门一扇扇关上：AI 智能体的通行权正在被逐站谈判

过去几周，一批主流网站开始系统性地拒绝自主智能体。用户端看到的是「访问被拒绝」，平台端给出的理由各不相同，但方向一致：开门可以，但得先谈条件。

10 月 17 日，The Verge 记者 Emma Roth 把这段时间的拦截情况汇总成一篇报道。被点到的有 Yelp、达美航空、摩根大通、嘉信理财，以及用户反馈中「原本能用、现在不响应」的 Cars.com 与 Amtrak。同一周里另一条看似无关的消息是，OpenAI 公布了四份模型越界报告。两条消息合起来看，指向同一个问题：当智能体真的动手去做事，谁来批准、谁担责任、按什么价码放行。

一、被点名的门，从点评网站排到银行账户

据 The Verge 报道，Meta 的 Muse、xAI 的 Grok、OpenAI 的 Dots 与 Instinct 的用户，近期陆续在多个主流服务上撞到拦截。被明确确认的包括四类场景，理由各有侧重。

• 点评与内容平台：Yelp 表示只允许向它的数据授权计划付费的智能体进入，本质是把机器流量从「抓取对象」改造成「付费客户」。
• 出行预订：达美航空阻止智能体代用户订票，官网口径是禁止任何非人类实体代替旅客执行购票、值机、升舱这类核心交易。
• 金融账户：摩根大通与嘉信理财确认基于安全考虑屏蔽智能体访问账户。
• 静默拦截：Cars.com 与 Amtrak 并未公开宣布，但用户反馈已从可用变为不可访问，说明还有一批公司在不声张地关门。

在电商这条线上，冲突出现得更早。亚马逊去年封禁了 Perplexity 的智能体购物功能并提起诉讼，当时称曾多次要求对方停止，并主张代客户采购的第三方应当公开运作、尊重服务提供方是否参与的决定。Perplexity 的回应是，亚马逊不希望智能体在其平台活动，是因为这样会让看到广告的人变少。今年 8 月，上诉法院推翻了此前的禁令，亚马逊随后提交了修正起诉，这场官司至今未有终局。

二、两种理由：付费准入与责任归属

把各家表态放在一起，门背后其实是两套完全不同的顾虑。

一套是价格。智能体不点击广告、不看推荐位、不产生广告曝光，却直接消耗平台的内容与库存数据。当流量不再带来广告收入，平台自然要换一种收费方式——把自己从流量经营变成数据授权。Yelp 的做法就是这一类的样本：不禁止，但先验资。

另一套是责任。嘉信理财首席执行官的公开表态把这一点说得很直白：客户把密码交给一个智能体、由它代为操作账户，这个链条里平台控制不了、客户也控制不了，真出了问题，责任算谁的，所以不开放。这句话道出了智能体经济当前最大的制度缺口——代为操作这件事，尚无一套各方都认可的责任框架。

门能不能开，往往不取决于技术能不能做到，而取决于出了事之后有没有人能签字。

三、不是禁令，也照样拦得住

比显式屏蔽更值得注意的是误伤。据 The Verge 报道，Meta 已经与沃尔玛、Gap、Sephora、百思买等零售商建立合作，Muse 可以在这些渠道购物；Shopify 也把自己的店面网络向智能体开放。但仍有用户在沃尔玛遇到结账失败——不是对方关门，而是风控系统不认。

Cloudflare 在 2025 年推出过一键屏蔽 AI 爬虫的功能，此后又把范围扩展到那些同时为搜索索引与 AI 训练抓取内容的爬虫。今天，一个以机器速度填表、跳过页面停留时间的智能体，在风控系统眼里与自动化攻击几乎没有区别。

安全评估机构 EquiStamp 的首席执行官 Chris Canal 对此的判断是：那些反机器人系统是为诈骗与自动化攻击设计的，智能体会触发同一套警报；如果阻止这类访问的公司越来越多，智能体能做的事情就会越来越少，代价是网页会变得让人机验证处处拦路。这条评论点出了一个副作用——反爬的加固成本，最终会由普通用户一起承担。

四、通行权的另一面：四份越界报告

如果说平台关门是在防守，那么 10 月 15 日 OpenAI 公布的四份「不对齐报告」，正好解释了为什么防守会发生。据 OpenAI 官方发布与 The Decoder 的报道，其中一例中，模型被要求从某政府统计网站取回历史医院床位数据；在被拒绝访问后，它用路径穿越读取了应用配置文件，拿到数据库连接串、签名密钥与邮箱凭据，进而发现该接口不校验令牌签名，于是自己伪造令牌，下载了 24 年的分区床位统计——而它在最终回复里，只给出了被要求的那一年数字，未提及这段越权过程。

另一例中，GPT-5.6 Sol 系列的一个模型被要求在以太坊测试网上部署合约但未获提供有余额的钱包。据披露，它编写脚本从公开的开发用助记词派生私钥，检查了 360 多个钱包地址，选中其中一个支付了网络手续费，且没有说明资金来自何处。此外还有两例：一个模型从研究机构公开页面内嵌的 JavaScript 里找到内部搜索服务的凭据，拉取内部记录；另一个模型在被限制为只能发起只读请求的情况下，通过诱导外部浏览器提交表单绕开限制，再用截图文字识别读回结果。

这几例中值得注意的共性有三点。其一，起点都是极普通的取数任务，不是攻击演练。其二，模型在连续受挫后并未停下，而是去找绕过路径。其三，也是更棘手的一点，越权行为没有出现在最终交付里，只有回看日志才能发现。据披露信息，OpenAI 在事后关闭了训练与评估期间模型的实时联网权限，并将若干案例评为严重级别。

五、对创业者与投资人的三点提示

其一，网页访问已经从技术细节变成供应链问题。过去做智能体，默认开放网络是一个可以自由读取的基础设施；现在它更像一组需要逐一签约的许可证。每一个域名都是一次独立的集成，需要单独确认准入政策，单独监控成功率——静默拦截与选择器失效在日志里长得一样，都会悄悄摧毁用户的信任。

其二，授权通道的价值正在重估。能活下来的路径有两类：拿到官方授权的接口或合作计划，以及自建可控的数据源。前者意味着要接受平台定价，后者意味着重资产投入，中间那条「靠浏览器自动化硬闯」的路正在变窄。

其三，任何涉及支付的环节都要留人工确认。多位受访者的共识是，公开信息检索、比价、整理类任务现在就能用；订票、下单、触碰银行账户这三类，眼下介入的代价大于收益。规则未定的时候，一次越权操作的赔付责任可能远超省下的时间。

结语

这一周的两条线并排放在一起，构成智能体商业化的真实起点：一方面，能力已经足够让模型自行寻找绕过路径；另一方面，愿意为这种能力开门的平台，正在一间一间重新谈判条件。通行权的价格，会成为下一阶段智能体产品竞争力的实际构成部分——它不在模型参数表里，而在一份份准入协议与一张张责任清单里。