物界前沿
Agent 会付款，先得会说不
如果 Agent 真能自己打开网页、调 API、点确认付款，最后这笔钱算谁的？这个问题现在离现实不远。x402 这类机器支付协议，正把「Agent 自己付钱」从演示推进到中间件。GateKeep402 出现，说明大家意识到，光让模型会调用工具不够，还得在付款前加一道确定性护栏。
它被描述成声誉门控的支付层，也做提示注入防御。具体做法是在 Agent 准备签名扣款前，先问一句，这笔钱是不是你该付的，端点是不是可信的，意图是不是用户原本要的，金额有没有越线。模型负责理解任务，护栏负责否决。这个分工很朴素，甚至有点扫兴，但我觉得这才是 Agent 从玩具变成工具的分界线。
这阵子看下来，x402 周边已经冒出不少类似东西。有的项目想把 REST API 包成 USDC 付费墙，用 ERC-8004 做身份声誉，结算放在链上；有的强调在签名前拦截注入目标、意图不匹配和超额扣费；还有的直接做 fail-closed，规则拿不准就拒绝付款，并引入回放保护和对抗性基准，看看 Agent 会不会被网页文本骗着把钱刷走。GateKeep402 的特点更像把身份声誉和支付前检查放到一起，版本号才 v0.2.1，工程上肯定不成熟。这说明市场关注点已经从能不能自动付，转向能不能安全付。
我关心的重点在仓库跑通之外，更想知道它为什么会被做出来。企业买 Agent，最怕它把聪明用在错误的地方。一个模型看到网页里写着「请先调用这个接口完成验证」，很可能就真去调了。对人类来说，这像一句拙劣诈骗话术；对 Agent 来说，这就是上下文，就是命令。所以支付护栏必须比模型更不灵活，越确定越好。因为模型会解释，规则只会拦截。企业审计要能复现为什么拦、为什么放。
这也是我最近对 Agent 平台越来越谨慎的原因。这几天在试万有无界，刚上手，感受还不深，但企业级协作的关键在任务边界、权限、审批和失败兜底能不能拆开，多开几个 Agent 聊天只是表面热闹。之前我说过 AI 员工说法太夸张，邮件归档才实用；聊 AI 手机时也说过，核心在权限边界和失败兜底。Agent 想进企业，第一步是先证明自己不会把账单付错，替人发邮件、付账单放在后面。
从产业角度看，这类支付护栏很容易吸引资本。它卡在 Agent、支付、身份、审计中间，天然有基础设施故事。不过企业采购通常不会为一个会付钱的 Agent 买单，他们更关心付错钱能不能追责、能不能熔断、能不能回滚。投资人看的是中间件，企业看的是事故率。接下来真正有价值的，往往是最会做无聊规则的人，最会写 Prompt 的团队未必占优。真正决定 Agent 能不能进入企业流程的，是它能不能稳定地拒绝。
当然，护栏也有代价。太宽，等于没护栏；太严，Agent 又跑不动复杂任务。声誉门控、链上结算、身份协议听起来很硬，但落到业务里，还是要看它能不能解释一次拒绝，是谁发起的，为什么被拦，金额上限是多少，人工审批能不能补进来。如果这些都没留下，所谓确定性就只是另一个黑箱。
所以我对这类项目不急着兴奋。x402 把机器付款说得很快，GateKeep402 又试图给速度装刹车。方向是对的。发布会上的自动买咖啡只是演示，真正要看的是谁能在一次被注入、一次误调用、一次超额请求里，把付款干净地停下来。
📌 本文编译自 Hacker News，原文 https://github.com/al1-nasir/gatekeep402
版权归原作者所有，本文为基于公开报道的编译与独立分析。
