AI Agent 代用户上网，网站难以识别背后真实用户

AI Agent 如今正代表数百万人在网络上执行操作。对一个网站来说，Agent 可能以多种形态出现。它可能与执行任务的人类用户毫无区别，也可能看起来像是一个访客代表着许多用户。这就使网站失去了识别、服务并追究 Agent 背后那个或那些用户的能力，一旦出了问题，成本却由网站承担。本文主张，为了让网站最大限度地向 Agent 开放访问，整个生态必须发展出新的机制，来维系网站与用户之间的关系。传统上，在安全与反欺诈领域，这需要三样东西：身份、声誉和问责，让网站能够回答：操作者对自己的身份是否诚实？这个人是否可信？以及谁来为这次操作负责？

“个人 AI Agent”（简称“Agent”）是一种自动化程序，它接受人类（“用户”）的指令，通过控制一台云计算机或浏览器来追求某个目标。它们通常由“运营方”托管和维护，作为托管服务或消费级产品的一部分。例子包括 Meta 的 Muse 和 OpenAI 的 dots，而且新的产品层出不穷。Agent 有可能代替其用户采取任何在线操作，且不受制约人类的那些限制。它们不会疲劳，全天候运行，可以并行行动，还能忍受任何人类都不愿忍受的摩擦。而网络的大部分——从网站如何规划容量到如何赚钱——都建立在那些限制之上。

从根本上说，远程托管的 Agent 是中介。中介是任何位于用户与网站之间的东西，网站看到的是它而不是用户。Agent 是最新的一类中介，但中介早已存在。云浏览器（由软件代表用户控制的托管浏览器）和代理（中继用户流量的服务，包括 VPN）也是中介。变化的是趋势。Agent 流量正在快速增长，并可能在不久的将来超过互联网上的传统人类浏览。这迫使当今任何运营网站的人不得不重新审视。历史上，网站可以直接屏蔽中介流量，要求用户禁用中介服务。当大部分流量都来自 Agent 时，这一招就不管用了。一旦屏蔽不再可行，网站运营者就只剩下中介一直以来造成的问题：网站失去了关于用户的直接信息，必须在没有这些信息的情况下决定是否信任中介。

本文讨论的是托管在用户设备以外某处的 Agent。本地 Agent（例如 OpenClaw）或在用户自己设备上的自有浏览器中运行的 Agent，不属于本文主要讨论的范围（见下文“关于开源与本地 Agent”）。

本文基于一条原则：

中介原则：用户与网站之间的业务关系，以及各参与方的安全责任，无论是否存在中介，都必须得到维护。

网站需要新的工具，来识别、服务并追究通过 Agent 操作的用户，就像该用户直接访问时一样。Agent 及其背后的运营方也必须可识别、可问责，因为 Agent 能做到任何用户都做不到的事。Agent 几乎可以无限制地扩展人类访问，因此它们带来了新的风险，即便是以前无害的行为也不例外。

中介问题

来认识一下 Ezra。Ezra 为她所在城市的人们做私人助理。她最好的客户是 Amy，一位本地 CEO，但她也为 Bob、Charlie 和 Debra 工作。她替他们跑腿：买菜、预约、处理文书、订机票。Ezra 混在人群中毫不起眼。

街角的杂货店老板以前认识 Amy。他知道她买什么，会把她可能喜欢的东西留出来。现在只有 Ezra 进店，带着四个人的订单，老板分不清哪些偏好是谁的。他不想把 Ezra 拒之门外，因为她给他带来了很多生意。

然后 Bob 让 Ezra 给他买一部 iPhone。一周后他打电话给商店，说自己从未授权这笔消费，并把手机留下了。要想赢下这场争议，商店必须证明是 Bob 要求购买的。但商店唯一见过的人是 Ezra。

接着 Charlie 给了 Ezra 一列表密码：“我忘了我的，但肯定是其中之一。”Ezra 耐心地在 Charlie 的银行逐一尝试。银行能看出正在发生攻击，但它唯一能封禁的人就是 Ezra。封禁 Ezra 也就封禁了 Amy、Bob 和 Debra。

这些商家没有一家对 Ezra 本人有意见。他们的问题是只能看到 Ezra，看不到她代表的那个人。把 Ezra 换成 AI Agent，把商家换成网站，就是今天的网络。

网站所有者希望有足够的可见性，既能防止不良行为，又能有效地变现或从其网站获取价值。但就像 Ezra 的情况一样，这种可见性在 AI Agent 面前大量消失。下面列出的是一些网站所有者可能想要应对的操作，它们以前已经得到解决，但因为允许 Agent 而变得更棘手。

在上述几乎每一个挑战中，网站都承担着主要成本。这个结果源于涉及中介时信任的运作方式。

我们的愿景

我们的目标是这样一个互联网：所有用户对网站的访问权限都不低于从前。在 Agent 出现之前，网站通常能够通过一系列技术来缓解这些风险，包括对用户的设备、会话和历史进行指纹识别。用户仍然可以使用隐私浏览模式浏览，我们认为 Agent 也应该能够这样做。但在没有额外验证的情况下，它们很可能无法登录银行。

这一切都不要求 Agent 表现得像人，也不要求每个操作都有人在场。它要求的是，网站有手段获取或要求提供关于用户的信息，以便在适用时、无论有无 Agent，都能追究用户的责任。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）