同一天里发生的两件事，比过去一年大部分AI新闻加起来更能说明问题。
第一件：Axios 报道，Morgan Stanley 已全面封禁外部 AI Agent 访问其平台，JPMorgan、Bank of America、Citi 跟进，Wells Fargo 收紧。理由很直白——这些 Agent 用客户自己的凭据登录银行账户，而银行的服务条款要求账户持有人本人登录。更麻烦的是，银行根本无法区分屏幕后面的是一个「代用户操作」的 Agent，还是一个「自行其是」的 Agent。
第二件：Anthropic 发布常驻式 Agent「Claude Duet」，每天早晨主动推送摘要，在云端虚拟机上替你干活，通过 6000+ Marketplace 连接器接入 Gmail、Slack、Stripe——但发送消息、付款、签署文件之前，必须经用户批准；凭据处理沿用 Managed Agents 设计，Agent 自己永远看不到密码和登录令牌；支付走 Stripe Link 虚拟卡，真实卡号不出门。
一边是银行把 Agent 赶出门外，一边是 Anthropic 小心翼翼地给 Agent 递上一套「带镣铐的钥匙」。这两件事其实指向同一个问题：Agent 时代的互联网，缺的不是智能，是授权协议。
问题出在哪：身份系统是为「人」设计的
今天整个互联网的身份体系建立在两个假设上：登录的是一个人，以及这个人在场。密码、短信验证码、风险控制系统、行为分析——全部围绕这两个假设构建。
AI Agent 把两个假设同时击穿了。用户把自己的账号密码（或者一个浏览器会话）交给 Agent，Agent 用 Computer Use 类工具模拟人类操作网页。从银行风控的视角看，这就是一个「登录行为完全正常、操作却开始变形」的会话。没有任何协议层的信息告诉银行：「这是一个被用户 X 授权的代理，权限范围是只读」。
银行的选择因此并不意外，甚至可以说是理性主义的：无法识别，就无法放行。Morgan Stanley 强调平台上还没发现「rogue agent」，但那不等于安全，只等于还没出事。Symantec 同期披露的「Skynet 模式」攻击恰好补上了这块拼图——一个攻击型 Agent 劫持互联网上无防护的语言模型，自主扫描、利用漏洞、窃取凭据、植入挖矿程序，全程可跑十万步无人工介入，蜜罐累计记录 12.7 万次请求。当攻击面里的 Agent 和你授权的 Agent 在网络流量上长得一模一样时，「先全部封掉」就是唯一可执行的策略。
值得注意的细节：银行封不掉浏览器里的 Agent
The Decoder 的报道里有一句容易被略过但极关键的话：用户通过浏览器（Computer Use 或开源 Agent 软件）授权的方式，在服务端几乎无法拦截。
这意味着银行的封锁政策实际上只对「听话的」Agent 有效——走官方 API、用 OAuth 连接器的 Agent 会被识别和拒绝；而真正在本地浏览器里以用户身份操作的 Agent，银行要么误伤真人用户，要么睁一只眼闭一只眼。这是一个经典的「封禁悖论」：封锁措施淘汰的是最守规矩的接入方式，留下的是最难监管的。GrayMarkets 不是答案，但银行的强硬姿态等于把合规 Agent 推向灰色通道。
OpenAI 则选择了另一条渗透路径：直接在美国上线 ChatGPT 金融服务，只读访问财务数据。先拿「看」的权限，再慢慢谈「动」的权限。银行和模型厂商之间，一场关于账户数据控制权的代理人战争已经开打。
Claude Duet 的答案：把授权做成产品
回到 Claude Duet，你会发现 Anthropic 做的其实不是「又一个主动式 Agent」——Grok Bot、Meta Muse、OpenAI Dots 都在抢这个赛道——而是把授权边界本身做成了产品功能：
- 凭据托管：Agent 不接触密码和令牌，连接器层代为持有，对应 Managed Agents 的工程实践；
- 操作分级：读、草拟、准备可以自主完成；发送、付款、签署、删除必须请示；证券交易和账户间转账干脆完全禁止，连批准都不行；
- 最小化暴露：支付用虚拟卡，真实卡号不进入 Agent 上下文；新增泄露筛查分类器，逐条检查出站消息里是否夹带信用卡号、身份证件信息；
- 注入防御：针对 Agent 浏览网页时遭遇的 prompt injection，沿用 Anthropic 的浏览器使用研究，外加红队和第三方攻击测试。
这个设计的潜台词是：Agent 能被市场接受的前提，不是它多能干，而是它的权限边界可以被审计。 Duet 甚至坦承产品会误读消息、误判优先级、漏掉两次检查之间到达的事项——Anthropic 把这些缺陷写进了公告。这种「承认不完美但边界清晰」的姿态，恰好是银行们最想从 Agent 厂商那里看到的东西。
本质：从「共享密码」到「委托协议」的历史重演
如果把镜头拉远，这一幕并不新鲜。
早年 App 生态的野蛮生长期，第三方应用索要用户邮箱密码来收发邮件是常态，直到 OAuth 在 2010 年前后确立——「委托授权」取代「凭据共享」，才有了后来整个 SaaS 生态的繁荣。手机厂商和应用商店围绕权限弹窗的博弈、支付行业的令牌化（tokenization，即用一次性代币替代真实卡号）、甚至企业 IT 的 RBAC，走的都是同一条路：把「我能替你做什么」从信任关系变成可编程的协议。
Agent 现在正站在同一个拐点上，但难度更高。OAuth 授权的是确定性的 API 调用，而 Agent 需要授权的是意图——「帮我处理发票」意味着读邮件、查账、起草催款函、也许还有发起小额付款。意图级授权没法用静态 scope 表达，它需要的是：可撤销、可审计、带金额和动作上限的动态委托。Google 给每个 Agent 分配硬件隔离 microVM 的 Agent Compute Engine、OpenAI 给高频小决策优化的 Decisions API，本质上都是在为「Agent 的行为需要被基础设施级别地约束和观测」这个命题铺路。
我的判断
- 短期（1年内）：封锁与灰色并存。 银行的封禁挡不住本地浏览器 Agent，Agent 厂商和金融机构会在「只读访问」上达成第一轮妥协——OpenAI 的只读财务服务就是投石问路。
- 中期：Agent 授权协议成为新的 OAuth 时刻。 会有一套面向 Agent 的委托授权标准浮出水面（很可能是 OAuth/W3C 体系的扩展），核心要素：Agent 身份可验证、权限可分级可撤销、动作链路可审计。谁主导这个标准，谁就拿到了 Agent 经济的收费闸口。
- 长期：账户所有权的重新定义。 当「替我登录」变成社会常态，「本人操作」这个法律假设将不得不改写。银行今天封的是 Agent，明天要回答的问题是：你的账户到底是谁的——是你，还是你授权的那组智能？
Agent 与银行的这场边界之争，表面是安全问题，底层是互联网身份协议的换代。模型能力每半年翻一番，而授权协议的演进以十年计——这个时间差，才是未来几年 Agent 落地真正的瓶颈。今天写代码调 API 的开发者也许感受不深，但当你的 Agent 被银行踢出登录页的那一刻，你会明白：智能可以外包，主权不能。