别急着让 AI 自己付钱：OpenAI 给每一笔都留了道人工确认

11 月 13 日，OpenAI 发了 ChatGPT Wallet。名字很直白：给智能体一个能付钱的地方。

但把发布稿和同期的隐私政策读完，我觉得最有意思的不是「AI 终于能替你刷卡」，恰好反过来——整篇稿子大半篇幅都在讲怎么把自主性一层层锁住。

这跟过去一年的调子不太一样。大家比的是 agent 能自己跑多远、能连多少工具、能连着干多久。到了付钱这一步，厂商先装刹车。

卡号根本没进这条链路

先把机制说清楚。官方写得明白：用户绑一次卡，之后每一笔都不用再输支付信息。但绑卡这个动作，是由服务商的安全表单收走卡号、有效期、安全码和账单地址，OpenAI 拿到的是一个 tokenized payment credential，加上卡组织、发卡行、卡类型、后四位这类有限信息。隐私政策里有一句很硬的话：OpenAI 不接收完整卡号，也不接收安全码。

真正付钱的时候，是支付网络发一个 payment token 顶上去。这个 token 自带卡号、安全码和有效期，看着像一张卡，但它是真实卡信息的替身。扣款照走用户选的那张卡，商家和智能体从头到尾都碰不到真实卡号。

所以「让 agent 付款」这句话其实不太准。准确说法是：agent 拿着一张被替身过的凭证去结账，原始凭证锁在支付网络那一侧。这样设计，意图不是让 agent 更自由，是让 agent 就算被提示注入、被中途劫持，也偷不走能反复使用的东西。凭证隔离这回事，比权限开关实在。

每一笔都要人按一次指纹

第二道锁更反直觉：不做批量授权。

官方流程是，每笔购买前，用户先看商品、总额、选中的卡，然后用 Face ID 或指纹这类安全检查点一下头。每次点头都会生成一条清楚的授权记录，写明你授权 agent 买了什么。也就是说，授权不是「开一次开关，今天随便花」，而是切到单笔粒度。

隐私政策那边留的账更细：会记下购买请求、你是批准还是拒绝、认证结果、用的时间和设备，以及提交给商家的请求记录。删卡也不影响已经提交的订单，该留的记录照样留。这是把责任链写进了日志，出事能倒查。政策里还专门承诺，不售卖这类信息，也不拿去做跨场景的行为广告。

发布稿里还有个挺诚实的细节：payment token 能跑通现有结账流程，但风控系统仍可能把 agent 发起的合法订单当成可疑交易，直接拒付或取消。所以官方没铺开，先只放给美国境内、18 岁以上、持合格美国卡的 ChatGPT Pro 用户，理由是从真实使用里学习，跟商家、银行、支付网络一起把兼容性和可靠性磨好。

连商户侧都得配合：用 Web Bot Auth 认签名请求，别让 CDN 或防火墙把 ChatGPT 的 agent 误挡在门外，另外还发了 Commerce Partner Playbook、支持挂 WebMCP 工具。合作伙伴列了一长串，American Express、Mastercard、Visa 三家卡组织打底，风控侧是 Forter、Riskified、Sardine、Signifyd，支付服务商是 Adyen、Checkout.com、Stripe。

一家做模型的公司，发布稿里大半篇幅在讲风控规则、CDN 配置和授权记录。这个比例本身就说明问题：技术难点不在模型，在怎么接进一套不肯轻易改的既有系统。

对做 agent 的人，这是个信号

往前翻，这条路不是今天才起。2025 年 9 月 29 日 OpenAI 发过 Instant Checkout 和开源的 Agentic Commerce Protocol，当时写的是每周 700 million 人在用 ChatGPT；这次主公告里，这个数字变成 1.2B。规模涨了，但当年那三条 Built for trust 没变：用户逐步确认、加密支付令牌只对特定金额和特定商户授权、数据共享最小化。一年多过去，加的是凭证和流程，不是放开的那一步。

Wallet 首发放在 dots 里也不是偶然。dots 是那种 24/7 在线、自己找活干的常驻智能体。官方在它的发布页里同样留了句提醒：dots 仍会犯错，重要结果务必自己复核；像改密码这类敏感操作始终留在人手里。一个越跑越自动的东西，配一个每笔都要人点头的钱包，这两件事放一起看才完整。

我的判断是：支付大概是 agent 落地里第一个「错了没法回滚」的场景。聊天答错能重来，代码写坏能回滚，钱花出去只能走争议和退款。所以厂商在这儿没法用「先上线再迭代」那套，得先把授权粒度、凭证隔离、可追溯日志这三样做实，才敢开一个小口子。

官方也留了后手：以后可以让用户设消费上限、商品类别、时间段，预批准一批购买，把整段委托交给 agent。但即便走到那一步，前提仍是参数可设、授权可查、每笔可拒。所谓全自主，被拆成了一串可以撤回的小授权。

所以别只盯着「AI 能自己付钱了」这句。真正值得抄进自己系统的是那套拆法：把一次大授权切成单笔，把真凭证换成替身，把每一次点头都留成记录。自主性不是越多越好，得看错了赔不赔得起。