支付安全，是商业行为的前提。
在电子商务时代，支付宝构建了一套可信任的“担保交易”机制，解决了陌生人在线上交易的信任难题。进入AI时代，当智能体（Agent）开始进入交易环节，谁能成为AI时代的支付宝，解决Agent的身份认证、授权、风控，搭建新的信任基建？
在2026年9月举办的外滩大会期间，中国金融科技公司蚂蚁集团披露，其2025年9月11日推出的“AI付”，在真实商业场景中的Agent支付已突破3亿笔，服务用户超过1亿，覆盖大模型、AI创作工具、智能硬件、电商和本地生活等12类场景。
这个数字，目前仅为支付宝一年约3000亿笔交易数量的千分之一。2026年年中，机器人（Bot）流量已经超过了人类对HTML网页的访问流量；随着AI对人类社会的快速渗透，Agent支付超过人类支付也只是时间问题。
如果说传统支付安全的核心是“确认是谁发起一笔交易”，即KYC（know your customer），AI时代智能体（Agent）支付最需要解决的，是如何证明Agent在支付的这一刻仍然代表正确的人、运行在可信环境里，并且只在被授权的范围内执行用户真正想做的事，即KYA（know your agent）。
目前，国内外多数Agent支付项目仍以首笔验证、协议发布和商户接入为主要的里程碑数据，蚂蚁集团已经从“把Agent支付跑通”进入“亿级真实交易发生以后怎样治理Agent”的阶段。
2026年9月11日，蚂蚁集团发布了面向Agent商业活动的信任基础设施“APASS”，并称其已接入超过100万个Agent，其中已激活11万个，覆盖442家智能体服务供给方。
蚂蚁AI支付安全负责人陈树鹏向南方周末解释，APASS不是简单再给Agent建一个身份，而是面向智能体商业的一整套信任基础设施，以持续核验的身份框架为基础，将用户授权、意图安全、运行时的风控和可信存证贯穿交易过程。伴随着AI支付走向规模化，需要让Agent可识别、可授权、可约束、可追踪，让用户意愿得到保障，让相关主体的责任可追溯。
以下是南方周末研究员对陈树鹏的访谈。
“APASS是一整套基于KYA理念的信任基础设施”
南方周末：Agent进入支付环节，带来了哪些变化？
陈树鹏：支付的核心是信任，今天信任的本质没有发生变化，只是信任的对象和面貌发生了变化。Agent没有打破移动支付时代的清算和支付网络，只是在这个网络上多了一个Agent角色参与交易。所以，支付协议本身没有本质变化，但是支付指令发生了变化。
过去用户点App，支付报文非常清晰，比如3元买一瓶水，商户是谁、金额多少、参数是什么，都很结构化；到了Agent时代，用户可能只说一句“帮我买瓶水”，或者“5元以内的苏打水”。这时候除了身份，又多了一个新问题，就是怎么理解和判断用户的意图。
南方周末：给Agent一个固定ID，是不是就能解决身份问题？
陈树鹏：传统的支付宝，用户不能随意改代码，但Agent却不是这样。Agent是开放生态，它可以任意移植，用户、开发者、商家都可能动代码、装东西、迁移环境。因此，Agent运行时的身份确认非常重要。真正推进交易时，我需要知道它是不是换了机器、换了环境，不能只是发一个ID、做个备案，身份问题就解决了。
南方周末：APASS把Agent身份拆成基础身份、运行时身份和责任主体身份，它们分别代表什么？
陈树鹏：“基础身份”可以理解为对Agent代码做“软件指纹”，先回答这段Agent到底是谁，确认智能体的来源与能力。“运行时身份”用于确认当前实例，看的是它现在跑在哪里、环境有没有变化——程序可能没变，但从家里电脑搬到公司电脑，或者迁到云上，运行状态就已经不同。“责任主体”用于确认行动归属。
我们开玩笑说Agent可以做各种“背锅”的事情，但在商业社会里，Agent本质上是代理，不能真正承担责任。所以这三层不是为了给Agent多发几张证，而是为了把“它是谁、现在还是不是原来的它、出了事找谁”都说清楚。
南方周末：所以，APASS并不是要给Agent多发一张“身份证”？
