inspired by Wait But Why
先认识一下 Alex。Alex 很忙，所以找了一个 AI agent 当助理。这个 agent 能自己打开网页、点按钮、填表，替 Alex 把事情办完，不只是陪 Alex 聊天。
有一天，Alex 想退掉去旧金山的机票。1看看发生了什么：
Alex 只问了一句「能不能退」，没有让 agent 取消机票。
agent 回答得很靠谱：免费取消的 24 小时已经过了，它会先查清条款，再动手。它知道这一步可能要花钱。
条款才查到一半，agent 已经在航司网页上点了「取消行程」。在 agent 眼里，这只是一次普通点击，所以它没有停下来问 Alex。
取消生效了：手续费 $258，换回一张 $31.96 的航司代金券。agent 说的每句话都对，出事的是它点下去的那一下。
真实发生过：一位用户在 X 上晒出了和 Instinct 的这段对话。
对，这正是怪的地方。这件事里没有坏人，也没有黑客，只有一个很能干、但没人告诉过它「这个按钮会扣钱」的助理。
所以这篇想回答的问题是：agent 已经能替用户付钱了，为什么大多数用户还不让它付？Visa 的调查里，只有 23% 的美国人信任 AI 替自己付款。2
我们跟着 Alex 的一块钱走一趟。这块钱从 Alex 手里出发，到商家手里，中间要过三道门。每过一道门，门会打开，图下面会写门里面有什么、已经有了什么、还缺什么。
这块钱从 Alex 手里出发了。它会自己走过三道门；想停下来细看，按「暂停」，或者直接点一扇门。
第一道门 · agent 的脑子。要回答的问题：agent 会不会做出 Alex 没同意的事？
门里有一个保安。它是一段代码，拿着 Alex 的同意记录，核对 agent 要做的每一个有后果的动作。
还缺看清后果，和没看清就别动。取消航班就是从这里漏过去的。
第二道门 · 支付的管道。要回答的问题：商家和银行认不认得这个替 Alex 办事的 agent？
门里有一张一次性卡，付款这一步能走通；还有一个风控保安，它是按人类付钱的习惯训练出来的。
还缺一个会看 agent 的风控。现在风控认不出 agent，只能把它挡在门外，或者让 Alex 签「后果自负」。
第三道门 · Alex 的心。要回答的问题：Alex 需要看到什么，才愿意让 agent 付钱？
门里有三件事：付之前知道自己同意了什么，出了事知道最多损失多少，买错了钱能拿回来。第一件已经有了。
还缺后两件：一级一级放大的额度，和 agent 买错时的退款规则。
到了商家。三道门都过了，这块钱才算放心交到了商家手里。$258 那次，钱在第一道门就出了事，下面从第一道门讲起。
先说一件反直觉的事：agent 出错，最常见的原因不是「它不够聪明」。
模型出错有四种样子：听了别人的话（网页或邮件里藏着冒充 Alex 的指令），看错 Alex 的意图，做了任务之外的事，或者编造事实。四种错说的其实是同一件事：agent 要做的事，和 Alex 真正同意的事对不上了。
Google 的 Agentic Checkout、Meta 的 Muse、创业公司做的 Instinct，公开的做法拼起来大同小异：在门口放一个保安。看看这个保安怎么干活：
agent 要花 $89 买跑鞋，这是一个有后果的动作，走正门。保安拿 Alex 的同意记录核对：买什么、在哪买、最多花多少。三样都对得上，门才打开。
价格涨到了 $140。agent 在聊天里说「价格没问题」，保安根本不听：它是一段代码，不是模型，只看同意记录。超过 $120，就拦下来先问 Alex。Meta 介绍 Muse 时写得很直白：「Muse proposes actions, but only Sentinel can grant permission.」3Sentinel 就是 Muse 的那个保安。
取消航班不一样。付款要经过结账页或钱包，一看就知道在花钱；取消行程在 agent 眼里只是航司网页上的一次普通点击，手续费写在条款里，不在按钮上。于是它走了侧门，侧门没人看守，扣了 $258。
还缺 ①看清后果：agent 得能从网页的结构代码（DOM）、按钮旁边的小字和取消条款里，读出「这一下要扣 $258」。更稳的做法，是让网页或商家的接口直接把后果写出来。
还缺 ②没看清就别动：后果没确认之前，动作不能执行；看不出后果的动作，默认先问 Alex。
