过去两年，Agent 产品的卖点几乎都是同一句话：你说一句话，它替你去网站上把事办了——订票、比价、下单、查账户。这个承诺有一个从未被写进合同的前提：网站会接受一个自动程序，以你的名义来访。
这个前提正在被拆掉。
一、事实：谁在拦，怎么拦
据 The Verge 10 月中旬的报道，Meta 的 Muse、xAI 的 Grok、OpenAI 的 Dots 以及 Instinct 的用户，近几周陆续报告自己的 Agent 在主流网站上办不成事。已经明确表态的有几家：
- Yelp：只允许加入了其付费数据授权计划的 Agent 访问。这是商业决定，不是技术拦截。
- 达美航空：不允许 Agent 代用户订票。
- 摩根大通、嘉信理财：以安全为由，阻止 Agent 访问客户账户。嘉信方面公开提出的问题是：当 Agent 替客户行动时，责任算谁的。
- Cars.com、Amtrak：用户报告此前能用、现在不能用了。没有公告，属于静默失效。
还有一类更麻烦的情况：没有明着拦，但过不去。沃尔玛与 Meta 是正式合作方，仍有用户报告在沃尔玛结账失败——因为 Agent 触发了为爬虫和欺诈设计的风控系统。也有 Reddit 用户称，用 Muse 操作后账号被判定为「可疑活动」。
基础设施侧的背景不能省。Cloudflare 从 9 月起默认拦截混合用途的 AI 爬虫，把「既做搜索索引又做模型训练」的抓取挡在门外。这项策略现在硬编码在很多网站的边缘节点上，任何看起来像机器人的流量都落进同一个桶——包括拿着用户授权的 Agent。
二、Amazon 与 Perplexity 那条法律线
这件事不是突然发生的，它有一场打了一年多的官司做前情。
亚马逊先封了 Perplexity 的代理购物功能并起诉，理由是：替客户下单的第三方公司应当「公开运作，并尊重服务方是否愿意参与的决定」。Perplexity 的反驳更直接：亚马逊不欢迎 Agent，是因为 Agent 不让它拿到那么多人眼广告，并把 Agent 比作「用户雇的助手」。
一审法院曾判 Perplexity 停止该功能，8 月上诉法院推翻了这项裁定，亚马逊随后提交了修改后的起诉。也就是说：法律上还没有结论，但技术上的拦截已经先落地了。
同一套逻辑随后落到 Meta 身上。亚马逊称 Muse 的「持续访问」违反站点政策；据报道，Grok、Instinct 和 Dots 也进不去亚马逊。xAI 方面的回应是「也许该做个亚马逊的竞品」——这算是用另一种方式承认了分发受制于人。
三、真正的问题：Agent 证明不了「我代表这个人」
把这些案例放在一起看，会发现一个共性：网站判定来访者的依据，不是「有没有授权」，而是「像不像机器人」。
风控系统能看到的信号是：请求头、访问节奏、会话行为、IP 与设备指纹。这些信号里没有一个字段叫「此人已授权此 Agent 代为操作」。于是一个带着用户明确授权、甚至带着用户登录态的 Agent，在数据包层面和爬虫没有区别——而且因为它在访问账户页，看起来更像在试探。
这才是问题所在：缺的不是反爬对抗能力，是一层可验证的授权。行业已经在往这个方向补：Meta 与 Sierra 推的个人智能体协议 PAP 试图解决「这个 Agent 代表谁」，Okta 牵头的 Blueprint Alliance 在给 Agent 发身份、定权限。但这些都还在早期，没有一家网站能拿它做准入判断。
所以现在这个阶段的现实是：Agent 的上网权不取决于技术，取决于对方愿不愿意跟你签。
四、Web 正在分成两层
网站的反应已经明显分叉，而且分得很快：
- 开门的一侧：Meta 没有去和亚马逊硬碰，转头签了沃尔玛、Gap、Sephora、百思买等零售商，让 Muse 在这些站点上购物；Shopify 则把自己的店铺网络向 Agent 开放，走的是工具接口那条路。它们的共同点是：先谈好，再开口。
- 关门的一侧：Yelp 走付费授权，达美和两家银行直接拒绝，亚马逊在打官司。它们的共同点是：Agent 不在我的商业模式里，就不让进。
- 没表态但静默失效的一侧：Cars.com、Amtrak 这类，没有公告、没有接口，用户只是发现「昨天还能用」。
Meta 的表态值得抄下来：「拒绝一个个人 Agent，等于拒绝它背后的那位客户。」这句话是这场分叉的核心分歧——Agent 到底算用户的延伸，还是算第三方。前者要按用户对待，后者要按合作方对待，两种待遇差着一个数量级的成本。
