前门关了，MCP 服务端没关

一览

五个守门人，四周时间，一条共同的边界。真正要看的是第三列。

日期取自第三方对财报电话会与公司表态的报道，而非一手文件；有一家媒体把嘉信的这番话记在 10 月 16 日的访谈，而不是 10 月 14 日的电话会上。请把具体日子视为近似值，把那组「关掉与留下」的配对视为真正的发现。

嘉信是最干净的样本，因为它把拒绝和替代方案一起交付了

这两周的报道大多读起来像是在给智能体下判决。嘉信这一版不是判决，而是一份规格说明——而且在这五家里，只有它把两半都在同一段话里讲到了明处。

据报道，总裁兼首席执行官 Rick Wurster 对分析师表示：嘉信会拦下试图代客户登录的未授权智能体；他每周都会收到一份拦截报告；几家大厂的智能体每周被拦下的量级在「几十个上下」。他点了 Meta Muse 的名。他给出的理由是责任归属，而不是能力：公司控制不了这个智能体，客户也控制不了，一旦出事，谁来赔这个问题没有答案。按他的说法，他们反对的是客户把密码交出去、让智能体以客户的名义行动。

接着是另一半：据报道，外部模型仍保留着通过嘉信自家 MCP 服务端读取余额与研究报告的权限，而被禁止划转资金。超出读取范围的事情，客户被指向 Charley——嘉信自研的助手。

这是三个各自独立的决定叠在一条政策里，而人们通常把它们当成一件事来谈。嘉信拒绝的是一条通道（用客户凭据打开的浏览器会话），允许的是一个由它自己签发、自己限定范围的接口，而它为自己运营的智能体保留了一项能力——写操作。把这三者分开，这个月其余的事情就都解码了。

被拒绝的是凭据代持，不是智能体

一个用用户密码登录的智能体，摆在资源方面前的会话在构造上就是用户的会话。没有任何字段可供检查。Amazon 对 Muse 公开的不满，并不是「有智能体来访」，而是它在浏览时没有自报是 AI、其访问事先未被告知——这恰恰是在抱怨一个借来的凭据无法携带的信号。这就是环境权限从楼外走进来的样子：用户能做的，智能体都能做，而机构自己的控制手段分不出「客户在查余额」与「客户的智能体在发起转账」。

所以业内偏爱的那个答案在这里并不适用。智能体身份方向的工作——请求签名、可验证的智能体凭据，以及机器人验证与智能体准入里编目的那套机制——回答的是「这是哪个智能体？」。嘉信的问题不是叫不出智能体的名字，而是叫出名字并不能把「用客户自己的权限完成的一次写操作」的责任转移给别人。一份完美的身份挂在一份借来的凭据上，换来的是更好的日志条目和一模一样的暴露面——这正是带认证的智能体身份给出的普遍教训：归属与授权是两笔不同的买卖。

而带范围的 MCP 服务端确实转移了责任。当嘉信自己签发这个接口，它就自己挑选可执行的操作、把日志记在一份自己掌控的授权上，并且可以在不触碰客户登录凭据的前提下撤销这份授权——这就是一份短时效、限定范围的凭据所具备的那些寻常性质。两种形态之间的不对称，与「是否信任智能体的开发方」无关，而在于哪一方有能力说不。

「每周几十个」是这则新闻里最重要的数字

嘉信服务着数千万个券商账户。拿这个做分母，每周几十次被拦下的智能体登录就是噪声——远远不足以构成一个迫使政策出台的运营问题。反过来读，它才是发现：规则是在流量出现之前就写好的。

这个时间点正是开发者算错价的地方。Yelp 的立场不是「不要智能体」，而是「开发方为数据付费的智能体」。Meta 对 Amazon 那次封锁的回应，是列出一串它有合作安排的零售商——Walmart、Best Buy、Gap、Sephora、Wayfair。嘉信的回应，是在自己运营的基础设施上开一个读取范围。每一个案例里活下来的访问，都是某一方事先授予的、给指名的对手方、按约定条件的访问。

