🔬 Deep Dive｜Aave と MetaMask、AI エージェントの借入が可能に

Aave と MetaMask は10月9日、Aave の MCP サーバを MetaMask Agent Wallet につなげられるようになったと、それぞれの公式 X で告知した。AI エージェントは「払う」に加えて、担保を入れて「借りる」ところまで手が届き、支払いの次に来る信用を機械にどこまで持たせるかが、権限設計の新しい試験になった。

Aave

@aave

·Follow

Builders can now connect the Aave MCP to the @MetaMask Agent Wallet, linking DeFi's credit layer to agentic finance. The Aave MCP prepares Aave actions, and the Agent Wallet signs and submits them. Get started below.

2:06 PM · Oct 9, 2026

478

Read 39 replies

単なる連携の告知ではない。Aave の MCP が組み立てるのは署名前の取引で、署名して送るのはユーザー自身のウォレットだという分業が、借入・担保・清算という支払いより重い領域に持ち込まれた。本稿は、つながった2つの部品の役割から入り、借りることが払うことと何が違うのか、そして人の確認がどこに残るのかまでをたどる。

10月9日に何がつながったか — 組み立てる Aave、署名する Agent Wallet

Aave の公式 X は10月9日 (日本時間同日23時台)、開発者が Aave MCP を MetaMask Agent Wallet に接続できるようになったと告知した。投稿は役割分担を1文で書いている。Aave MCP が Aave での操作を用意し、Agent Wallet がそれに署名して送信する。約5分後、MetaMask の公式 X がこの投稿を引用し、Agent Wallet を新しい Aave MCP につなぐよう呼びかけた。

MCP (Model Context Protocol) は、AI エージェントが外部のツールやデータを呼び出すための共通の接続規格だ。Aave Labs は9月8日に公式ブログで Aave MCP サーバを公開しており、入口は mcp.aave.com の1か所にまとまっている。10月9日の告知は、その MCP に、署名を受け持つ側の部品がつながったことを示す。

MetaMask Agent Wallet は、AI エージェントが自分のウォレットを持って取引するための自己管理型ウォレットで、8月6日に全ユーザーへ公開された。公開の経緯と権限設計の論点は8月8日の Signalで扱った。

その Agent Wallet の公式ドキュメントは、Aave をイールド (預け入れと引き出し) の対応先として挙げ、借入には触れていない。借入・返済・担保の切り替えを扱う MetaMask の手順書のページは検索結果には残っているが、10月12日時点で開くと見つからない。一方の Aave MCP は、預け入れ・借入・返済・引き出し・担保の切り替えまで、取引を組み立てられる。借りる操作の組み立ては Aave 側が受け持ち、Agent Wallet は署名と送信を受け持つ。この形で、エージェントの Aave 利用は預ける側から借りる側まで延びた。

署名前の取引という安全装置 — 人の判断はどこに置かれるか

Aave の MCP ドキュメントは、安全の考え方をはっきり書いている。サーバは秘密鍵を持たず、資金を動かせない。prepare_ で始まる組み立て系のツールが返すのは、署名前の取引か EIP-712 形式の署名用データで、それ自体は何も確定させない。Aave のサイトは「承認して署名するまで何も動かない」と説明し、ドキュメントは利用者のウォレットを、取引がチェーンに届く前の最後の関門と位置づける。

組み立ての前には試算もある。preview_action というツールは、預け入れ・借入・引き出し・返済を実行せずに模擬し、その後のヘルスファクター (担保の余裕を示す数値) を返す。ドキュメントは、ポジションを清算に近づける借入と引き出しの前にこれを実行するよう勧め、取引を用意したら操作と金額と結果のヘルスファクターを示し、判断は署名の場面で利用者に委ねる流れを推奨している。

ここまでは、署名する人が画面の前にいる前提の設計だ。Agent Wallet と組み合わせると、その最後の関門自体を、エージェントが操作するウォレットが受け持つ。

