跨国深谈← 返回←智能体拿你的钱包购物怎么办：PayPal 的智能体授权心智模型

智能体拿你的钱包购物怎么办：PayPal 的智能体授权心智模型

关联

人物 Jay Mok · Ben Coumes

公司 PayPal

概念 智能体 · 智能体授权 · Claude Code · 保险库 · OAuth · 可验证意图 · AP2 授权指令 · 审批令牌

2026 年的「终结者」噩梦不再是机器发射核弹，而是智能体拿走你的钱包疯狂购物——买一堆加密货币，还给你买了一堆塑身衣。这是 PayPal 智能体支付产品经理 Jay Mock 在开场抛出的玩笑，但它引出一个正经问题：当智能体（agent，能自主替你执行任务的 AI 程序）开始替人花钱，我们怎么防范？Jay Mock 和 PayPal 企业支付团队资深工程师 Ben Coombs 这一小节分享的正是一套思考智能体授权的心智模型。

三个必须回答的问题

智能体授权的核心就是三问：① 人类是否授权了这次操作？——通常靠通行密钥（passkey，一种用设备本地加密验证身份的登录方式）之类的手段完成身份验证；**② 现在在这个范围内是否被允许？

**——通常是一个有时限的令牌（token），限定金额，还可能限定商家或具体购买意图；③ 之后能否证明？——出了问题、产生争议时，你能不能拿出证据说明是人类确实授权了那笔交易 。

而怎么回答这三个问题，取决于上下文：场景是低风险还是高风险？各方是开放生态还是封闭生态（业内常说的 KYA，know your agent，认识你的智能体，说的就是这个）？

Jay 用了一个类比：刷卡进公司。你在前台刷卡进楼之后，去楼里任何房间都不用再刷卡——因为你已经处在可信边界之内，遇到同事也会天然多一分信任。封闭生态就像楼内，开放生态就像上街 。

低风险：Claude Code 这类工具操作

最熟悉的例子是 Claude Code。你给它接上 GitHub、Jira 等工具的连接器，这个连接过程本身就是身份验证，即完成了人类授权。

权限范围就是 Claude 的工具权限——允许、拒绝、或动手前先问你。而因为写代码风险相对低：错了可以回滚、可以看系统日志，所以不需要密码学级别的证明，日志就够了 。这就是矩阵的左上角：低风险 + 封闭生态 → 靠简单日志和可回滚兜底。

【背景】Claude Code 是 Anthropic 的编程智能体。

中风险：共享保险库 + OAuth 权限范围

一旦涉及真金白银，风险升级——但生态仍然封闭的话，做法是中等的。例子：一家 TripAdvisor 式的旅游公司，握有入住率数据、评论等内容想变现，买方是旅行代理类的智能体。

PayPal 与合作伙伴 Nevermind 合作，用两块企业支付基础设施（原语）搭出这个场景：一是**保险库（vault）**，代表买方智能体保管支付凭证；二是通过 OAuth（一种让第三方在限定权限内访问你资源的授权协议）把凭证访问权开放给各商家。由此构建出一个买卖双方智能体互认的、更可信的封闭生态 。

具体流程：人类用商用卡授权支付，把卡共享给买方智能体，授权指令上带权限范围来控制额度和用途。争议处理呢？

因为是封闭生态，靠现有交易日志就够，不需要密码学证明 。风险比写代码高（有钱在动），但双方从 Nevermind 这个第三方「借用信任」，卖方敢收款、买方不越权 。

高风险：互不相识时，靠可验证意图 + AP2 指令

真正难的是：双方互不相识、没经过审核，智能体要自主支付。Ben 认为行业应收敛到 FIDO 可验证意图 + AP2 授权指令（mandate） 标准。它的本质是一个多层的选择性披露 JWT（一种可携带声明并带签名的令牌格式）：第一层由可信凭证提供方（希望是 PayPal）创建；第二层封装用户给智能体的指令，由用户用私钥签名；第三层（做自主支付时才有）由智能体自己签署 。

这样设计的好处是各方可各自验证对自己重要的那一层：商家验证结账是否正确，支付处理方验证支付指令是否正确——而且交易各方之间不需要有任何关系。Ben 认为如果自主支付要做到大规模，这就是最佳路径 。

PayPal 据此做了个新产品：审批令牌（approval token）。传统 PayPal 订单是同步的——找到商品、打开应用、批准、完成。

现在用户在智能体上发起流程，被重定向到 PayPal 确认给智能体的指令，PayPal 返回一个含金额、有效期、指定商家的 JSON 载荷——一个目前只有 PayPal 能批准的不透明字符串。这个功能即将上线生产环境，选 PayPal 付款的 Gemini 用户会用到 。

回到那张矩阵

把三档串起来：低风险——楼内刷卡，操作可撤销可重做，Claude 输出错了也没什么大不了；中风险——同一系统边界内彼此认识的双方，涉及资金，但靠第三方执行支付指令来兜底；高风险——用户让智能体自主行事、且不知道它会和谁交易，这时各方需要可验证的证明（目前生产环境还没真正见到这一档落地）。回到开头的类比：低风险是你刷了卡在楼里；高风险是你在街上遇到陌生人——对方掏出一个徽章给你看够吗？大概不够，你需要达到可验证标准的东西来证明「是人类授权了智能体」。

还有一层更大的判断：这套模型不只用于支付，任何难以逆转的高风险智能体操作都适用——医疗医嘱、电子签名、证券交易 。

本集带走

• 判断授权强度先看两个维度：风险高低（操作可否逆转、是否涉及钱）+ 生态开放度（双方认不认识）。风险和证据强度要匹配。
• 低风险别过度设计：像 Claude Code 那样，身份验证 + 工具权限范围 + 日志/回滚就够了，不需要密码学证明。
• 中风险靠「借用信任」：封闭生态里引入一个共同信任的第三方保管支付凭证（保险库），再用 OAuth 按权限范围分发访问权，争议靠交易日志解决。
• 高风险靠多层签名：可验证意图 + AP2 指令——用户签指令、智能体签执行，各方各验所需那一层，无需互识即可交易，这是大规模自主支付的前提。
• 这套模型可平移：任何难以逆转的智能体操作（医嘱、电子签名、证券交易）都能套用同一套「风险 × 证据」矩阵。

到了 2026 年，并不是机器或智能体发射核弹，而是它们拿走了你的钱包疯狂购物，买了一大堆加密货币，还给你买了一堆 Spanx 塑身衣。
And in 2026, it’s not that the machines are or the agents are launching nukes, but rather they’ve taken your wallet and they’ve gone on a shopping spree and they buy like a bunch of crypto and new bunch of Spanx for you.
—— Jay Mok · [00:33]

我认为有意思的是，这也是我们的信念：这个模型不会只用于支付，我们认为它可以用于任何难以逆转的高风险操作。
I think the interesting thing is like, it’s also our belief that, you know, this is a model that won’t just be used for payments, but we think it could be for any sort of high stakes action that’s hard to reverse.
—— Ben Coumes · [14:25]