撰文：vignesh sreedhar，Meta 软件工程师
编译：AididiaoJP，Foresight News
消费级 AI 代理正在爆发，本文只讨论 B2C 场景下的传统银行卡支付体系。
AI 代理正在浏览网页、填写表单，而且越来越多地直接下单。代理本应严格按消费者授权行事，但它们仍可能输出错误或非预期的结果，做出并不反映消费者真实意图的操作。任何构建过、使用过或与代理打过交道的人都知道，这种情况随时可能发生。
假设我让 AI 代理订酒店：两晚，总价不超过 600 美元，入住前一天可免费取消，离某个场馆步行可达。代理找到了对的酒店，580 美元，然后付了款。问题是，它订的是不可退改的房型。卡是有效的，商户是真实的，金额也在预算之内——但这仍然是一笔错误的购买。无论人在回路中（即时确认）还是人不在回路中（自主执行），这种情况都可能发生。
这就引出了根本问题：支付可以成功，却仍然违背用户意图。 这背后有两种情况。
第一，意图没有被准确、完整地理解。 一句自然语言请求，必须转化成用户能确认、其他参与方也能验证的明确条件。这个转化过程可能漏掉或误读关键条件，比如能不能退款、哪天送达、能不能换货。意图目前没有标准格式——虽然每家卡组织都会说自己有——所以要求一旦模糊或有歧义，就可能买错。
第二，代理的行为偏离了已经明确的意图。 即使要求很清楚，代理也可能产生幻觉、用过时信息、在多步操作中丢掉上下文、看错结账选项、被恶意提示操纵，或者在结账时出错、遇到 bug。
鉴于这些风险，我们来看看它们如何影响交易中的每个关键参与方。
消费者：缺乏信任。 消费者需要确信代理买的是自己想要的东西、能保护支付信息，出了问题还有清晰的补救路径。NMI 调查了 1000 名美国成年人，69% 不信任 AI 能安全处理支付，70% 希望下单前审核或否决 AI 的决定，只有 10% 愿意把购买全权交给 AI。目前大多数代理购买来自一小群技术先锋（大概率还有风投人士），普通用户仍然不放心把支付交给代理。
商户、PSP 和收单机构：欺诈与拒付风险。 商户的处境更糟。它们必须区分合法的购物代理和恶意机器人，还要在订单事后被争议为「未经授权」或「违背客户指示」时为自己辩护。它们的 PSP（尤其是 Forter、Riskified、Signifyd、Sift、Accertify、Sardine 这类风控服务商）和收单机构必须评估这种风险、处理争议，却完全看不到用户意图。所有风控服务商目前都依赖商户提供的信号，而商户只有在用户于自己网站购物时才能拿到这些信号。
发卡行：在没有任何上下文的情况下批准支付。 发卡行决定是否授权一笔支付、评估争议，但和商户一样，它们看不到用户到底授权了什么。既然如此，发卡行怎么敢承保信用风险？它们无法自信地区分欺诈分子、代理的错误和有效的委托购买。
卡组织：责任与意图在交易中缺失。 卡组织是规则制定者：它们需要一套一致的规则，来识别委托授权、分配损失和责任。如果没有证据在各方之间传递，每一方只能看到交易的一部分，责任就很难说清。
代理公司：需要变现。 代理公司迫切需要一种可持续的交易变现方式，但仅仅促成购买，并不能确立谁该付钱、为什么付。常见的提议是从商户抽佣（按比例抽成或联盟计划），但两条路过去都没走通。Instant Checkout 就是因此失败的：OpenAI 2025 年 9 月推出，到 2026 年 3 月已收缩回产品发现和商户自有结账。联盟计划也做不大——代理得一家一家建关系、一家一家加入商户计划，每个计划都有自己的条款、追踪和结算方式，即便这样也只能覆盖代理活动的一小部分。况且，商户为什么要一边付联盟费、一边承担不成比例的风险？
负向飞轮效应。 这些缺口会互相强化：授权和责任说不清，商户就会封锁，发卡行就会收紧检查，批准率随之下降，结账被打断。体验变差，用户就更不愿意把购买交给代理。消费者信任也很脆弱：YouGov 为 ACI 调查了 2080 名英国成年人，60% 表示 AI 购物代理犯一次错，自己就会停用。