Agent Wallet のサーバ側ウォレットでは、鍵は信頼実行環境 (TEE) と呼ばれる隔離された領域で管理され、ドキュメントは利用者が自己管理を保つと書く。取引は実行前に模擬され、Blockaid による脅威スキャンにかけられ、利用者が決めたポリシーと照合される。悪意があると判定された取引は自動で弾かれ、疑わしい取引は利用者の承認を待つ。

ポリシーの強さはモードで変わる。Guard Mode は、ネットワーク・宛先アドレス・トークン受取先の許可リストと、24時間で区切る流出上限を課し、その外に出る取引は2段階認証 (2FA) の承認で止まる。承認は MetaMask Mobile のプッシュ通知かメールで届く。Beast Mode は許可リストと流出上限を外し、承認を求めるのは悪意のある取引と危険な契約だけになる。汎用の取引送信については、MetaMask の手順書が、エージェントは送る中身をそのまま見せて署名前に確認を求めると書いている。

並べると、人の判断が置かれる場所が見えてくる。1件ずつ署名するときは署名の瞬間に判断がある。Agent Wallet では、許可リストと上限という事前の枠の中は機械が進め、枠の外に出たときだけ人の承認に戻る。

人が決める場所は、署名の瞬間から、署名の前に引いた枠へ移る。

払うことと借りることの違い — 担保・金利・清算

支払いは1回で終わる。x402 のような少額決済で失うものは、払った金額を超えない。この点は、x402 の実測を読んだ10月12日の Deep Diveで見たとおり、1件平均およそ2セントの世界だ。

借入は署名した後も続く。担保を預け、借り、金利を払い、返すまで、ポジションは時間とともに状態を変える。Aave のドキュメントは、ただ預けただけの資産は清算されないが、担保として使い始めた資産は清算されうること、清算する側がそこからボーナスを受け取ることを明記している。ツールの説明では、ヘルスファクターが1を下回ったポジションが清算の対象になる。

この違いは、エージェントに任せる範囲の設計を変える。支払いの権限設計は、いくらまで払わせるかを決めれば済む。借入では、署名した時点では安全だった取引が、担保価格の下落という外の出来事で危険に変わる。守るべきものは1回の金額ではなく、時間とともに動く余裕の幅だ。

Aave は、この監視をエージェントに担わせる使い方を例に挙げている。9月8日のブログは、ヘルスファクターが1.5を下回ったら USDC の借入を返済するよう頼まれたエージェントが、条件に達した時点で返済の取引を用意し、利用者の署名を待つ流れを示した。Aave のサイトも、ヘルスファクターを見張り、清算の前にリスクを下げる操作を用意する使い方を並べる。

監視と組み立ては機械に渡せる。ただし返済が実際に効くのは署名の後で、相場が速く動く日ほど、用意から署名までの時間が余裕を削る。Agent Wallet の Guard Mode が数える24時間の流出上限は、ドキュメント上、サーバ側ウォレットから外へ出ていく送金に掛かる枠として書かれている。借入で膨らむ負債や、担保価値の下落で縮む余裕を測る枠としては説明されていない。

損失の扱いも、支払いとは同じにならない。Agent Wallet のドキュメントは、安全と判定された対象取引に月1万ドルまでの補償 (サブスクリプションの機能) を付けると書く。補償の規約は、値下がりのような投機的・経済的な損失を対象外としており、清算そのものについては書いていない。Aave のサイトは、MCP を実験的な技術と位置づけ、エージェントの出力と取引の中身を承認前に確かめるよう利用者に求めている。

40ツール・V3は21チェーン — API キーなしの入口が意味するもの

Aave の案内ページによれば、mcp.aave.com をひとつ加えるだけで、エージェントは40の Aave ツールを使える。API キーもアカウントも要らない。同じ入口から、Aave V3 の21チェーンと、V4 の Ethereum・Avalanche の市場を見られる。対応する接続先として ChatGPT・Claude・Cursor・VS Code が並ぶ。

