2026 年 10 月 17 日，The Verge 刊出一篇调查报道：OpenAI、Meta 和 Google 都在向用户承诺，AI Agent 可以代替用户订餐厅、清理收件箱、购买商品。但同一周里，Meta 的 Muse、xAI 的 Grok、OpenAI 的 Dots 等产品的用户发现，自己的 Agent 在一批主流网站上无法继续操作。对开发者来说，问题已经不只是模型能不能完成任务，而是网站是否愿意让 Agent 进门。
电商、金融、旅行网站陆续收紧入口
过去两个月的公开报道显示，拦截正在多个行业出现。9 月 21 日，彭博社报道亚马逊开始封锁 Meta 的 Muse，Agent 无法继续浏览亚马逊商品目录，也无法代替用户下单。10 月 6 日，TechCrunch 补充了更多案例：Yelp 表示，只允许参加付费数据授权计划的 Agent 访问；达美航空确认，目前没有允许第三方 Agent 替客户查票订票的集成，未来如果开放，也会以安全和客户体验为前提；联合航空则引用使用条款，明确不得使用任何 robot、spider 或其他自动化设备监控或复制网站内容。
金融行业的态度更为谨慎。The Verge 报道，摩根大通和嘉信理财都确认阻止 AI Agent 访问客户账户，理由均为安全考量。Cars.com 和美铁 Amtrak 也出现在用户反馈中，这类网站没有公开发布公告，用户只能从“以前能用、现在不能用”中察觉变化。
更早的一起争议发生在 2025 年 11 月。路透社报道，亚马逊起诉 Perplexity，起因是后者的代理购物功能替用户在亚马逊下单。亚马逊在声明中表示，第三方公司替客户购物可以，但应当公开行事，并尊重服务方是否参与的决定。Perplexity 则发布了一篇标题为 Bullying is not innovation 的回应。
拦截不只靠验证码，四层系统同时起作用
对开发者而言，第一步是判断 Agent 被拦在哪一层。公开信息整理显示，主流网站限制 Agent 的手段大致分为四层。
- 第一层是规则与条款，包括 robots.txt、使用条款和 API 协议。它未必会立刻阻断请求，但会成为后续拒绝访问甚至诉讼的依据。
- 第二层是 WAF 和流量特征识别。Cloudflare、Akamai、PerimeterX 等厂商会检查 TLS 握手指纹、HTTP/2 帧序列、请求头顺序与缺失情况，真实浏览器与脚本、无头浏览器之间存在明显差异。
- 第三层是行为判断，包括鼠标轨迹、滚动节奏、页面停留时长、点击位置分布等。Agent 的操作往往又快又均匀，容易在评分中处于劣势。
- 第四层是交互式人机验证，例如点击“确认你是人类”、按住按钮、选择图片验证码等。
沃尔玛的案例说明，即使是官方合作，也可能被既有反垃圾系统拦下。Meta 在 9 月的 Meta Connect 大会上宣布与沃尔玛合作，但用户实际下单时，页面仍可能弹出人类验证按钮。Agent 无法完成一次真实人类点击，流程随即中断。由于验证组件通常由第三方厂商提供，网站自身未必清楚具体判定逻辑。因此，开发者把精力放在“如何证明自己不是恶意流量”上，往往比单纯联系客服申诉更有效率。
开发者可选路径：授权、标准与日常自检
面对这些限制，开发者的可选路径主要有四条。
- 走官方通道：优先确认目标站点是否提供官方 API、合作计划或面向 Agent 的服务端点。Meta 在 Muse 应用中维护着一份 connectors 合作方清单，沃尔玛在其中。
- 购买数据授权：Yelp 将 Agent 访问做成付费授权计划，这会带来成本，但规则相对清晰。
- 跟进开放标准：TechCrunch 报道，Meta、沃尔玛、Stripe、Sierra、Genesys、Rocket、NiCE、Decagon 正在联合制定一套开放协议，用于规范电商场景下 Agent 与商家之间的通信，目标是在协议层面区分合法 Agent 和恶意爬虫。
- 保持抓取礼节：如果仍需访问公开页面，应在 UA 中写明身份和联系地址，尊重 robots.txt，设置限速与指数退避，遇到验证墙时停止并记录，而不是更换 IP 继续尝试。
一种合规自检思路是：先读取目标站点的 robots.txt，确认抓取权限；再以声明身份的真实 UA 发起一次请求；根据响应状态码和页面特征判断结果。需要注意的是，返回 200 并不意味着访问成功，如果正文只包含验证组件脚本引用，而没有实际内容，仍应判定为被验证墙拦截。将这类检查纳入日常监控，可以帮助团队在用户投诉前发现问题。
行业走向：授权 Agent 进门，未授权 Agent 空间收窄
不同行业的态度已经出现分化。零售商在开放交易与保护数据资产之间摇摆，金融机构更重视账户安全，内容平台则开始将 Agent 访问转化为授权收入。Meta 在开放标准相关表述中提到，拒绝一个个人 Agent，等于拒绝它背后的那位客户。这句话点出了网站方的现实矛盾：Agent 背后往往是有明确购买或办事意图的真实用户，完全关门可能同时关掉业务机会。
短期内，形势不会简单反转。金融机构的安全理由仍然成立，零售平台的数据利益也真实存在。更可能的走向是授权体系加速成型：获得授权的 Agent 通过标准协议进出，未授权 Agent 在反爬系统面前逐渐失去操作空间。亚马逊诉 Perplexity 的案件将成为一个重要观察点，它会影响行业对未经授权代理购物法律边界的判断。
对开发者而言，当前更实际的做法是把 Agent 的身份标识、权限检查和降级策略作为基础能力建设。给 Agent 配置清晰且可联系的 UA，把 robots.txt 检查放进抓取流程的第一步，再将验证墙和硬拦截纳入告警，都是在为后续合规接入争取空间。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/ai-agent-bei-wang-zhan-lan-zai-men-wai-kai-fa-zhe-yao-xian
