self-Custodial AI Wallet for Autonomous Crypto Trading（外部）
一般公開を最初に報じた一本。ふたつのモードの差、対応フレームワーク、ガス抽象化を扱い、資本関係についても記事内で開示している。
MetaMask unveils AI wallet with $10K loss protection（外部）
アーリーアクセスの参加者を約200名と明記した記事。6月8日の限定公開から2か月で一般公開に至った時間軸を押さえている。
MetaMask Launches AI Agent Wallet with $10K Monthly Transaction Protection（外部）
6月時点の補償対象を9チェーンと報じた記事。現行の開発者ドキュメントが示す13チェーンとの差分を確認することができる一本。
MetaMask launches AI agent wallet with built-in security for every crypto trade（外部）
セキュリティを最大の差別化要因として打ち出すMetaMaskの位置取りを整理した、2026年6月8日付の英文の報道記事。
AIエージェント用ウォレット：crypto4社が同時参入の理由（外部）
6月に大手4社がエージェント向けウォレットを相次いで投入した事実を整理し、この市場が置かれた現段階を指摘する日本語記事。
【関連記事】
AIエージェントによるオンチェーン自動取引の構造的論点：技術的不可逆性と責任所在の現状整理【2026年版】
エージェントによるオンチェーン自動取引の技術的な不可逆性と、責任の所在をめぐる論点を、2026年時点の制度状況から整理した記事。
AIウォレットとは？Agentic Walletの仕組み・安全性・リスクを完全解説【2026年最新版】
Agentic Walletとは何かを仕組みから解説し、安全性の考え方と想定されるリスクを基礎から整理した入門記事。今回の前提知識にあたる。
AIウォレットは安全か？危険性とリスク・オンチェーン防御構造を完全解剖【2026年最新版】
AIウォレットに固有の危険性と、オンチェーンで多層の防御を組み立てるための構造を解剖した記事。ガードレール設計の背景が分かる。
DeFiにおけるAIエージェントの現在地：Aster・Alpha Arena・ARMAから読み解く「役割分担」の構造
Aster、Alpha Arena、ARMAという実例から、DeFiにおけるAIエージェントと人間の役割分担を検証した記事。実績面の対比に。
MEV（Maximal Extractable Value）の技術的構造：フロントランニング・サンドイッチ攻撃・リスク軽減の完全解剖【2026年版】
フロントランニングやサンドイッチ攻撃の仕組みと、その軽減策を技術面から解剖した記事。MEV保護が実際に何を防ぐのかが分かる。
【編集部後記】
安全網であるTransaction Shieldをステーブルコインで支払う場合、月額プランでも12か月分の支払い承認に一度で署名します。承認の時点で119.88ドル相当の残高が必要になる設計です。
請求は月ごと、解約はいつでも可能とされています。Permit2と同じ仕組みではありません。それでも、承認する範囲と実際に引き落とされる額が一致しない署名を最初に求められる点は、本文で扱った論点と重なります。安全を買う入口にも、承認が置かれています。
——————–
※本記事は情報提供を目的としており、投資助言ではありません。
詳細は当サイトの免責事項をご確認ください。
——————–