ツール一覧は8つの群に分かれる。市場と資産 (8)、ポジション (6)、操作の組み立て (5)、報酬 (2)、スワップと注文 (8)、Savings GHO (4)、ガバナンス (5)、手引き (2) だ。操作の組み立てには担保の切り替えや効率モードの設定に加え、ヘルスファクターが1を下回った他人のポジションを清算する取引の組み立ても含まれる。借りる側の道具と、清算する側の道具が、同じ入口に置かれている。

API キーが要らないことの意味は、入口で相手を選ばないことにある。誰がどのエージェントでつないでも、読む・試算する・組み立てるまでは自由で、止める場所は署名だけになる。Aave のサイトは、短い応答で安価なモデルでも使えるよう設計したと書く。高価なモデルを使わなくても、エージェントが Aave の信用の機能に届く。

これは、権限の設計をウォレット側に寄せる選択でもある。入口が広いほど、組み立てられた取引を通すかどうかの判断は、受け取る側のウォレットのポリシーに集まる。しかも入口は最初から多チェーンだ。V4 は Ethereum と Avalanche、V3 は21チェーンにまたがり、エージェントは1本の接続でそのすべての市場に届く。

支払いの経済圏では、部品が揃っても需要がまだ小さいことが実測で見えていた。借入は、1件あたりの金額も、間違えたときの損失も、支払いより大きい。入口の広さがそのまま利用の広さになるかは、ウォレット側の枠がどこまで信用の取引に合わせて作り込まれるかにかかっている。

Watch — 清算の責任、追随するレンディング、残る人の確認

第一に、清算が起きたときの責任の所在だ。前の章で見たとおり、Aave も MetaMask も清算の責任には直接触れていない。エージェントが監視を担い、返済の用意が間に合わずに清算された場合、その損失を誰の判断の結果と見るのか。公式の文書はまだこの問いに答えていない。

第二に、他のレンディングが同じ形でつながるかだ。Agent Wallet のドキュメントが対応先として名前を挙げるレンディングは、いまのところイールド欄の Aave だけだ。組み立ては各プロトコルの MCP、署名はエージェントのウォレットという分業が業界の型になるなら、同じ欄に他のプロトコルの名前が並び始める。

第三に、人の確認がどこまで残るかだ。Guard Mode と Beast Mode の差は、枠の外に出たときに人が呼ばれる設計と、危険と判定されたときだけ人が呼ばれる設計の差になる。借入を含む取引で、利用者がどちらを選ぶか、そして MetaMask が借入向けにどんな既定値を置くかが、信用を機械に持たせる度合いを決める。

確認できる次の一点は、MetaMask 開発者ドキュメントの Agent Wallet ガイド一覧だ。借入・返済・担保の切り替えを扱う手順書は10月12日時点で開けない。今週中にこの一覧を見て、手順書が戻っているか、戻っていれば Guard Mode の許可リストと24時間の流出上限が借入と担保の取引にどう掛かると書かれているかを確かめる。Aave 側は MCP ドキュメントの Safety ページで、清算の扱いと署名前の確認手順に追記があるかをあわせて見る。

ことば

MCP — Model Context Protocol の略で、AI エージェントが外部のツールやデータを呼び出すための共通規格。Aave は9月8日に公式サーバを公開し、10月9日に MetaMask Agent Wallet との接続を告知した。
ヘルスファクター — Aave で、担保の価値に対して借入がどれだけ余裕を持っているかを示す数値。1を下回ると清算の対象になる。Aave MCP は借入の前に、操作後の値を試算して返す。
Guard Mode — MetaMask Agent Wallet の運用モードのひとつ。宛先の許可リストと24時間の流出上限を課し、その外に出る取引は2段階認証で人の承認を待つ。許可リストと上限を外すのが Beast Mode。

🔗 一次ソース