一个比喻

想象你雇了一个助理，让他每天帮你买咖啡。你不可能每次都盯着他，但你会做几件事：

• 先确认他是你雇的那个人，不是冒充的；
• 给他一张限额卡，每天最多花 50 块；
• 要求咖啡店是你指定的几家，别去陌生地方；
• 每个月对账，看每笔消费是不是你同意的。

AgentPayGuard 的四层防护，本质上就是把这四件事自动化、系统化，搬到了智能体支付的场景里。

第一层：身份——"你是谁"

问题：如果一个恶意程序冒充你的购物 Agent，向你的账户发起支付请求，系统怎么分辨真假？

AgentPayGuard 的做法是给每个 Agent 发一张"数字身份证"。这张身份证不是简单的 API Key，而是一套基于 APASS（Agent Payment Authentication & Security Standard）的信任凭证，包含 Agent 的注册信息、开发者身份、能力范围和使用历史。

关键点在于"持续校验"，不是只验一次。每次支付请求发出时，系统都会重新核验 Agent 的身份凭证是否有效、是否被吊销、是否与当前行为匹配。如果凭证异常——比如一个平时只买咖啡的 Agent 突然要付一笔机票钱——系统会立即提升风控等级。

对于开发者，这意味着接入 AI 付时需要完成 Agent 的实名注册和能力声明。这一步看似繁琐，但它决定了你的 Agent 在支付网络中的"信用起点"。

第二层：运行时——"你在干什么"

身份没问题，不代表行为没问题。一个合法的 Agent 也可能因为漏洞、被劫持或逻辑错误而做出越权操作。

运行时的核心任务是实时监控 Agent 的行为模式。系统会建立每个 Agent 的"行为基线"——正常情况下它会在什么时间、向什么商户、发起什么金额的交易。一旦出现偏离基线的行为，比如：

• 交易金额突然跳涨到历史平均的 10 倍以上
• 收款方出现在历史从未出现过的地区
• 短时间内发起大量高频小额交易

系统会触发拦截或人工复核。这种机制类似于信用卡的异常交易提醒，但粒度更细——因为它监控的不是"用户"，而是"用户的代理人"。

第三层：供应链——"你用的东西可靠吗"

智能体很少独立完成一件事。一个帮你订外卖的 Agent，可能调用了地图 API 查位置、调用了餐厅 API 查菜单、调用了支付 API 完成扣款。这条链路中的任何一个环节被污染，都可能导致最终结果出错。

供应链层的任务是验证 Agent 所依赖的外部服务和数据源的完整性。如果一个 Agent 调用的某个 Skill 最近被投诉存在恶意扣费，或者某个数据源被标记为不可信，系统会在支付执行前给出风险提示，甚至阻断交易。

这层防护对开发者有一个实际意义：如果你做的是一个被其他 Agent 调用的 Skill，你的"供应链信誉"会影响调用方的支付成功率。保持 Skill 的行为透明、收费明确、无异常投诉，也是在维护自己的生态位。

第四层：意图——"用户真的想付这笔钱吗"

这是最难的一层，也是最关键的一层。

传统支付的安全模型假设"用户本人发起的交易 = 用户真实意愿"。但在智能体场景中，用户并没有亲手点击"确认支付"，他只是说了一句"帮我订一张去上海的机票"。Agent 理解了他的意图，完成了搜索、比价、下单、支付的全过程。

问题的关键是：Agent 理解的意图，和用户真实的意图，可能不完全一致。

用户说"帮我订一张去上海的机票"，他可能想表达的是：

• "订一张明天上午去上海的经济舱"
• "订一张尽可能便宜的机票，红眼航班也行"
• "先查一下价格，不要直接买"

AgentPayGuard 的意图层，通过 AI 钱包智能体来弥合这个 gap。AI 钱包智能体会掌握一笔交易的完整上下文——用户最初的表述、预算约束、历史偏好、当前授权范围——在完成风险识别并确认交易符合用户授权后，才执行支付。

如果意图模糊或存在冲突，系统会选择"暂停并请示"，而不是"先付了再说"。

四层不是选择题，是顺序题

很多开发者问：我需要自己实现这四层吗？

答案是：不需要全部自建。支付宝 AI 付的基础设施已经封装了身份校验、运行时监控和供应链风控的核心能力，开发者接入时主要需要关注的是意图层的对齐——也就是让你的 Agent 准确理解用户想要什么、不想要什么，并把这种理解转化为明确的授权边界。

四层防护的执行顺序是固定的：先验身份，再看行为，再查供应链，最后确认意图。任何一层没通过，交易就会被拦截。这种设计的好处是误伤率可控——即使某一层过于敏感，后面的层还有机会放行；但如果某一层明确判断有风险，前面的层不会强行通过。

两个开发者容易忽略的细节

1.授权边界要显性化，不要让用户"默认同意"

很多 Agent 在设计时会把授权做得很宽——"你可以替我管理所有购物"。这种宽授权在用户体验上省事，但在风控上是大坑。建议把授权拆成具体场景："允许自动购买日用品，单笔不超过 200 元"，而不是"允许自动购买"。

2.对账不是可选项，是必选项

即使四层防护都通过，也建议让 Agent 保留每笔交易的完整上下文日志——用户原始意图、Agent 的解析结果、执行过程中的关键决策点。这不仅是风控需要，也是用户信任的基础。当用户问"这笔钱是怎么花的"，Agent 需要能给出一个清晰、可追溯的回答。

具体以官方最新说明为准。