所以在 2026 年 10 月被封锁的代价约等于零，而等到消费端智能体流量真正起量时还没拿到合约的代价，就是整个产品。智能体商业里稀缺的资产，正在被证明是一份分发协议，而不是一份协议实现——这正是AP2 与智能体商业里让人不舒服的那一半：支付轨道可以是标准的，而准入照旧是双边的。

这一切还悬着一个法律变量。据报道，Amazon 与 Perplexity 关于 AI 购物的纠纷尚未了结，一道要求停用该功能的初始禁令于 2026 年 8 月在上诉中被推翻。「一个网站能否把替已登录用户行事的智能体排除在外」这个问题，无论朝哪个方向，谁也不该指望它很快有定论。

浏览器是那条无法被授权的通道

浏览器智能体是出色的工程，却是一份糟糕的集成合约。它的全部本领就是操作一个为人类而建的界面，这意味着它继承了人类的会话、人类的 User-Agent 字符串和人类的权限，而检测它永远是一场对抗——它做得越好，就越分辨不出。混淆代理的形状被烤进了结构里：权限握在机构手里，意图由一个无需担责的第三方提供。

做购物与结账智能体的团队之所以把浏览器自动化当作万能适配器，恰恰因为它不需要对手方。十月的教训是，「不需要对手方」和「没有立场」是同一句话。在这五个守门人内部还能继续工作的智能体，走的都是守门人自己签发的通道——一份授权、一段合作，或者一台守门人自己运行的服务端。

有一条设计结论，无论诉讼走向如何都成立。如果你的产品通往某个记录系统的唯一路径，是一个带凭据的浏览器会话，那你拥有的不是集成，而是一种被容忍的行为；而它是否还可用，由一个与你没有任何合约关系的人来决定。把浏览器这条路留给确实别无他法的长尾场景，并把每一个真正重要的目的地，都当成你终将需要从它那里取得一份签发范围的地方。这也是对MCP 的 OAuth 2.1 授权模型的诚实读法：它存在的意义，就是让资源方——而不是智能体——决定这枚令牌能做什么。

如果你在造一个替用户行事的智能体，该改什么

范围克制这件事值得单独说一句：一个只索取当前任务所需能力的智能体，既更容易被放进来，也更便宜地承受判断失误——这正是任务范围的全部论点。这个月拿到授权的，都是那些索取得足够窄、以至于可以被批准的智能体。

延伸阅读

本站相关：

• 机器人验证与智能体准入——智能体能携带哪些身份信号，以及它们解决不了什么。
• 环境权限——为什么继承用户会话是失败模式，而不是一项功能。
• 凭据时效——一份借来的密码所不具备的、限定范围且可撤销的授权。
• 以你的用户身份登录的第三方智能体——同一个问题从接收端看，并把检测的极限讲清楚。
• AP2 与智能体商业——支付那一侧，以及为什么标准轨道仍留下双边准入。
• MCP 授权（OAuth 2.1）——一份签发范围本应如何运作。

参考来源：

• Financial Planning — Schwab blocks unauthorized AI agents, points clients to 'Charley'；财报电话会上的表态、每周拦截报告、MCP 读取范围与责任归属的理由。
• Yahoo Finance — JPMorgan blocks outside AI agents from customer accounts；2026 年 10 月 13 日的三季度电话会。
• The Epoch Times — Charles Schwab, JPMorgan restrict third-party AI agents over security risks；以凭据为核心的表述。
• Notebookcheck — US banks and Amazon are blocking AI agents like Meta's Muse；2026 年 9 月 20 日起的 Amazon 封锁与 Meta 的回应。
• Startup Fortune — Amazon, Yelp and airlines are shutting AI shopping agents out the door；Yelp 的授权计划、Delta 的立场，以及 Perplexity 诉讼的状态。