에이전틱 결제 규격의 두 갈래, 허락의 증명과 돈의 이동

2026년 4월, AI 에이전트(사람 대신 일을 처리하는 AI 프로그램)의 결제 규격 두 개를 만든 회사들이 각각 중립 기구에 넘기겠다고 발표했습니다. 4월 2일 리눅스 재단은 코인베이스가 만든 x402(웹 요청 안에 결제를 넣는 규격)를 넘겨받을 x402 재단 설립을 발표했습니다. 4월 28일에는 구글이 에이전트 결제 규약(AP2)을 FIDO 얼라이언스(온라인 인증 표준을 만드는 업계 단체)에 기증한다고 밝혔습니다. x402 기증은 7월 14일 마무리됐고, 재단은 회원 40곳으로 정식 운영에 들어갔습니다. x402는 돈을 옮기는 방식을, AP2는 사람이 결제를 허락했다는 사실을 증명하는 방식을 다룹니다.

에이전트에게 맡기는 결제의 범위

에이전틱 결제는 사용자가 한도와 조건을 걸어 두면 에이전트가 그 안에서 스스로 골라 값을 치르는 결제입니다. 비자도 2025년 4월 발표에서 지출 한도와 조건은 소비자가 정하고, 에이전트에게 무엇을 할지와 언제 결제 수단을 쓸지 지시할 수 있는 것은 소비자뿐이라고 적었습니다.

2025년 9월 AP2 발표문의 두 장면이 그 범위를 보여 줍니다. 첫 장면에서는 사람이 곁에 있습니다. 사용자가 흰 러닝화를 찾아 달라고 하면 에이전트가 장바구니를 내놓고 사용자는 그 장바구니에 서명해 승인합니다. 두 번째 장면에서는 사람이 자리를 비웁니다. 사용자는 콘서트 표가 풀리는 순간 사 달라고 맡기면서 가격 한도와 시점 같은 조건에 미리 서명합니다. 조건이 맞으면 에이전트가 그 서명을 근거로 장바구니를 만듭니다.

허락을 증명하는 규격, 구글 AP2와 FIDO 얼라이언스

AP2 발표문은 지금의 결제 시스템이 대체로 사람이 믿을 수 있는 화면에서 직접 '구매'를 누르는 상황을 전제로 한다고 짚었습니다. 스스로 결제를 시작하는 에이전트는 이 전제를 깹니다. 그래서 발표문은 거래할 권한을 확인하고 전달할 공통 토대가 필요하다고 적었습니다. AP2가 꼽은 질문은 세 가지입니다.

1. 권한: 사용자가 특정 구매 권한을 에이전트에게 줬다는 증명
2. 진위: 에이전트의 요청이 사용자의 진짜 의도와 같은지 판매자가 확인하는 일
3. 책임: 부정 거래나 오류 거래가 생겼을 때의 책임 소재

AP2의 답은 '위임장(Mandate)'입니다. 위변조할 수 없게 암호로 서명한 디지털 계약으로, 사용자 지시의 증거가 됩니다. 서명에는 W3C(웹 표준 기구)의 권고 표준인 검증 가능한 증명을 씁니다. 위임장은 두 장면에 맞춰 의도 위임장과 장바구니 위임장으로 나뉩니다.

AP2는 의도에서 장바구니, 결제로 이어지는 이 기록이 권한과 진위 질문에 답한다고 적었습니다. 책임 문제에서는 "분명한 토대"를 준다고만 썼습니다.

FIDO 얼라이언스도 2026년 4월 발표에서 같은 문제를 짚었습니다. 사용자는 에이전트에게 자격 정보를 넘겨야 할 수 있는데, 서비스 제공자에게는 누가 어떤 조건과 한도로 그 행동을 허락했는지 확인할 공통 방법이 없다는 진단입니다. FIDO는 에이전트 인증 작업반을 새로 꾸렸고, 에이전트 결제 규격은 마스터카드와 비자가 의장을 맡은 결제 작업반에서 만듭니다.

결제 규격의 출발 자료는 구글의 AP2와, 마스터카드가 구글과 함께 만든 '검증 가능한 의도' 규격입니다. 구글은 이 규격이 사용자가 허락한 에이전트 행동을 고칠 수 없는 기록으로 남겨 나중에 책임을 따질 수 있게 한다고 설명했습니다.

돈을 옮기는 규격, 1997년부터 예약 상태인 402번

웹 통신 규칙(HTTP)의 표준 문서(RFC)에는 1997년 판부터 '402 결제 필요'라는 상태 코드가 있었습니다. 설명은 "향후 사용을 위해 예약"이라는 한 줄뿐이었고, 지금 표준인 2022년 개정판에도 같은 문구가 있습니다. 코인데스크는 x402라는 이름이 이 402번에서 왔다고 전했습니다.

x402에서는 결제 없이 요청이 들어오면 서버가 402로 답하고 요청한 쪽은 값을 치른 뒤 같은 요청을 다시 보냅니다. 공식 사이트 설명으로는 이 과정에 계정도 개인정보도 필요하지 않습니다.

주된 쓰임은 스테이블코인 결제지만 공식 사이트는 특정 네트워크에 묶이지 않는다고 적었고, 리눅스 재단의 7월 발표도 지원 범위를 기존 카드부터 스테이블코인까지로 설명합니다. 4월 발표 당시 회원 참여 의사와 지지를 밝힌 22곳에는 비자와 마스터카드도 있었습니다.

