Guard ModeとBeast Mode、自分にはどちらが向いているのか？
公式ドキュメントは大多数のユーザーにGuard Modeを明確に推奨しており、これは単なる社交辞令ではない。Guard Modeでは、ネットワーク・ホワイトリスト、アドレス・ホワイトリスト、トークン受取先ホワイトリスト、24時間ローリング支出上限の4層が同時に機能し、範囲を超えるあらゆる操作は2FA待ちで一時停止される。Beast Modeは最初の3層のホワイトリストをすべてオフにし、脅威スキャンのみを残す。つまりエージェントは、「このプロトコルはホワイトリストにない」という理由で止められることなく、どんなプロトコルとも直接やり取りできる。
Beast Modeが向いているのは、通常、エージェントが新しいプロトコルと頻繁にやり取りする必要がある状況——たとえば立ち上がったばかりの機会を追いかける場合など——で、ホワイトリスト機構がかえって毎日手動更新が必要な負担になってしまうケースだ。もし操作範囲が比較的固定されている（すでに把握している少数のプロトコルで戦略を実行しているなど）なら、Guard Modeのホワイトリスト機構はほとんど追加の摩擦を生まないまま、実質的な保護層を一つ加えてくれる。
なぜMetaMaskは、プロンプトインジェクション攻撃が業界で真剣に注目され始めたこのタイミングでAgent Walletをリリースしたのか？これは偶然なのか？
時系列を見ると、Blockaidの2026年上半期レポートは7月末に発表され、5月のBankr事件を史上初のAIエージェント悪用事件と位置づけている。一方MetaMaskのAgent Walletは6月に早期アクセスを開始し、8月6日に一般提供に至っており、これはレポート発表よりも前のタイミングだ。つまりMetaMaskのセキュリティアーキテクチャは、Bankr事件を見てから急遽つぎはぎした対策ではなく、「エージェントの判断は誤り得る」という前提が製品の中核設計から組み込まれていたことになる。
これは、MetaMaskの保護が単一の防衛線ではなく、多層設計になっている理由も説明する。取引シミュレーション、Blockaidの脅威スキャン、MEV保護はそれぞれ独立して機能する。たとえエージェント自体がプロンプトインジェクションに騙されて悪意ある取引を実行すると判断してしまっても、脅威スキャンの層がオンチェーンで実行される前にそれを検知・遮断できる可能性が残る——これはまさに、Bankr事件で欠けていた防衛線そのものだ。
Server WalletとBring Your Own Keyという2つの鍵管理方式は、実際の運用上どう違うのか？どちらを選ぶべきか？
Server Walletモードでは、秘密鍵は信頼できる実行環境（TEE）で管理される——これはハードウェアレベルで隔離された環境であり、MetaMask自身でさえ中の鍵の内容を直接読み取ることはできない。エージェントはこの環境を介して間接的に取引を実行するが、ユーザーのメインウォレットの秘密鍵には一切触れられない。つまり、「エージェントに操作を許可すること」と「メインウォレットの鍵を露出させること」の間に、ハードウェアによる隔離層を一枚挟んでいる形になる。一方Bring Your Own Keyモードでは、ユーザー自身がBIP-39ニーモニックを提供し、鍵の管理権は完全にユーザーの手元にある。パスワードで暗号化して静的に保存することも選べるが、その代わりTEEによる追加のハードウェア隔離は失われる。
一般的なユーザー、特に鍵管理の詳細まで深く研究するつもりのない人にとっては、Server Walletがリスクの低いデフォルトの選択肢となる——「鍵の安全性」という問題を、専用に設計された隔離環境に委ねる形だ。すでに自分の鍵管理フロー（たとえばハードウェアウォレットと特定の署名ツールの組み合わせなど）を持っている場合は、Bring Your Own KeyでAgent Walletを既存のフローに統合できるが、その代償として鍵の安全性の責任は完全に自分に戻ってくる。
自分のAgent Walletを設定する場合、実際に最初に明確にしておくべき具体的なパラメータは何か？
初期設定の段階で確定し、実際のリスクエクスポージャーを直接左右するパラメータが3つある。第一に、24時間ローリング支出上限——これは1つの数字で、攻撃者（あるいはエージェントの判断ミス）が1日に引き起こせる最大の損害を決める。設定の目安は「これくらいなら使わないだろう」ではなく、「全額失っても生活に影響しない金額」を天井にすることだ。第二に、Guard Mode下でのプロトコル・ホワイトリスト——利便性のために全部開放するのではなく、実際に使い、信頼しているプロトコルだけを追加する。第三に、2FA承認リクエストの受信チャネル——MetaMask Mobileのプッシュ通知かメールリンクかは、普段どれくらいの頻度と即時性で確認するかによって決めるべきだ。承認リクエストが数時間放置されてしまうようなら、その防衛線は実質的に機能していない。