对做 Agent 的人来说，这意味着能力上限不再由模型决定，而由合作名单决定。你能办成多少事，等于有多少站点愿意让你进。
五、对做 Agent 的团队，三条立刻能做的动作
- 把每个域名当成一次独立集成：不要再假设「浏览器能打开就能操作」。列出你依赖的站点，逐个标注：有官方 API 吗、有合作计划吗、目前是能用还是已被拦。有接口的走接口，没接口的走合作，都没有的才考虑浏览器自动化。
- 按域名监控成功率，别只看整体成功率：静默拦截在日志里和「选择器失效」长得一模一样。同一个任务连续失败、耗时突然变长、页面结构没变但元素找不到，都优先怀疑被拦。监控口径参照 运行监控该看什么，把域名维度加进去。
- 把人工接管做成默认出口：被拦时不要静默重试十次，直接把控制权交回用户，并把当前页面和已填信息保留下来。抓需要登录的网页 那套登录态处理，在这些站点上会越来越不管用，提前接受这个现实。
三条里最容易被忽略的是第二条。大部分团队的整体成功率在 90% 以上，看起来健康，实际上是几个大站点撑着，长尾站点早就全灭了。
六、三个争议：别急着站队
- 「付费授权」是不是把开放网络变成特许经营：Yelp 的模式如果被广泛复制，Agent 能访问的世界会变成一份订阅清单。这对中小 Agent 开发者是结构性劣势，但对内容方是合理诉求。这个矛盾没有漂亮答案。
- 安全理由站不站得住：银行说拦 Agent 是为了安全，这个理由短期内无法反驳——目前确实没有成熟的「Agent 授权凭证 + 责任划分」机制。但把「无法验证」当成「永久拒绝」，等于让整个行业停在原地。
- 对普通用户的反作用：多位受访者判断，人机验证会从票务网站扩散到日常购物。也就是说，Agent 和人的摩擦，最后会由人来承担一部分。这一条很少有人提，但它是真实的成本。
另外要提醒一句：本文的事实基础主要来自 The Verge 的报道与各家公开表态，具体拦截范围、生效时间、是否存在误伤，各家都没有完整披露，不宜当成已经定型的行业规则。
七、老达点评：这不是技术封锁，是商业谈判
我的判断很直接：这一轮拦截的本质，是「代理」这个身份在法律和商业上都没被承认，技术只是最先撞墙的地方。
过去几年我们习惯了一个叙事：Agent 会像人一样使用互联网，网站只是被动的页面。这个叙事漏掉了一件事——网站是有商业模式的，而 Agent 恰好绕开了其中几个关键环节：广告曝光、账号留存、数据授权、以及「用户自己点那一下」带来的转化归因。你绕开的每一环，都有人靠它吃饭。
所以我更愿意把这件事看成一次定价谈判的开始，而不是一场封锁。Yelp 已经给出报价了（付费数据授权），Meta 给出的是另一种报价（零售商合作 + 流量互换），Shopify 给的第三种（接口层开放）。三条路都指向同一件事：Agent 上网是要付费的，只是付给谁、怎么付还没谈拢。
对做产品的人来说，最危险的心态是「等标准出来再说」。标准（PAP、Blueprint、各种 Agent 身份方案）短期内不会统一，而站点已经开始按自己的规则拦人了。现在就该做的事只有一件：把「能不能访问」当成供应链问题来管，而不是当成技术细节。
八、国内是另一条路
同一周，国内的动作方向明显不同：
- 10 月 16 日，基于确定性网络的智能体互联平台 AXP 在南京发布，做的是「找得到、接得上、跑得稳」的基础设施层，由平台侧统一解决寻址与连接。
- 10 月 17 日，金山办公在沈阳谈组织级智能体落地，思路是把 Agent 放进组织自己的知识与业务系统里，用私有化部署、沙箱隔离、越权拦截来划边界。
两条路线的差别很明显：海外是「站点逐个谈判」，国内更偏「平台统一接入 + 组织内闭环」。前者把摩擦留在市场里，靠商业合同解决；后者把摩擦收进平台，靠统一入口解决。哪条更快，取决于你做的 Agent 是要替用户逛整个互联网，还是要在自己的业务系统里干活。
九、总结
这件事值得记录，不是因为它热闹，而是因为它第一次把 Agent 行业一个不愿面对的问题摆到了台面上：
Agent 的能力上限，不取决于它多聪明，取决于有多少人愿意让它进门。
短期看，做浏览器自动化的团队会最先感到疼；中期看，Agent 身份与授权标准会成为必需品；长期看，互联网大概率会分成「对 Agent 开放」和「只对人类开放」两半。现在能做的，是把依赖清单列出来、把成功率按域名拆开、把人工接管做顺——这三件事不需要等任何标准。