카드망 안에서 풀어 가는 방식

비자가 2025년 4월 발표한 '인텔리전트 커머스'는 규격이 아닌 사업 프로그램으로, 비자 결제망을 AI 에이전트 개발자에게 엽니다. 카드 정보를 토큰으로 바꾼 자격 증명을 쓰고 거래 신호를 비자와 실시간으로 나눠 분쟁 관리를 돕습니다. 소개 페이지에는 제품이 배포 과정에 있어 최종판에서 일부 기능이 빠질 수 있다는 고지가 붙어 있습니다.

비자는 2025년 10월 클라우드플레어와 함께 만든 '신뢰 에이전트 규약'도 내놓았습니다. 에이전트마다 암호 서명을 붙여 살 뜻이 있는 에이전트를 악성 봇과 구별하는 방식으로, 진위 질문을 카드망 쪽에서 다룹니다.

마스터카드는 2025년 4월 '에이전트 페이'를 발표했습니다. 기존 토큰화 기술 위에 '에이전틱 토큰'을 얹어 등록과 검증을 거친 에이전트만 결제할 수 있게 하는 방식입니다.

스트라이프와 오픈AI는 2025년 9월 에이전틱 커머스 규약(ACP)을 누구나 쓸 수 있는 공개 소스로 내놓았습니다. 에이전트가 판매자의 결제 대행사에 보안 토큰으로 결제 정보를 넘기는 구조입니다. 이때 거래 당사자는 판매자로 남습니다.

하루 2만 8천 달러, 시험 단계의 거래 규모

실제 거래 규모는 아직 작습니다. 코인데스크 2026년 3월 11일 보도에 따르면, 최근 하루 단위 집계로 x402 거래는 약 13만 1천 건, 약 2만 8천 달러였습니다. 건당 평균으로는 약 20센트입니다. 2월 중 하루에 380만 건, 약 200만 달러가 몰린 적도 있습니다. 블록체인 기록 분석 회사 아르테미스는 그 급증의 상당 부분이 인프라 시험과 실험용 사용 때문이었다고 봤습니다.

아르테미스는 또 관찰된 x402 거래의 약 절반을 인위적 활동으로 분류했습니다. 같은 지갑이 사고파는 자기거래, 판매자가 구매자 지갑에 넣은 돈을 거래 직후 돌려받는 자전거래가 그 예입니다. 기사는 시험 초기에는 이런 거래가 예상된 일이라고 덧붙였고, 아르테미스는 실사용으로 넘어가면 이 비율이 자연히 낮아질 것으로 내다봤습니다.

같은 기사에서 투자사 a16z 크립토의 노아 레빈은 결제 대행사가 가맹점의 위험을 떠안기 때문에, 웹사이트나 법인, 이력이 없는 작은 도구는 심사하기 어렵다고 설명했습니다. 코인데스크는 x402가 카드를 대신하기보다 소프트웨어가 쓰는 작은 자동 서비스라는 새 영역을 겨냥한다고 짚었습니다.

국내 참여와 원화 제도의 거리

7월 x402 재단 회원 명단에는 국내 기업 카카오페이, 헥토파이낸셜, 갤럭시아머니트리 세 곳이 일반 회원으로 올라 있습니다. 카카오페이는 9월 15일 에이전틱 결제를 구매와 판매 양쪽에서 실증했다고 밝혔습니다(머니투데이 보도). 헥토파이낸셜은 6월 구글 AP2 기반 에이전트 결제 기술 검증을 마쳤다고 밝혔습니다(뉴스핌 7월 20일 보도).

회원 가입과 기술 실증은 상용 서비스와 다른 단계입니다. 원화 스테이블코인을 제도 안에 들일 디지털자산기본법은 기준일까지 확인한 보도로는 정부안이 아직 국회에 제출되지 않았습니다.

산업이 함께 정할 네 가지 질문

규격은 허락을 기록하는 형식과 돈이 오가는 길을 정합니다. 그 바깥의 몫은 네 가지입니다.

첫째, 허락 증명의 공통 형식입니다. AP2와 검증 가능한 의도, 비자의 에이전트 서명, 마스터카드의 등록과 검증처럼 방식이 여럿입니다. 관건은 국내 결제사와 가맹점이 이 가운데 어떤 형식을 읽고 확인할 수 있어야 하느냐입니다.

둘째, 책임의 배분입니다. 카드망에는 분쟁 관리가 붙어 있고 ACP는 판매자를 거래 당사자로 둡니다. 스테이블코인으로 치른 에이전트 결제가 잘못됐을 때 사용자와 에이전트 운영사, 판매자, 지갑 사업자의 몫을 누가 어떤 규칙으로 정할지는 규격만으로 정해지지 않습니다.

셋째, 계정 없는 결제와 고객확인입니다. x402 공식 사이트는 결제 수단 등록 때의 고객확인(KYC) 절차를 기존 방식의 불편으로 꼽습니다. 특정금융정보법은 가상자산사업자를 포함한 금융회사에 고객확인 의무를 지우고 확인할 수 없으면 신규 거래를 거절하게 합니다. 계정 없이 오가는 결제에서 고객확인을 어느 지점에서, 누구를 대상으로 할지가 쟁점입니다.

넷째, 원화 제도 안의 자리입니다. 디지털자산기본법 정부안이 확정되는 과정에서 사람이 위임한 에이전트의 결제를 이용자 보호와 한도, 기록 요건에 어떻게 연결할지가 과제입니다.

규격의 관리는 회사에서 중립 기구로 옮겨 가고 있지만, 네 질문은 규격 밖에서 결제사와 판매자, 정책 당국이 함께 정할 기준입니다.