关键在于：就算模型进步到代理完全理解并遵循用户意图，问题依然存在。 一个代理再完美，它执行的意图别人看不见，整个生态里的欺诈、拒付和争议风险一点没少：商户还是分不清合法代理和恶意分子，发卡行还是验证不了用户到底授权了什么，用户的说法还是没法证明，也没法证伪。
我不逐一覆盖每家公司，但会解释已经获得一定关注的更广泛的代理支付方案。
自动填充原始卡号
一种出奇常见的做法是：把用户的真实卡信息存进保险库，再用浏览器代理把它填进商户的支付表单。Instinct 和 Hark Labs 等主要个人代理就是这么做的。Instinct 开始支持 Stripe Link，但保险库仍然存在。
Instinct 的支付操作跑在云端虚拟桌面里，不方便当场演示。于是我转而测了 Hark 的保险库——它直接把我的原始卡号和 CVV 不加掩码地填进了支付表单。更离谱的是，这些代理号称日活那么高、估值那么高，却很少有人指出这个明显的安全漏洞。
马斯克也发过推，说你可以把信用卡照片发给 Grok Bot、扔进聊天框，然后让它网购。但 xAI 自己的条款写得很清楚：「Grok Bot 可能在持久云环境中保留客户数据、文件、浏览器会话、凭证、记忆和例程……删除 Bot 可能不会删除共享文件、会话、凭证或例程。」
那这些公司 PCI 合规吗？自动填充卡号本身不必然违反 PCI，但存储和暴露支付凭证会带来沉重的安全和合规义务。PCI DSS 禁止服务商为将来购买保留 CVV，包括通过服务商管理的保险库和浏览器自动填充。我在几家公司的条款里看不到任何 PCI 合规认证，所以这些做法处在很灰色的地带。
Agentcard（YC S26 公司，给代理提供卡保险库）有一个有意思的方案。技术上 PCI 合规，类似 1Password：用户把原始卡信息加密存起来，Agentcard 自己也访问不了。它需要代理浏览器集成（Kernel、Browserbase），交易用 Face ID 批准。最终商户收到的是真实信用卡信息。Agentcard 值得点赞，它找到了一种新颖且 PCI 合规的办法，让代理用原始卡信息支付。就算代理浏览器成了常态、用户接受了这种类 1Password 方案，我认为在代理代币真正规模化之前，它仍是一个靠谱的过渡方案。他们还支持自动批准，用户保存卡时可选择设置按金额阈值自动批准（例如 50 美元以下自动批准）。Agentcard 目前支持 30 家 PSP，包括 Stripe、Shopify、Worldpay 等。
代理令牌
不分享真实卡信息也能支付，办法早就有了：令牌化。这里的「令牌」不是区块链上的加密代币，而是一串替代真实卡号的支付凭证。Apple Pay 的设备绑定凭证就是令牌化的产物，商户也用卡组织令牌来提高授权率、降低欺诈。令牌替代底层卡信息，可以限定到设备、商户或使用场景。代理令牌则是代表消费者现有卡的卡组织令牌，附带代理身份、认证指令和支付控制等服务。Visa、Mastercard 和 American Express 过去一年各自推出了自己的代理令牌方案。
Visa Intelligent Commerce（VIC）是第一个代理令牌方案。按 Visa 披露的流程，用户先验证卡片、设置通行密钥，再认证授权代理购买的指令。代理请求结账凭证（也就是代理令牌）时，Visa 会针对原始指令设置卡组织控制。支付到达授权环节，VisaNet 再核对指令。指令里包含金额上限、凭证有效期、商户域名等较高层级的授权条件。不过，每个主要代理平台都有通行密钥豁免——后面会解释为什么这对发卡行很要命。
Mastercard Agent Pay 也一样，先从注册代理、拿到用户同意和认证开始。Mastercard 的令牌化服务发放代表用户现有卡的令牌，供代理使用。按其披露的进阶结账流程，代理通过 Intent API 提交购买详情和限制条件，换回一个意图 ID 和令牌化支付凭证。
AmEx 的 Agentic Commerce Experiences（ACE）把注册、意图批准和凭证获取拆成三步。账户启用让用户把卡注册到已验证的代理，并完成发卡行认证。AmEx 既是发卡行又是卡组织，整个发放生命周期都能自己控制。代理调用 Create Intent API 提交购买指令和限制条件，准备付款时再用证明令牌换一个限定范围的结账凭证。