保安只守正门，而取消航班走了侧门（上图第 3 步）。把保安放回整个 agent 系统里看，三家公开的部分拼起来是这样一张图：
网页、邮件和商家页面先进入 agent 的模型。它们里面可能藏着冒充 Alex 的指令，所以进门前先被标成「不可信」：模型可以读它们，但不会把它们当成 Alex 的话。
模型读完页面，提议下一个动作，比如「付款 $89」。识别模型先看一遍：这是不是一个动作？里面有没有被注入的指令？有没有编造的内容？它只能拦下，或者转给 Alex，不能批准。
动作到了保安这里，也就是策略检查。保安是一段代码，依次问四个问题。$258 那次就卡在第一个问题上：取消行程被当成了没有后果的普通点击，后面三个问题根本没被问到。
保安手里的同意记录从哪来？Alex 在 app 自己画的确认界面上点同意，而不是在聊天里说一句「好」。这个回答不经过模型，直接写进同意记录：谁同意的、同意了什么、能做到哪一步、价格上限是多少。
四个问题都对得上，保安才把动作交给钱包付款，或者让它执行。
有一个对不上，就停下来，告诉 Alex 是哪里不符合。
三家各自公开了其中一部分：Instinct 和 Muse 公开了识别模型，Muse 公开了独立的权限服务 Sentinel，Google 公开了「同价或更低」的规则。拼起来，就是这张图。
第一道门缺的，是看清后果，和没看清就别动。保安的四个问题都在，第一个问题却答错了。
假设 agent 已经算清楚要付多少，Alex 也点了同意。这块钱要进入支付系统了。
先看这根管道以前怎么走。Alex 自己买一双 $120 的跑鞋，钱要经过四方：Alex、商家、网关和收单行、卡组织和发卡行。
身份。Alex 开户时，银行已经做过 KYC（核实这个人是谁），在这次交易之前就完成了。
结账。Alex 自己选鞋、填地址，在网页上一步一步点。
入口。商家用 captcha 和风控确认：屏幕前是一个真人。
凭证。Alex 自己输入卡号，或者用钱包付款。
批准。网关和收单行把交易送到卡组织和发卡行；发卡行判断风险，风险高才要求 Alex 输入短信验证码（3DS），然后批准。
商家确认订单，发货。每一步都是 Alex 本人做的，所以每一层都默认：付钱的就是持卡人自己。
现在换成 agent 去买同一双。每一层都多了一个「代理人」的版本：
同意。Alex 在确认页上同意「预算 $120，买这双」，agent 拿到一份签名的同意记录。以前没有这一步：Alex 本人在场，按下去就算同意。
身份。agent 带着自己的身份访问商家。这叫 KYA（Know Your Agent，认识这个 agent），对应以前给人做的 KYC。
入口。商家验证 agent 的签名，放行可信的 agent。可很多网站照样挡掉：红色虚线是还没解决的地方。
结账。agent 通过商家的接口下单，或者跳回商家自己的结账页。
凭证。Alex 在钱包页面上确认，几分钟内有效；卡组织和发卡行生成一个限定范围的凭证，agent 拿不到 Alex 的真实卡号。
批准。网关和收单行照常把交易送出去；发卡行认出这是 agent 的 token，批准。
商家确认订单，发货。可如果 agent 买错了，现在的拒付理由里没有一条对得上，Alex 不一定拿得回钱。
付款这一步已经能走通。麻烦出在红色虚线上，尤其是入口那一条：银行、卡组织和商家的风控。它在这扇门口站了几十年，见过几十亿个付钱的人类。然后有一天，一个穿风衣的机器人走了过来。
风控是按人类的行为训练出来的：人类怎么拿手机、怎么打字、一般什么时候买东西。一个人类拿卡来付钱，风控认得，就放行。
agent 走过来了。付款这一步本身能走通：agent 拿到的是一张只能在一家店、刷一个金额的一次性卡，碰不到 Alex 的真实卡号。麻烦在于风控认不出这个穿风衣的机器人。
认不出，第一种反应是直接不让进：Amazon 从 2026 年 9 月起挡住了 Meta 的 Muse。4
第二种反应是让进，但先让 Alex 签一张「后果自负」：Visa 的规则写明，agent 替持卡人做的交易，由持卡人负责，就像持卡人自己操作的一样。5xAI 的 Grok Bot 在条款里写得更直白：agent 的动作产生的费用和后果，「Customer is solely responsible」。6
