嘉信拦AI代理：数十次与二十几次

查尔斯·嘉信理财的CEO每周都会收到一份报告，内容是他手下拦下了哪些AI代理。据Forkast报道，这份报告显示嘉信已经阻止了"数十次和二十几次"大型AI代理试图接触客户资金的尝试。10月16日，CEO Rick Wurster在彭博电视上点名了其中一个：Meta的Muse。

Muse是Meta在9月推出的个人代理，运行在独立的安全虚拟机里，有自己的浏览器，能替设置它的人填表、谈判。Wurster的反对意见很短："我们不想有人把自己的密码直接交给Muse。"

嘉信不是孤例。10月13日到17日之间，摩根大通在财报电话会上说了差不多的话，花旗和美国银行也被报道设了类似限制。对做代理产品的人来说，银行已经把哪扇门关死、哪几扇还开着，讲得很清楚了。

各家到底拦了什么

摩根大通，10月13日。三季度财报电话会上，Jamie Dimon说"我们不会允许随便哪个外部代理进到公司里来"，理由是"对客户来说风险太大"。CFO Jeremy Barnum补充："只要能拦，我们就在拦，为了保护客户也保护我们自己。"

嘉信，10月16日。Wurster表示嘉信会阻止未授权的代理调动客户资金。嘉信计划推出MCP服务器，让外部模型以只读方式访问余额和研究资料，不能动钱。同时它在把客户引向自家助手Charley——9月30日发布的那个。

花旗，据10月17日报道。花旗已禁止第三方AI代理登录客户账户并发起交易，允许通过部分开放银行服务商进行有限的只读访问。

美国银行，据10月17日报道。美银在厘清AI发起支付的责任归属之前，限制代理访问。CEO Brian Moynihan在接受CNBC采访时说："我们坚信，从你账户里把钱转出去，应该有人在环内授权。"

分界线是凭证，不是AI

把这几段话并排读，规律就出来了。没有一家银行关掉客户授权的开放银行数据共享。摩根大通对Fortune说："我们支持通过开放银行服务商进行安全的、客户授权的数据共享。"花旗仍允许开放银行的只读访问。嘉信在建只读的MCP通道。

被关掉的是两样东西：一是握着客户密码、驱动银行网站的那个代理；二是任何能动钱的操作。Barnum把第一点说得很具体："有些提供这类服务的，是靠共享凭证来做的"，而"我们长期反对这种做法——屏幕抓取之类的"。

第二点是责任。Barnum说，如果客户"把凭证交给代理，代理做了他们不想做的事"，那"后果得他们自己承担"。Dimon的说法是："这里存在责任转移，他们应该明白责任转移了。"

公平地说，Muse本身是带护栏的：共享凭证存放在它看不见的安全存储里，Muse发往互联网的任何内容都要经过另一个Sentinel代理批准，购买前会请求确认。Wurster的关切是控制权："我们控制不了，客户也控制不了，出了事谁负责？"

还开着的三扇门

第一条，聚合器只读。Muse自己就是通过Plaid连接金融账户的，共享"余额、交易、投资持仓、房贷信息等"。这和摩根大通、花旗表态支持的开放银行只读路径是同一类。两家银行都没有公开评论Muse的Plaid连接。

第二条，银行自建的只读连接器。嘉信计划中的MCP服务器就是这条路。截至10月18日，嘉信还没公布端点或规范，暂时没东西可接。

第三条，由人来授权资金流动。Moynihan那句"人在环内"就是一份设计规格：代理可以研究、比较、准备转账，由本人在银行自己的App里点确认。

Poppy：会自报身份的代理

Wurster描述的控制难题，有一半在于银行分不清对面是代理还是它手里那个密码的主人。10月9日，Sierra发布了一份草案协议，与Meta联合宣布，针对的正是这件事：个人代理协议，简称Poppy。用Sierra的话说："个人代理会表明自己的身份，公司因此始终知道是代理在替客户行动。"

机制是熟悉的Web管道。公司在 /.well-known/poppy.json 发布发现文件，客户用OAuth登录，代理拿到一个短期会话令牌，只携带客户批准过的权限。草案示例里有两个scope：poppy:read 和 poppy:write。公司决定一次登录允许哪些scope，客户在公司的登录页上勾选代理是能看、能改，还是两者都行。

代理用一条请求就能查某个站点是否支持Poppy：curl -fsS https://bank.example.com/.well-known/poppy.json

预期要放平。这份规范还是0.1草案，目标是走向1.0，Sierra称将在10月9日发布后的一个月内推出参考实现。美国银行、富国银行、Visa、Mastercard、PayPal和OpenAI都在设计伙伴名单里。也就是说，本周限制代理的银行中，有一家同时在帮忙设计身份层。做设计伙伴不等于承诺采用，截至目前，四家银行没有一家表示会启用Poppy。

这周该改的五件事

如果你的代理会碰到别人的钱，从银行的表态里能推出五个改动。这是工程建议，不是法律意见——写涉及资金流转的责任条款之前，先找法务。

• 别向用户要银行密码。摩根大通说它在能拦的地方拦凭证共享型代理，客户交出凭证后的滥用"由他们自己承担"。
• 把"被拦"当成正常结果。银行拒绝代理时，停下来，告诉用户，引导他们去银行自己的App。代理反复重试被拒的登录，看起来很像银行风控专门要拦的行为。
• 读走聚合器，写走人。余额和交易通过开放银行拉取，转账留在银行界面里由人批准。
• 把责任写清楚。Dimon说的"责任转移"要写进条款和引导文案，用大白话。
• 盯住Poppy的参考实现。如果银行采用代理身份，已经会说这门协议的代理，可能第一个被放行。