过去一年,AI智能体的能力边界从回答问题扩展到替人办事。最近一批进展集中在最敏感的一环——花钱。多家国际卡组织与电商平台先后启动代理结账试点:用户用一句自然语言说出需求,智能体自行浏览商品、比价、填写地址,并在授权范围内完成支付。这意味着人工智能第一次被允许在真实资金链路上独立动作。

从帮我看 到替我买

此前智能体多停留在给出建议的层面,最终的点击和付款仍由人完成。代购代理把最后一步也交了出去。技术实现上,主流方案并非把银行卡号直接交给模型,而是引入委托令牌:用户在支付网络中预先设定可用商户范围、单笔与累计限额、有效期,模型只拿到一枚一次性、可随时撤销的凭证。真正的扣款指令由后端钱包执行,模型本身看不到完整卡号,也无法绕过授权规则自行提额。

三道闸门

  • 范围约束:令牌绑定具体商户或商户类别,跨类交易直接被拒。
  • 额度约束:单笔上限与日累计上限独立设置,超出即触发人工确认。
  • 可追溯:每笔代理交易留存智能体的决策日志,包括检索到的页面、比价依据与最终选择。

平台希望用这三道闸门,把偶发错误限制在可控的金额与场景之内。部分试点还要求代理交易在账单上单独标记,方便用户事后甄别哪些消费并非自己亲手完成。

风险藏在链路里

业内普遍认为,风险的主要来源不是模型算错,而是外部输入被污染。网页中的隐藏文本、伪造的促销弹窗、被篡改的商品详情,都可能构成提示注入,诱导智能体把付款发往错误账户,或为一件劣质商品支付高价。此外还有更隐蔽的情形:页面显示价格与实际扣款不一致;订阅类服务在授权到期后继续扣费;免费试用被自动转为年费。用户对授权了多久、授权了什么,往往缺乏直观感知。

有安全研究者提醒,把支付权限交给一个会阅读公开网页的模型,等于把它暴露在互联网的全部噪音之中。防御思路目前集中在两处:一是把关键参数从页面文本中剥离,改由结构化接口提供;二是对高风险动作强制二次确认,例如首次向某商户付款、金额超过阈值时,由用户以指纹或口令放行。

责任归属尚未定论

一旦出现误付或盗刷,责任在用户、平台、模型提供方与支付机构之间如何划分,目前没有统一答案。已有的消费者保护规则多针对未经授权的交易,而代理支付处于一个模糊地带:用户确实下达了指令,只是执行细节由机器决定。部分市场开始要求代理交易标记来源并保留完整日志,以便在争议发生时还原决策过程。也有机构在设计赔付基金,先把小额争议快速处理掉,再谈归责。

可以预见,代理支付的成熟度不会只取决于模型有多聪明,更取决于授权、审计与赔付机制能否同步跟上。在规则补齐之前,大多数试点都会把单笔金额压得很低,并保留随时收回权限的开关。对普通用户来说,把付款交给智能体之前,先看清那张授权清单写了什么,可能比挑一个更聪明的助手更重要。