agent 已经开始有身份证了：Mastercard、Visa 和创业公司 Skyfire 都在做。可风控还没学会看这张证：Mastercard 直到 2026 年 9 月，才开始测试一个「概率分」，估计一笔交易是不是 agent 发起的。7风险算不出来，规则就只好先把损失推给 Alex。
有人在发，但风控还不会看（图里第 5 步）。第二道门缺的，是一个会看机器人的保安。这要卡组织、银行和商家一起重新训练风控，规则才会跟着改。
最后一道门在 Alex 心里。想想 Alex 为什么敢用支付宝和 Apple Pay：不是因为它们从不出错，而是因为三件事。看看这三件事以前怎么做到，agent 来了以后又在哪里断掉：
① 付之前：看得懂。以前 Alex 付钱，金额和收款方都在眼前：Apple Pay 上写着 $120、付给 Nike，Alex 双击确认才算数。
agent 来了以后，Alex 只说了一句话，agent 过一会儿替 Alex 去点。Alex 看不到它在哪个页面、点了哪个按钮。
② 付的时候：最多损失多少。以前的免密额度是 Alex 自己设的，而且很小。花到上限就停，最多损失多少，事先知道。
Muse 的「总是允许」没写包括哪些事，也没写上限，额度一路冲出了边。
③ 付完以后：错了能退。担保交易里，钱先放在平台，Alex 确认收货了才给卖家。出了问题，钱还没走。
agent 的动作一做完，钱就扣了。如果有一个「先挂起几分钟、可以撤销」的窗口，$258 那次还来得及。这个设计现在还没有。
三件事以前靠 Alex 在场就能做到。agent 替 Alex 付钱时，每一件都要重新设计：第一件已经有了确认页，第二件和第三件还没有。
三件事里，最难补的是第二件。
可以，但额度不会一次给够。先看支付宝是怎么一级一级爬上来的，再看 agent 现在站在哪：
2003 年淘宝刚上线时，陌生人之间不敢在网上交易。支付宝先做担保交易：钱先放在平台，买家确认收货了，钱才到卖家手里。8
后来有了小额免密：额度是用户自己设的，用顺了再调高。这一级是用户在信任平台。
2015 年有了花呗，方向反了过来：平台根据用户的消费和还款记录，先给一个小的信用额度，记录越好，额度越高。9从担保交易爬到这里，支付宝用了十二年。
再看 agent。现在它停在最下面一级：每笔都问 Alex。上面红色虚线的几级，还没有人造出来。
Muse 的「总是允许」是一个反例：YouTuber Matt Robb 让 Muse 帮忙在 Facebook 的二手市场上卖键盘，选了「总是允许」，以为只是「替我回消息」。结果 Muse 把取货地址发给了所有问价的人，还答应了一个很低的价格。10「总是」没写清包括哪些事，等于一下子跳到了梯子顶上。
agent 该走的，是支付宝那样的爬法：Alex 先给一个很小的范围，比如「这家店 $20 以内不用问我」；agent 每做对一次，就攒下一条记录，范围再跟着放大一级。
第三道门缺的，是一条一级一级往上爬的梯子。现在，它还没有人造出来。
走完三道门，回到最开始的问题：Alex 什么时候才会让 agent 替自己付钱？我的答案是一杆秤。
左边放 agent 帮 Alex 省下的时间和钱，右边放出错时 Alex 可能损失的：agent 做错事、损失由 Alex 自负、损失没有上限、买错了拿不回来。现在右边更沉，所以 Alex 不让 agent 付钱。
第一道门把好：agent 看清后果、没看清就不动，右边拿掉「做错事」。
第二道门把好：风控认得 agent，规则不再把损失全推给 Alex，右边拿掉「后果自负」。秤持平了，Alex 还在犹豫。
第三道门把好：额度一级一级放大，损失有上限；买错了，钱能拿回来。右边空了，秤往左倒。秤往左倒的那一天，Alex 就会让 agent 替自己付钱。
agent 更聪明、更好用，左边再加一块。一位投资人夸 Instinct，理由是别的 AI「will often stop for confirmation, which kills the vibe」，他宁愿用一个不怎么问的。11好用本身就有分量：有人愿意为了它，多担一点风险。
左边有多重，那位投资人替我们试过了；右边有多沉，那 $258 也替我们试过了。
付款这一步已经走通了。接下来要看的，是谁先把秤压到左边。
关于这篇：内容和已发布的产品篇《让 Agent 替你付钱，还缺什么？》一样，换成一个故事和几张会动的画来讲。主角 Alex 是虚构的，故事里的事都真实发生过，出处见下面的注释。
注释