十月十七日，The Verge 的 Emma Roth 写了一篇报道，标题很直白：网站正在对 AI 智能体关门。
过去几周，用 Meta 的 Muse、xAI 的 Grok、OpenAI 的 Dots，还有 Instinct 那款助手的人，陆续发现同一件事：昨天还能自动填表、比价、下单的页面，今天打不开了。
不是模型变笨了，也不是网络出问题。是对方站点把门锁了。
这件事值得单独拿出来说，因为它标志着智能体从「能不能干」进入了「让不让干」的阶段。想先补一遍智能体这套东西怎么运转，可以看 AI 智能体与自动化专题。
一周之内，门一扇一扇关上
已经公开承认的，有四家。
Yelp 的答复最直接：只有付了数据授权费的智能体才放行。达美航空的做法是禁止智能体代客订票。摩根大通和嘉信理财确认，出于安全考虑，智能体不能访问客户的账户。
还有两家没承认，但用户已经感知到了。Cars.com 和 Amtrak，几周前还能用，现在不行了。两家公司都没有公开说明这是不是有意为之。
最硬的墙来自亚马逊。去年它封掉 Perplexity 的代理式购物功能并提起诉讼，说自己「反复要求」对方停止，第三方替客户买东西「应该公开操作，并尊重服务商是否参与的决定」。法院一度支持了亚马逊，八月上诉法院推翻，亚马逊随后又补了一份修改后的诉状。
这一次，亚马逊对 Meta 说，Muse 的「持续访问」违反站点政策。Grok、Instinct 和 Dots 也被曝进不去。马斯克的回应是：那我不如自己做一个亚马逊。
关门的理由，一半是真安全
先别急着把这些都归到「平台霸道」上。有一半理由是真的。
银行分不清两种请求：一种是客户授权的助手在替他操作，另一种是账号被盗后的自动化脚本。在系统眼里，两者都是「有人拿着会话，用机器的速度填表、点击、转账」。
嘉信理财 CEO Rick Wurster 十月十六日对彭博说得很白：「我们不想让人把密码交给 Muse，然后让 Muse 代表这个客户去操作。我们控制不了，客户也控制不了，出了事谁担责？所以我们不允许。」
这句话里有一层常被忽略的东西：授权不等于身份。 你口头同意助手替你做，不代表系统能验证「这个请求确实来自你的授权」。在验证手段补齐之前，银行关门是最省事、也最说得过去的选择。
这条线索其实已经出现过一次。十月十二日那篇 苹果收紧 Mac 全盘访问说的是同一件事的反面：权限一旦给出去，就很难收回，所以系统层开始加确认动作。银行现在做的，是把确认动作提前到了门口。
还有一层是技术性的。AI 安全评估公司 EquiStamp 的 CEO Chris Canal 对 The Verge 说，很多防护压根不是为智能体设计的，而是为了挡住诈骗和入侵程序——「这些 AI 智能体触发了同一套防护」。
机器速度填表、批量请求、异常 IP，这些特征和撞库脚本一模一样。你没法要求一套反欺诈系统先分辨「这是好人派来的机器人」。这也是为什么上个月 Perplexity 开源那套智能体沙箱值得一读：门里面的人在想怎么把边界做在系统层，门外面的人在问「你凭什么进来」，两边其实在解同一道题。
另一半是生意
但安全解释不了全部。
安全解释不了 Yelp 为什么要收数据授权费。解释不了达美为什么连「代订机票」这种明确授权的动作都要禁。也解释不了亚马逊为什么在官司里咬得这么紧。
Perplexity 当年那句话虽然带情绪，却点到了要害：亚马逊不欢迎智能体，是因为智能体不点广告。人逛页面会看到推荐位、会顺手加购，智能体只抓它要的那条数据，看完就走。
流量经济的前提是「有人在你面前停留」。智能体把停留这一步直接跳过了。
所以这些门背后其实是三种诉求：Yelp 想把数据变成可收费的资产，Delta 想守住自己的销售通道，银行想在责任划清之前什么都不放开。
用「安全」一个词概括，是把生意说小了。
对照看会更清楚：三天前 亚马逊刚把自己的广告投放交给智能体，那套东西跑在它自家地盘里，门是它自己开的。等别人的智能体想进来买货，门就关上了。同一个公司，两种态度，分界线不是技术，是谁掌握入口。
有人在关门，也有人在铺红毯
同一周里，另一边的动作正好相反。
Meta 的说法是：「把一个人的智能体挡在门外，就是把这个人挡在门外。」它没有去和亚马逊硬碰，而是签下了沃尔玛、Gap、丝芙兰、百思买，让 Muse 在这些站点里购物。Shopify 则把自己的店面网络直接对智能体开放。
