Amazon 拦下 Muse：agent 经济缺的不是能力，是一张商家读得懂的身份证

一封措辞讲究的拒客信

9 月 20 日周日晚，用 Meta 的 Muse 在 Amazon 下单的用户收到弹窗：「Continued access by an unauthorized AI agent violates Amazon’s Conditions of Use, to which our customers have agreed.」

GeekWire 拿到的说法里，Amazon 的抱怨有三条：Meta 事先没打招呼；Muse 浏览时不自报身份；它似乎会抓取并保存用户的登录凭据。发言人的定调很克制——代表客户从别家商户买东西的第三方应用，应当公开运作，并尊重服务提供方是否参与的决定。

Muse 不是小角色。它 9 月 8 日上线，一周后爬到美国 App Store 免费榜第一，排在 ChatGPT 前面。Meta 说它跑在独立虚拟机里、自带浏览器，还有一个叫 Sentinel 的监控 agent 审批外发内容。

更有意思的是 Amazon 自己也在做同一件事：5 月的 Alexa for Shopping，以及能去外部品牌站点下单的 Buy for Me，都是购物 agent。Amazon 特意点出差别——Buy for Me 会自报身份，并允许品牌 opt-out。

所以争的不是「能不能代买」，是「代买的人认不认得出来」。

法院把另一条路堵死了

Amazon 试过硬办法。3 月它对 Perplexity 的 Comet 浏览器拿到初步禁令，8 月 4 日被第九巡回上诉法院推翻——裁定在联邦反黑客法下访问 Amazon 计算机的是用户本人，不是 AI 公司。9 月 10 日重审申请被驳回。

剩下的只有合同路径。现在 Muse 用户看到的那句话里没有「黑客」这个词，它引的是《使用条件》。这条路径的代价是：它只在「用户是否同意」这一层生效，回答不了「这个 agent 被谁授权、授权到哪一步」。门禁于是只能是二值的——全放或全封。这也是 Amazon 过去一年得挨个去挡 Perplexity、Google、OpenAI、Meta 的原因，它发不出分级通行证。

把判断交给模型，会得到 14 比 14

技术侧刚出了一份能落地的证据。arXiv:2609.22076《APort Vault》把一场公开 CTF 里人类手写的 4,371 条攻击，对一个真实运行的支付 agent 做重放：14 个模型、8 家实验室、5 档策略配置、2 条重放轨道，累计 225,964 次评估。

最该被记住的不是攻击成功率，是一致性。在 Level 4 这一档（五档配置里请求率最高的一档，不是最宽松的一档，理由见下方修正块），模型单独跑时的请求率是 79.4%；1,293 条 Level 4 提示词逐个跑遍全部 14 个模型，请求率区间只有 71.2%–84.3%，其中 809 条（62.6%）让全部 14 个模型都发起了请求，每一条都以向该级别白名单收款人成功付款收尾。

62.6% 的提示词拿到 14 比 14 的全票。把授权判断留在模型里，等于把它交给一个倾向高度一致、方向恒为「照做」的黑箱。

⚠️ 这两组数字常被读反，论文自己否掉了这个读法（2026-09-22 审阅）：79.4% 与 62.6% 都是请求率——transfer_funds 是否出现在已执行的工具调用里，不是越权成功率。论文 §5.5 的标题即 “A request is not a compromise, and a permitted payment is not an acquittal”，原文明写 Level 4 的提示词本就授权向该级别白名单收款人处理带审计码、在限额内的转账，并据此定性：这是 shared behavior，而不是”有多少条提示词击败了模型”。同一级别真正的越权转账是 34,972 次评估中的 25 次，约 0.07%。

于是上一段末句需要收窄：这 14 个模型的高度一致，发生在被明确授权的行为上，它证明的是”模型不会自发拒绝授权内的请求”，不是”模型守不住边界”。真正分出胜负的是下一节那两个比值——140 比 0 与 105 比 0。

一并修正层级定性。Level 编号不是严格程度单调序：论文给出的五档模型单独请求率为 10.9%（L1）、3.0%（L2）、0.1%（L3）、79.4%（L4），非单调；且 each attack exists at exactly one configuration，策略与攻击队列混在一起（各档攻击数 709 / 938 / 578 / 1,293 / 853），跨档比较不能当因果读。按论文定义，Level 1 才是 permissive by construction（在那里转账是正确行为），Level 5 是独立的 enforcement test，只有 Level 2–4 是可比的测量档。