跨卡组织看，两个主要决策很重要：发放和支付授权。发放决定卡能不能被注册、代理能不能创建可用令牌。授权（和今天一样）决定凭证到了结账环节后这笔支付批不批。既然有这些方案，为什么不直接用？问题是，几家发卡行目前不支持跨卡组织发放这些令牌。Chase 等大行明确不支持代理令牌，很多其他行也还不能稳定支持。除此之外，授权摩擦很大，3D Secure 挑战率很高。
卡组织推出的代理令牌，理论上很美好，实际落地大多不顺，原因有两个——技术架构和发卡行抵制。
Crossmint 专挑这些发卡行不支持代理令牌的空档下手。它不发新卡，直接用用户自己的卡。注册时先看这张卡能不能拿代理令牌（VIC、Agent Pay 或 ACE）；拿不到，就回退到 PCI 合规保险库直通卡号：卡号用代理浏览器、计算机使用或 UCP 组件生成的公钥加密，结账时本地解密再自动填充。Alfongi 告诉我，Crossmint 跟 Visa 和 Mastercard 讨论过这个方案，最终选择不发虚拟卡，因为卡组织保证长期不会允许。
现实表现也没那么理想。Crossmint 承认授权率和发放率都还不算好，但近两三个月在改善。他们的数据里，Mastercard 好得多，Visa 不太行，尤其是 Chase 和商业卡。
卡组织能定义凭证和控制，但发卡行仍要评估风险、在出问题时服务持卡人。没有可靠证据证明用户授权了什么、这笔购买是否匹配意图，发卡行就不敢承保代理委托带来的额外风险。AmEx 既是卡组织又是发卡行，有独特优势，它明确强调要在执行前把意图交给发卡行。这也是通行密钥豁免要命的地方：通行密钥是持卡人证明自己授权了指令的唯一一步，而对每个主要代理平台都豁免通行密钥，发卡行恰恰在最需要这个信号的时候把它弄丢了。
作为参考，Stripe 是第一家大规模推出这种方法的公司，但我知道另外几家也已经或正在建发行计划。
怎么运作： 一个中间方给代理发一张新卡（通常是单次使用虚拟卡），每笔购买就变成两段：你的卡付给 Link，Link 的卡付给商户。Link 已成为事实上的代理钱包，2026 年 9 月代理购买环比增长 38 倍。
经济账： 在扣除计划成本和给代理的支付之前，信用卡资金在 100 美元购买上大约留下 0.40 美元利差。用户这边：Link 出现在你的账单上，类别奖励不适用，争议和退款通过 Link 再回到商户。商户和发卡行这边：商户收到的是一张没有风险数据的商业卡，收单成本最多高出约 200 个基点；发卡行则丢了商户级数据。卡组织这边：Visa 禁止在其分阶段钱包规则之外进行实时卡前置。Mastercard 在 2026 年 Q3 财报电话会上走得更远：CEO Michael Miebach 说「我们不支持把一次性虚拟卡号发出去做交易前置的做法」，称 VCN 是桥梁，「不是我们将支持的长期方案」。
我聊过的运营者从另一面说了同样的意思：现在的做法正在向发行可信虚拟卡收敛。问题也很明显——当你基本是在为 MOR/ 卡对卡资金模式做设计时，账根本算不过来。Privacy.com 花了 10 多年把这个模式磨透了：资金端有巧妙策略优化收单成本和卡组织费用，欺诈模型精细调过，信用和交易损失承保、客服、拒付处理也都自己做。Stripe 可能愿意硬推、吃下巨额亏损来抢市场份额。
卡组织这边态度微妙。一些卡组织的特许经营团队不喜欢前置，但实际上卡组织赚得更多，因为每笔购买多了几个刷卡环节。Affirm/Klarna 式的 BNPL 就是例子：通过虚拟卡在电商 POS 先付商户，再向消费者的底层借记卡收取分期款。而且 Visa 绝不会让 Mastercard 在代理领域抢先，反过来也一样。所以两家都会破例支持过渡方案，就像它们在稳定币结算和跨境发行豁免上做过的那样。
10 月 26 日，Stripe 推出面向代理的 Link Balance，最先通过 Instinct 落地。架构上的变化是把资金和单笔购买分开：消费者提前充值、授予支出权限，代理就能在消费者不在时按权限行事。简言之：