这条路听起来更聪明，但也没那么顺。有用户报告，即便 Meta 和沃尔玛有合作，结账环节仍然失败。还有人反映，用 Muse 的谷歌账号被以「可疑活动」为由限制。
也就是说，签了合同不等于跑得通。反机器人系统、风控规则、支付验证，每一层都可能把请求拦下来，而拦你的人未必知道你是谁家的合作方。
Cloudflare 的位置更能说明问题。它在二〇二五年推出过一键封禁 AI 爬虫的功能，后来又升级成封禁那些「同时为搜索索引和 AI 训练抓取」的爬虫。基础设施层一旦站队，单个网站的态度就没那么重要了。
对普通用户：能交出去的活，只剩不碰钱和身份的那些
如果你只是想让助手帮点忙，这次的消息其实给了很清楚的边界。
现在可以放心交出去的：查资料、比价、整理公开信息、汇总邮件、把一堆网页压成一份摘要。这些动作不涉及登录、不涉及支付、不涉及身份，被封的概率低，出问题也容易收场。
现在最好别交的：订机票、下单、动银行账户。
不是因为这些事技术上做不到，而是因为规则还没定。今天能用，明天可能就不能用；这一单成了，下一单可能卡在结账页。更麻烦的是责任：一旦出错，你很难说清楚是助手点错了，还是站点故意拦了。
真要用了，至少留一道人工确认。付款前自己看一眼金额和收款方，这一步花十秒，能省掉后面一堆扯皮。
对做产品的人：访问权已经是产品需求
如果你在做智能体产品，这次的事情说明约束条件变了。
过去两年大家比的是「模型能不能把多步任务跑完」。现在更前置的问题是：目标站点让不让你进。
几个能落地的调整：
优先走官方接口。有 API、有 MCP 工具服务、有合作端点的，就别用浏览器自动化去模拟点击。前者是合同关系，后者是猫鼠游戏。
把「被拒绝」当成一种正常返回，而不是异常。检测到拦截就升级给人工，别硬刚验证码。硬刚的代价不只是失败，还有账号和品牌。
留下可审计的痕迹。请求日志、授权记录、单动作的权限范围，这些在企业采购那里已经是必填项。银行不肯开门，很大一部分原因是它看不到「这个智能体到底做了什么」。微软上个月把几百次智能体会话总结成九类翻车模式，其中一条就是「调用了但用错」——对站点来说，这比「没调用」更难防。
对做自动化副业的人：别把生意盖在别人的政策上
这一条对靠自动化接单的人最要紧。
如果你手上的项目，核心价值是「帮客户在某个网站上自动完成操作」，那你其实是在别人的政策上盖房子。政策一改，房子就没了，而且不会提前通知你。
能做的是两件事。一是把通道做成可替换的：同一件事，准备官方接口、合作渠道、人工兜底三条路，任何一条断了都还能交付。二是在报价里就把这个风险说清楚，别承诺「永久稳定」，那是你控制不了的东西。
反过来，这也是一道筛选。愿意开放接口、愿意签授权的平台，会成为接下来几年自动化生意的主场；只靠模拟点击吃饭的方案，会越来越难报价。
老达点评
一、智能体的天花板，不在模型，在门口。 这次最扎心的一句话来自 EquiStamp 的 Canal：如果有公司正在努力让这件事不发生，那智能体能干的活就真的变少了。能力再强，进不去就是零。
二、真正的争点是「授权」怎么被验证。 嘉信那句「谁担责」问到了根上。现在行业缺的不是更强的模型，是一套能让网站确认「这是用户派来的、权限只到这里、事后可追溯」的机制。谁先做出来，谁就拿到入场券。
三、对个人来说，短期别把重要的事交给助手。 查资料、比价、整理信息，这些活现在就能用；钱和身份相关的，再等一年。不是保守，是这类操作出错之后的成本不对等。
四、我更看好「签合同」那条路。 Meta 拉零售商、Shopify 开放店面，本质上是在把「开放网络」换成「白名单网络」。这不好听，但比打官司快。未来的智能体网络，大概不是一个自由漫游的互联网，而是一堆谈好的通道，加上一堆永远关着的门。
想继续看这类「能力撞上现实约束」的案例，可以翻 AI 智能体与自动化专题。如果你正在挑一个愿意配合官方接口、而不是硬闯网页的助手，AI 工具评测专题里有按场景分的清单。
至于这套「白名单网络」最后长成什么样，接下来半年看两件事就够了：银行会不会开放只读接口，以及有多少零售商跟着 Shopify 把目录放出来。这两件事定了，智能体能干的活也就定了。
