AI代理已经在自主支付完成任务所需的一切——从购买网络搜索访问权限到查询航班是否有奖励座位。而这一进程的扩张速度，已经超过了企业建立管控的速度。
在35天内，Base和Solana网络上记录了640万笔通过x402协议完成的支付——这是代理之间的结算基础设施。其中超过90%的交易金额不足一美分，但数据本身表明：企业正越来越愿意让机器花钱。
出于安全考虑，大多数此类代理都在人类设定的限额内运作。但这足够吗？即便在限额之内，机器也可能犯下代价极其高昂的灾难性错误。
“代理可能持有有效的凭证并执行一笔合法交易，但却是按照恶意指令、基于被篡改的信息或对目标的错误理解行事。支付基础设施可能运转得完美无缺，但钱最终还是流向了错误的地方。”
仅靠支出限额对AI代理来说远远不够
研究显示：在考察的19款产品和工作流程中，有14款能够在人类设定的权限范围内行事。企业可以预先批准预算，之后程序便可在无需每次请求许可的情况下进行采购。
这为企业提供了一个实用的起点：委派任务并限制可用于完成该任务的金额。但这里说的是有文档记录的管控机制，而非证明每个系统都能在遭受攻击时经受住考验。即便预算被正确遵守，另一个问题依然悬而未决：所有者是否真的希望完成这笔特定的支付？
“核心问题在于，代理在技术上被允许做的事情，与其所有者实际想要的事情之间存在鸿沟。”
一条公开消息如何变成17.5万美元的转账
两起事件清楚地展示了危险指令如何能够触及装有资金的加密钱包。
2026年5月，一名攻击者发布了一条摩尔斯电码消息。Grok将其解码并发布了包含Bankr——一个执行加密货币交易的服务——的回复。Bankr将该回复视为支付指令，转出了价值17.5万美元的代币。随后该服务表示已追回80%的资金。
在第二起事件中，攻击者获取了AIXBT控制面板的访问权限，并排入了恶意指令。结果，价值10.62万美元的ETH被转到了其地址。
两起事件合计涉及28.12万美元（追回资金前）。
预算降低了受威胁的资金规模。将支付限制在已批准收款人名单内，则解决了资金究竟能流向何处的问题。重复性的小额支付也需要监控：它们可能在有人察觉之前就已累积成可观的数额。
“一个购买数据的代理，不应自动获得从你的金库中转出资金的权利。”
最终决定权仍在所有者手中
已披露的MCP连接允许AI助手准备交易订单，同时由客户在发送前确认每一笔订单。订单记录随后将请求与实际完成的交易关联起来。这一流程有文档记录，但其抗攻击能力尚未经过检验。
人工审批也必须有实际意义。英国监管机构FCA在10月的评估中指出，人工审核正在流于形式，并强调了技术管控措施和持续监控的必要性。
企业可以从界定明确的任务开始，随着代理按预期行事的证据不断积累，再逐步扩大其权限。
“应当只授予代理完成每项任务所需的最低权限，并且这些权限必须易于撤销。”
Cryptalist分析：代理支付市场的交易活动呈爆发式增长，但安全基础设施明显落后于采用速度。28.12万美元的案例只是冰山一角：随着x402及类似协议的规模化，风险将呈非线性增长。机构参与者应将权限限制、收款人白名单和技术监控视为AI代理接入企业钱包的必备条件，而非可选项。