怎么运作： 一个完成 KYC 的预充值余额，以稳定币（Tempo 上的 USDC）存在 Privy 钱包里，通过享受 Durbin 豁免的 Lead Bank 发行的消费者预付 Visa 卡花出去。
为什么用稳定币： 用稳定币，代理权限就落在钱包层，也给 Stripe 带来分发能力：一个可编程余额既能付普通卡商户，也能付机器支付轨道（比如 Stripe 的 Machine Payments Protocol），还能把美元余额铺到海外，不用在每个市场都建本地存款产品。但该余额不受 FDIC 保险。
经济账： 借记充值便宜，每 100 美元约 0.26 美元；每 100 美元购买能拿约 1.95 美元交换费；再加上闲置余额的浮存收益，如果 Link 转向 Bridge 的 OUSD，浮存还会更多。
责任： 代理犯的错，消费者自己扛。Link 的条款不覆盖非授权交易，你原来的发卡行只看到一笔充值。
这是目前代理公司支付和变现最成熟的方案，但它让消费者、商户、发卡行和卡组织都更糟。上面的文章包含完整拆解、数字和来源。
Shopify 走的路和 Amazon 等商户相反——Amazon 直接屏蔽 Meta 的 Muse 等代理在自己网站上购买。1 月，Shopify 和 Google 一起做了 Universal Commerce Protocol（UCP），让代理能跨商户搜索商品、加购物车、结账。9 月，Shopify 把 WebMCP 支持扩到结账环节，包括 Shop Pay，覆盖所有符合条件的商户。这样基于浏览器的代理就能通过结构化工具读取、更新和完成结账，不用再靠截图和抓取。它还跟 Muse 和 Instinct 直接合作，不过据报道，它们不像 Stripe 那样跟代理公司分经济收益。支付上，Shop Pay 对非 Shopify 店铺用代理代币，而前面说过，代理代币的授权率和发放率都很差。
几家第三方正在其之上构建，如 Crossmint 和 Sapiom。Crossmint 的无头结账 API，商户支持就用 UCP 和 WebMCP，不支持就用自定义浏览器工具。它声称能覆盖 90% 的电商网站，中位耗时不到两分钟。另外特别提一下 Agentcard 的 opencommerce.sh：给代理一个端点和 SDK，就能在 5026 家网店里搜商品、结账、跟踪订单。用户批准购物车后，支付从 Agentcard 保险库走，即将支持 Stripe Link 和 Shop Pay。每笔完成订单收 1%。
但这只解决了结账环节。Shopify、Crossmint、Agentcard 等让代理更容易完成购买，却没有改变一件事：代理买错东西时，风险由谁承担。
商业本质上是一个多边风险网络，商户和发卡行手里都有否决权。消费者可以整天想让代理替自己买，但只要商户（供给商品的一方）不接受，或者发卡行（供给购买力的一方）不授权，这笔购买就不会发生，用户大概率还是自己下单去了。
你可能会说，光靠消费者需求就能转起正向飞轮：用代理购物的人多了，商户自然会建接受这些支付的基础设施，抵制的发卡行和卡组织只会被绕开，Stripe 和 Shopify 等玩家主导代理商务。
我认为这不是没可能，很大程度是因为 Stripe 在下很大一盘棋。Alfongj 说过，Visa 建帝国靠的是道路两头，Stripe 正把两头都攥在手里：一头是商户，去年 Stripe 上的企业处理了 1.9 万亿美元；另一头是消费者，3.5 亿多人用 Link，它还预装在热门代理里。
围着这两头，Stripe 把网络的其他部分也拼齐了：Tempo 做轨道，OUSD 做货币，MPP 做协议。一旦 Tempo 上的 Link 余额能通过 MPP 付给 Stripe 商户，一条完整的支付路径就绕开了 Visa——没有交换费，没有拒付风险，商户即时结算。
这条路肯定会被发卡行、卡组织、可能还有用户层层设障。但 Stripe 押的就是这个雄心勃勃的赌注：给代理商务造一个闭环网络。他们该这么赌。
不过我认为，这事做成的概率相当低，原因有两个。