この3つのパラメータが揃って、「エージェントが判断を誤った場合、最悪どこまで悪化するか」を決める——製品のマーケティングページが強調する「脅威スキャンがどれほど強力か」ではない。脅威スキャンは既知の悪意あるパターンを検知するものであり、ローリング支出上限は、検知に失敗した場合でも損失を抑え込む天井となる。どちらか一方では不十分で、両方を意図的に設定する必要がある。
8月6日、MetaMaskはAgent Walletを一般提供として正式にリリースした。AIエージェント専用に設計されたセルフカストディ・ウォレットで、ユーザーは支出上限、承認済みプロトコル、リスクモードへの完全な管理権を保持したまま、エージェントにオンチェーン取引の自動実行を許可できる。6月に約200名のテスターに限定された早期アクセスを実施して以来、MetaMaskがこの機能を広く一般公開するのは今回が初めてとなる。
このタイミングは偶然ではない。MetaMaskがローンチしたのと同じ週、セキュリティ企業Blockaidが2026年上半期オンチェーン・セキュリティレポートを発表し、AIプロンプトインジェクションを3大新興攻撃面の一つに挙げ、5月に発生したBankrエージェント事件を史上初めて記録されたAIエージェント悪用事件として引用した。MetaMaskはこのタイミングを選び、セキュリティモデルをエージェントウォレットのアーキテクチャそのものに組み込んだ——ユーザー自身に防御策を組み立てさせるのではなく。
Agent Walletの設定では、2つの取引モードのいずれかを選択する必要がある。Guard Modeは公式に推奨されるデフォルトモードで、ネットワーク・ホワイトリスト、アドレス・ホワイトリスト、トークン受取先ホワイトリスト、そして24時間のローリングウィンドウで計算される支出上限を自動的に適用する。これらのルールを外れる取引はすべて一時停止され、二要素認証（2FA）による承認が必要になる。一方Beast Modeは、中断を減らしたい上級ユーザー向けに設計されている。ホワイトリスト機構は完全にオフになり、エージェントはあらゆるプロトコルと直接やり取りできるが、脅威スキャンだけは無効化できず、悪意ある、あるいはリスクの高いコントラクトは引き続きフラグが立てられ、承認待ちとなる。
つまり、2つのモードの違いは「セキュリティ機構があるかどうか」ではなく、「セキュリティ機構がどれだけの頻度で介入するか」にある。Guard Modeはデフォルトでホワイトリストに門番を任せ、Beast Modeはその判断をリアルタイムの脅威スキャンに委ねている。
どちらのモードを選んでも、対応するすべてのEVM取引は同じ3段階のパイプラインを通過する。まず取引シミュレーションで、署名前に残高の変動と承認範囲をユーザーに提示する。次にBlockaid提供の脅威スキャンが悪意ある取引を検出し、該当すると判定されたものは自動的に拒否される。最後にMEV保護が適用される。安全と判定された取引には、月間最大1万ドルのTransaction Protection補償も付帯する。
秘密鍵の管理方法も重要な設計上の選択だ。Server Walletモードでは、鍵は信頼できる実行環境（TEE）で管理され、エージェントはユーザーのメインウォレットに一切触れられない。また、ユーザー自身がニーモニックを持ち込むBring Your Own Keyモードも用意されており、より直接的な管理権と引き換えにできる。
MetaMask製に限らず、何らかのエージェントに資金操作を委ねようと考えているなら、今回のリリースは具体的なチェックリストを提供している。あなたのエージェントウォレットには明確な日次あるいはローリングの支出上限があるか。プロトコルのホワイトリストはあるか、それともあらゆるコントラクトとやり取りできてしまうか。悪意ある取引の検出はアーキテクチャそのものに組み込まれているか、それとも別途自分で設定する必要があるか。そして最も重要な点として、ある取引が疑わしいと判定されたとき、承認リクエストは実際にエージェントの実行を止めるのか、それとも無視できる単なる通知にすぎないのか。Guard ModeとBeast Modeのトレードオフは、本質的には「摩擦と安心感の交換」であり、どちらが正解ということはないが、自分がどちらを選んでいるのかは正確に把握しておくべきだ。