銀行已經開始封鎖那些使用客戶主動提供的憑證登入的 Agent。JPMorgan 表示，他們正在阻擋會移動資金的共享憑證服務，同時也在研究如何正確地做到這件事。
我們正走向分歧。有些企業在為 Agent 打造正大門，另一些則在封堵它們進入的路徑。Walmart 剛宣布推出基於 MCP 的 Agent Gateway，先從開發者測試版開始，並預計下個月推出帶有消費上限的 Agent Profiles（Agent 設定檔）。
在 Meta 的財報電話會議上，Zuckerberg 表示購物是 Muse 最常見的使用情境，平均單筆消費超過 200 美元。這絕對是一個金融問題，而解決它的獎勵非常龐大。
David Sacks 主張，銀行應該支援客戶可以授權、限制和撤銷的存取方式。我同意這個方向。更難的問題是：怎麼做。
在你的銀行眼中，你的 Agent 看起來就像一個巨大的詐欺與責任風險。
交出我的登入資訊，並不會告訴銀行是哪個 Agent 在使用它、我要求它做什麼，或者該操作是否符合我的指示。客戶可以核准存取權限，但不代表要同意 Agent 可能嘗試的所有事情。
我覺得該畫張圖了。
這裡有四個層級：入口（Entry）、身分（Identity）、工具（Tools）和意圖（Intent）。
1. 入口：給 Agent 一個受支援的進入方式。
Personal Agent Protocol，簡稱 PAP（現改名為 Poppy），讓企業能公開說明 Agent 該如何與其互動：在哪裡登入、提供哪些介面，以及會授予什麼權限。
我的 Agent 會找到這些資訊，並使用受支援的登入流程。由我核准存取權限；由企業決定允許什麼。這些權限可以被限制和撤銷。Bank of America 和 Wells Fargo 是設計合作夥伴，這意味著他們正在協助塑造這個協定，而不是承諾我的 Agent 明天就能用他們的銀行 App。
Visa 的 Trusted Agent Protocol (TAP) 讓購物 Agent 能用簽署過的資訊自我介紹：「我是通過 Visa 計畫核准的購物 Agent，我正在為這位客戶購物，這是他們的付款方式。」商家可以在放行前檢查這些資訊。但它仍然需要確認我是否核准了這筆交易。
Web Bot Auth 讓網站能查核是誰在操作這個 Agent。光自稱「Muse」是不夠的；網站會用請求的簽章去比對營運方公開的金鑰。TAP 就是採用這種方式來處理購物 Agent。
這些技術是互補的：「嘿，我是機器人，我是好機器人，我想做一件事。」
2. 身分：帶上服務需要的證明。
Proof 的 x401 讓服務可以要求提供關於 Agent 背後那個人的證據。銀行提出需求，Agent 出示憑證，銀行進行驗證。「我的 Agent 說我是 Simon」只是一種聲明；由可信發行者簽署的憑證才能提供證據。
OpenID for Verifiable Presentations (OpenID4VP) 則是錢包出示該憑證的方式。x401 負責索取證據；OpenID4VP 協助傳遞證據。
FIDO 標準是通行金鑰（passkey）的基礎。 我用臉部、指紋或裝置 PIN 碼解鎖，我的裝置會送出一個服務可驗證的簽章。我的生物特徵資料留在裝置上。這樣就能在不把密碼交給 Agent 的情況下完成驗證；不過它本身並不能確立我的法律身分。
既有的銀行客戶可能只需要驗證身分。新客戶或使用受限服務時，可能還需要經過驗證的身分或資格。
3. 工具：給 Agent 一個精確的操作方式。
MCP 讓銀行能描述 Agent 可以做什麼、以及如何提出要求。「要凍結卡片，就呼叫這個工具並給我卡號 ID。」Agent 送出 ID；銀行回傳結果。