第一，门槛极高。 过去十年，支付体验被磨得越来越顺：保存支付信息、一键结账、Apple Pay 等钱包，2014 年钱包和卡组织令牌化一起落地。今天的结账是几十年、几百亿美元投资打磨出来的，已经接近最优。成熟到什么程度？全球支付收入 2024 到 2025 年只增长了 3%，而此前几年平均增长 11%。所以，如果代理商务体验更差——拒付更多、验证挑战更多、会话被封锁更多——人们就不会大规模用。他们会绕开代理，自己买。
第二，信任。 支付极其敏感，信任极其脆弱。许多代理公司把 PCI 合规当成后补事项，大量安全事件可能随之而来。也可能出现非预期购买：没有消费者保护，没有争议权，没有规则，也没有哪个生态参与者愿意担责。只要身边有一个人踩了坑——一笔非预期支付、一次被商户或发卡行封锁、一次安全违规——他就再也不会用了。
支付信任要花很长时间建立。第一次安全的在线卡支付，是 1994 年 8 月买的一张 Sting CD。到 1999 年四季度，电商只占美国零售的 0.64%；2010 年 4.2%；今天也才 17.1%。整整 30 年。而且增长背后是制度性信任：Visa 1997 年的零责任政策、2001 年的 3DS、2004 年的 PCI DSS、2014 年的卡组织令牌化和 Apple Pay。代理支付这些一样都没有。身边人都在用，可能让人试一试；但真正让它规模化的，是制度信任。
更何况，我们正在造一个各方激励根本对不上的生态系统：
卡组织想保住影响力。 它们建了代理代币、通行密钥和意图 API（其实 barely 捕捉到真实意图），想让代理商务跑在自己的轨道和规则上。但 Chase 等发卡行就是不发放，每个主要代理平台又都有通行密钥豁免。最糟的是，它们还互相竞争，标准互相打架，规则碎成一地。它们也不该自满：Stripe 正赌自己成为支付领域真正的巨无霸，谁跟 Stripe 竞争，位置都不好坐。
商户在打防守。 大商户正接代理来处理多出来的交易量，但用的还是为人类设计的黑箱欺诈模型：IP 地址、浏览器会话历史、指纹、地理位置对不上，等等。几百家公司已经在讲 KYA 和复杂欺诈模型，但没有一家覆盖面和分发能力足够大，让人真感兴趣。我甚至觉得，如果看不清代理背后的人和意图，KYA 根本行不通，而代理公司不会轻易交出这些。
发卡行没法凭良心承保自己基本看不见的交易。 但它们可能在这里挑大梁。正如 Nikil Konduru 所说，只有发卡行具备全套能力来兜住代理的错误：交换费出溢价、承保、资金凭证、争议处理。它们可以要求代理在授权前提交意图，才给购买保护，再把这个意图和跨商户购买历史结合，最终建起它们一直想要的零售媒体网络。但发卡行动慢，而且这个模型只有五大行抱团抵制、赶在标准定下来之前提要求才管用（它们大概率不会）。代理公司也没理由一家一家接发卡行——一个钱包已经到处能用，况且没人想通过银行 App 购物。
代理公司需要能规模化的 GMV 变现，来付算力账单。所以什么方式今天能让购买通过、能给它钱，它就用什么：保险库存原始卡、通过 Link 发行、跟商户谈定制协议，都行，不管给商户、发卡行或卡组织带来多少成本。
它们也有宏观顺风。2026 年一季度，AI 拿走了全球约 3000 亿美元风投融资的约 80%；OpenAI 和 Anthropic 两家上半年就筹了约 2170 亿美元；Alphabet、Amazon、Microsoft 和 Meta 计划 2026 年在 AI 基础设施上花约 7250 亿美元，同比增长 77%。消费级代理同样不缺钱：Instinct 8 月才邀请制上线，9 月就以 100 亿美元估值融了 10 亿美元，而一个月前它才以 25 亿美元估值融过一轮。
这么多钱、这么大的影响力和压力压在消费级 AI 上，代理商务又有望成为可持续变现的手段，代理公司和它们的投资者不会等支付生态慢慢想清楚。它们会快速行动，把这事做成，有没有其他人无所谓——这就是 Stripe 和其他押注「服务代理」的公司聪明的地方。
但我认为，它们最终要靠这些用户变现。由于上面说的所有原因，除非整个商业生态都有动力让它运转，用户不会大规模采用。
只让用户受益、不让商户受益，做不大。只让商户受益、不让发卡行受益，做不大。只让发卡行受益、不让代理公司受益，也做不大。