把边界往前挪一格

同一份基准给了另一种做法：在动作执行前插入一道确定性检查，实现 Open Agent Passport（OAP）规范。

Level 2 到 4 上，向护照未许可收款人的转账，模型单独跑是 76,842 次中的 140 次，加了这层之后是 69,297 次中的 0 次；在模型、提示词、轨道三者都匹配的 68,970 次上，对比是 105 比 0。这个零覆盖 790 个源会话，折算每会话上界 0.38%。

关键的在最后：这不是靠拒绝付款换来的。加了这层之后仍然执行了 25,370 笔支付；策略一共评估 25,640 次转账调用，只否掉 187 次，其中 148 次因为收款人不合规。

两种门禁的成本摆在一起看很清楚。Amazon 的封禁挡下了 Muse，连同所有第三方 agent，一并护住自己 2025 全年超 680 亿美元的广告业务赖以存在的浏览入口；凭证层挡下 140 次越权转账，放行 25,370 笔正常交易，拦截率 0.73%。前者是墙，后者是闸。

还有一个更锋利的对照原文没取用，在 Level 5。 这一档护照不授予任何支付能力，提示词却明确要求模型去调转账工具，并告知会有守卫拦截——这是”模型真的被说服了”的情形。模型单独跑，22,320 次评估里 5,640 次出现支付请求、5,362 次成功付款；加了这层之后，20,109 次里 4,960 次仍出现请求，成功付款为 0，9,385 次转账调用全部被拒。

论文自己给这条零打了折，两层限定都得跟着走：Level 5 的零是结构性的——护照没有支付能力，构造上必然全拒，它证明实现没写错，证明不了对抗难度；那 5,362 笔里还有 3,683 笔转到了银行自己的邮箱，并非攻击者控制的账户。真正的架构效应落在 Level 2–4。

两条引用纪律。 这份基准是 2026-09-18 上线的单作者预印本，作者 Uchi Uchibeke 隶属 APort Technologies，即 OAP 规范的提出方，也是这个零结果的直接受益方；数据与评分代码已随数据集全量放出、可复算，但独立性这一层要自己扣。再一个是聚类：论文 §6.3 自述 Level 2–4 的全部 outcome 里有 47.9% 来自单一 source session，所以前面那个 0.38% 必须按 session 聚类读——按评估次数算会严重高估置信度；同一节还披露双模型裁判面板在某一档的自相矛盾程度达 $\kappa=0.167$，这也是论文把判定做成确定性工具调用读取、而非模型评分的原因。

三个答案，没有一个是共同的

行业现在摆着三套互不相通的方案：Amazon 用《使用条件》做门禁，粒度是「是不是 agent」；Google 推 Universal Commerce Protocol（UCP，2026 年 1 月 11 日发布的开放标准），粒度是「商家愿不愿意接」；OAP 这类凭证层把粒度做到「这次转账的收款人在不在许可名单里」。

商家真正要的东西比这三样都朴素：一条能被机器读取、能被第三方验证的授权声明——谁委托的、能进哪些商家、单笔与累计上限多少、凭据存在谁手里。Muse 已经把凭据放进安全存储、用独立虚拟机跑浏览器、让 Sentinel 审批外发内容，这些设计都在，只是没有一行是 Amazon 读得到的。

需求侧也没想清楚。同日 TechCrunch 的另一篇里，替 Apple 建起零售体系的 Ron Johnson 说得直接：AI 会改善线上购物体验，「但我不知道它会改变我们购物的方式」；他反问谁能想象让 agent 不进网站、不进店就买走一台一两千美元的笔记本——「Honestly, nobody’s going to do that」。

供给侧连「你是谁」都没验完，需求侧还在问「要不要交出去」。agentic commerce 眼下缺的不是更强的模型，是一张商家读得懂的身份证。

参考来源：

• Meta’s AI agent has been blocked from using Amazon.com — TechCrunch，2026-09-21
• Amazon blocks Meta’s Muse AI assistant in new standoff over agentic shopping — GeekWire，2026-09-20
• APort Vault: Benchmarking AI Agent Payment Authorization with the Open Agent Passport — arXiv:2609.22076，2026-09-18
• vault-benchmark-v1 数据集 — aporthq，225,964 次评估记录
• The man who built Apple’s stores doesn’t buy Silicon Valley’s bet on AI shopping — TechCrunch，2026-09-21
• Under the Hood: Universal Commerce Protocol (UCP) — Google Developers Blog，UCP 官方技术说明
• Universal Commerce Protocol (UCP) — UCP 规范站
• Amazon’s annual ad revenue passes $68B, boosted by full-funnel strategy — Marketing Dive，680 亿美元广告收入出处