AI 代理人已經會花錢了——授權規則正在加速追趕

六週前,「我們該不該讓 AI 代理人付錢?」還是個辯論題目。到了這一週,它已經變成部署檢查清單上的一格。Cloudflare Wallets、Google 的 Agent Payments Protocol(AP2)、NIST 的 AI Agent Standards Initiative,以及一份躺在美國參議院的法案,正從四個不同方向收斂到同一個洞察:花錢的能力先到了,問責機制還沒跟上——而整個產業正在趕工補上這一層。

這不是單一產品發布的故事,而是一個產業即時發現「給軟體一個預算」究竟意味著什麼的故事。

能力先落地了

2026 年 8 月 4 日,Cloudflare 發表了 Cloudflare Wallets——一套可程式化的穩定幣錢包系統,設計目的就是讓 AI 代理人在網路上持有可驗證的身分,並進行自主消費。架構上把資金分成兩層:一層是由人類持有、出資的 Account Wallet(帳戶錢包),另一層是透過 API 金鑰操作、讓代理人實際花錢的虛擬錢包。關鍵在於護欄由人類設定——每筆交易的額度、核准商家清單、以及單筆交易上限。

與錢包配套的 Monetization Gateway,則讓任何網站都能使用 x402 協定對代理人按請求收費。x402 是一個開放標準,把付款直接附加在 HTTP 請求上,並在邊緣節點以穩定幣結算——沒有註冊流程、沒有結帳頁轉跳、沒有信用卡表單。目前已經有超過二十家公司參與這條代理人支付軌道。

實際的生產數據說明了為什麼這件事不再是理論。Salesforce 對 400 家企業的代理人部署做了測量,發現每個組織平均部署的代理人數量從 5 個成長到 13 個,而且每十次客戶服務對話中,有七次完全不需要人類介入。規模到這種程度的代理人族群,遲早會開始需要買東西——API 呼叫、資料、工具、庫存。

標準正在收斂

最引人注目的,是三個獨立的努力幾乎同時抵達同一個需求。

Google 的 Agent Payments Protocol(AP2) 處理的是核心爭議問題:當代理人買了東西、帳款被爭議時,商家要如何證明用戶真的授權過?AP2 的答案是「授權書(mandate)」——一份經過數位簽章、可驗證的用戶意圖表達,隨交易一起傳遞。《Fortune》八月底的分析指出,AP2 產生的紀錄詳細到能在交易發生爭議時,還原出每個參與者當時看到的資訊,等於是把證據鏈直接內建到付款本身。

NIST 的 AI Agent Standards Initiative 從 2026 年初開始運作,處理的是身分與權限層——代理人如何被驗證、如何證明自己被允許做什麼,以及多代理人系統如何安全地委派權限。雲端安全聯盟(CSA)針對這個計畫的研究筆記,點出了最常見的企業反模式:把 AI 代理人當成服務帳號(service account)對待——這等於給它無限期的常設權限,卻沒有任何機制把權限限縮到特定任務或特定時間窗。

AI AGENT Act(S.5051) 則躺在美國參議院,提供立法框架——對 AI 代理人的行為問責,核心預設是:部署代理人的人,隨時可能被要求證明「代理人做這件事是被授權的」。

把縮寫拿掉,三者說的是同一句話:代理人必須隨身攜帶一份可驗證、經簽章的紀錄,證明有人類核准了這個特定任務,而且有範圍與時間上限。 不是一般性的許可,不是有月預算的 API 金鑰,而是任務層級的授權憑證。

為什麼「任務授權憑證」是對的抽象層

從各份草案中浮現的模式,是一份短時效的簽章授權,隨每個請求攜帶、逐動作檢查、並以防竄改方式記錄。每個元素都對應一個特定的失敗模式:

• 簽章的任務授權證明人類核准的是這個任務,而不是「允許代理人活動」這種笼統許可。差別在於:「用戶讓代理人購物」不等於「用戶讓代理人今天向這家特定供應商買這個特定零件」。
• 短時效很重要,因為永不到期的授權就是常設權限——而常設權限正是服務帳號反模式所常態化的東西。
• 逐動作檢查承認核准一項任務,不等於核准這項任務可能採取的每一步。獲授權「訂一趟行程」的代理人,不應推論出自己有權訂閱會員計畫。
• 防竄改日誌把意圖變成證據。一份可以悄悄修改的日誌不是證據,只是日記。
• 每次執行的消費上限——不是每月,是每次執行——是最簡單的控制,而根據實務工作者的說法,也是最常缺席的一個。

這些都不需要押注任何協定。無論最後勝出的是 AP2、Mastercard 的競爭標準 AP4M,還是 x402,模式都一樣——這正是為什麼標準中立的實作者被建議現在就把證據鏈蓋好,保持可移植性。

資安層面不是假設性問題

Google Cloud 在八月底發布了指導方針,把代理人資安定位為自主工作流程規模化的先決條件,建議平台層治理、任務層溯源(provenance)與人類介入檢查。這份指導與整整一個月的資安事件同時出現,而那些事件從反方向論證了同一件事。

Forcepoint 示範了透過隱形郵件文字的提示注入攻擊:一封 537 個字元的可見訊息,實際送進模型的是 1,009 個字元,而且每一次測試都產生了被操縱的摘要——其中一次悄悄改動了發票期限。Varonis 則展示了 Copilot 的記憶體污染漏洞,在改密碼、撤銷工作階段之後依然存活。

一個會被操縱的代理人是個麻煩;一個會被操縱、又持有錢包的代理人,是完全不同的風險等級。這個組合正是授權層不可省略的原因:綁定到特定簽章任務的消費控制,就是當模型本身被帶偏時的最後一道防線。

團隊這週該做什麼

實務界的建議清單,刻意做到協定中立:

1. 盤點你的代理人現在能做到什麼——不是你設計它們做什麼,而是它們的憑證實際上允許什麼。兩者的差距通常比預期大。
2. 在啟用任何支付能力之前,設定每次執行的消費上限,不是每月上限。
3. 把商家與服務列入白名單。開放式的付款權限,正是這些標準要取代的東西。
4. 記錄授權,而不只是動作。動作容易記錄;爭議時真正關鍵的,是動作背後的許可。
5. 還不要押注任何協定。AP2、AP4M、x402 都是活躍候選者。未來幾個月的採用數據會決定贏家——先把證據鏈蓋好,保持可移植。

尚未定案的問題

Mastercard 的 AP4M 意味著這套基礎設施短期內不會塵埃落定。哪個協定會贏還是真正的開放問題,而未來兩季的採用數據將做出裁決。但方向已無懸念:代理人商務正在從展示走向生產,而「證明你被允許這麼做」正從幾週後跨系統撈日誌的稽核,變成直接內建在支付軌道裡的要求。

代理人拿到了錢包。現在,收據也正在密碼學化。