WebMCP 透過瀏覽器提供結構化工具，讓 Agent 可以直接使用「凍結卡片」工具，而不是去猜該點哪個按鈕。API 則提供直接的軟體介面。MCP 可以描述一項操作，而 API 在底層實際執行工作。
Agent2Agent (A2A) 讓我的 Agent 能把任務交給企業的 Agent，並追蹤進度。但它無法證明我授權了這項任務。
瀏覽器是可預見的未來裡，Agent 接觸許多服務的方式。它們會一頁一頁地點選，因為只有這條路可走，而一個意外的彈出視窗就可能讓整個任務失敗。
企業依然掌握存取控制權。發現一個「轉帳」工具，並不表示我的 Agent 就有權搬空我的帳戶。
4. 意圖：讓操作與我核准的內容一致。
找不到手機時那種心往下沉的感覺已經夠糟了，更別說還要一家一家通知銀行。我希望我的 Agent 能凍結我的卡片並鎖定裝置。「凍結我的卡片」並不代表授權轉出餘額或更改帳戶資料。
購物還會附加條件。如果我請 Agent 訂房，「合適」的意思是：要有 25 磅以上的自由重量器材、小冰箱，以及免費取消，因為行程常在最後一刻變動。我可能只核准一間特定房型、特定日期，以及含手續費每晚 200 美元的價格。
核准只是其中一步。接收服務接著必須把實際訂房內容與這些條件進行比對。一晚 190 美元但加上 60 美元額外費用，就超出我的上限了。而且光是簽署付款，也無法證明飯店有我想要的健身房。
x401 也可以要求簽署操作。 我在裝置上檢視條款、核准它們，服務會在繼續之前檢查已簽署的回應。只要服務提供者支援，這不僅適用於付款，也能涵蓋帳戶變更和文件。
Mastercard 的 Verifiable Intent 為企業提供已簽署的證據，將我的授權與 Agent 的購買行為連結起來。它會檢查簽章和交易是否符合限制，而不是只聽信 Agent 的一面之詞。
Google 的 AP2 將結帳與付款權限（稱為 mandates）連結在一起。商家檢查 Agent 可以買什麼；付款服務提供者檢查它是否能為該次結帳使用我的付款方式。
Visa Intelligent Commerce 提供付款指令與控管機制。我驗證一項指令；Agent 請求付款憑證，Visa 則根據該指令檢查這項請求與商家的付款。TAP 協助辨識 Agent；這些控管機制則管理付款。
歐洲的強式客戶驗證（Strong Customer Authentication）提供了一個有用的升級驗證比較：對於相關的遠端付款，核准會與金額和收款人綁定。但它並沒有給我們一個通用的權限來一次處理整件「手機遺失」事件。
企業仍然得點頭才行。
消費者最終必須掌握 Agent 能做什麼的控制權。
沒錯，每家銀行仍然必須各自授予其服務的存取權限。我的指令不能代替銀行給予許可。完成這一切所需的協定都已經存在，只差把它們串接起來，而 Agent 需要回報這些結果，讓我知道哪些已經受到保護、哪些還需要處理。
每個人的風險承受度可能不同。
我很樂意讓 Agent 自行處理幾百美元以下的消費。但超過這個金額，我希望它先跟我確認，並留下稽核軌跡，記錄是哪個已知 Agent 做了哪些事。
如果我們有
- 消費者權限（透過意圖）
- 與 Agent 開發者及真人的身分連結。
- 可以向企業和銀行請求權限
- 然後整個過程都有稽核軌跡
我們就不會再有未經授權的 Agent 了。
當然，問題在於「已授權」往往意味著「要付費」。JPMorgan 與 Plaid 的資料存取協議已經包含定價，而這份協議花了將近十年才終於談定。
你覺得銀行不會想從 Meta 身上爭取更多嗎？
我們花了好幾年時間，讓客戶更容易按到正確的按鈕。現在，他們的 Agent 帶著指令來了。
我們需要讓它能證明自己的權限，並把工作完成。
而這可能意味著銀行在這過程中也要收到錢。
如果你喜歡這篇文章，歡迎到 brainfood.xyz 看我寫的內容 - 來看看我們吧 :)