陈树鹏：对。我认为这个框架不仅仅是一个ID。系统里当然可能有ID映射，但很难用一个静态编码去表述Agent。它的记忆会变、模型可能切换、电脑和服务器会换，责任主体也可能变化。我们更愿意把它理解成一整套基于KYA理念的信任基础设施，通过智能体可信身份产品和智能体风控服务，建立起身份与行为两条信任链。
南方周末：身份确认以后，Agent是不是就能代表用户自由行动？
陈树鹏：身份只是第一步。Agent有了身份以后，只能在一定的授权范围内办事。像自动驾驶一样，蚂蚁把Agent支付等级划分成了L1、L2、L3，用户信任Agent到什么水平，就愿意把多少控制权交给它。用户可以决定给它50元/月还是1万元/月，也可以决定让它自动执行还是到支付确认页由人最后点一下。
南方周末：L1、L2、L3三个支付等级，具体是怎么区分的？
陈树鹏：衡量的标准就是Agent参与的程度有多深。L1是Agent帮你进行搜索、选品等操作，最后支付确认还是人来完成。L2是用户委托它完成一件事，比如“帮我买杯咖啡”，咖啡已经选好、金额又在授权范围里，如果再让我重复点一次确认，可能就是多余动作。L3更像复杂任务，比如你说“帮我把PPT做完”，Agent为了完成这个目标，可能查付费论文、买模板、买图标，中间发生多笔购买，你不需要逐笔确认，最后它交付给你的是一个结果。
我们的判断是，过去是本人操作，现在逐渐变成目标、意图驱动，中间有多少节点，它可以自己完成。
南方周末：你们会不会给Agent做一套类似“征信分”的系统？表现越好，支付权限就越高？
陈树鹏：这里有两个层面的问题。第一层永远是用户自己的授权，你给它多少钱、给不给自动执行，这是用户自己的选择。第二层才是蚂蚁对Agent的信任，即对其识别能力和履约表现的判断。现在这部分还比较早，有点像给Agent做“大众点评”。我们可以看背后的责任主体，也可以看本地环境、意图对齐和履约表现，还可以看它是不是每天在正常做任务，还是在薅羊毛、领券、修改位置、恶意抢资源。对不同模型、不同框架的指令遵从能力，我们也会有一定的判断。
南方周末：这个判断，是由你们一家完成吗？
陈树鹏：对。不同公司掌握不同的信息。支付宝更了解支付和交易行为，终端厂商知道本地环境，Agent平台知道上下文和执行过程。我们已经在做基于隐私保护的联合风控，不需要把原始数据全部给我，可以给我结果，或者给脱敏后的表征。这样在不碰原始数据的情况下，也可以一起判断这笔交易是不是在可信范围内。
没有安全护栏，Agent就是在“裸奔”
南方周末：你们将信任判断的核心放在Agent的“意图”上，怎么判断？
陈树鹏：至少有三个部分。第一是提示词，第二是从上下文里提炼出来的东西，第三是Memory，也就是对用户长期和短期的理解。比如我去上海，可能习惯从杭州西站坐早班高铁，也有座位偏好。Agent如果有历史记录，就能更懂我。谁更了解用户，谁就能给用户更好的体验。但有一点比较确定，原始意图肯定来自用户，后面再怎么推断，也不能脱离这个原始意图。
南方周末：那你们是否会读取大量Agent上下文？是否涉及用户隐私？
陈树鹏：不需要把所有内容都拿过来。Agent平台本身会看上下文、Memory，这是它每天在做的事情；支付宝做支付风控，只获取必要信息，同时和生态伙伴做隐私保护的联合风控。不同公司掌握的信息不一样，支付宝更了解交易行为，终端厂商知道本地环境，Agent平台知道上下文和执行过程。我们可以在不碰原始数据的情况下，由对方给结果或者脱敏后的表征，一起来判断这笔交易是不是在可信范围内。
南方周末：Agent为了完成任务会去网页、工具、第三方服务里“跑”，最大的风险在哪里？
陈树鹏：我们观察了几个月，Agent真的会做各种各样的事情。它出去“逛一圈”就可能被投毒，或者误入钓鱼网站；它也可能安装第三方Skill，把不安全代码带进来。这导致支付的前置链条被拉得非常长，每一步都可能变成不安全输入，生态里的防守会很困难。
在没有安全护栏的情况下，Agent就是在“裸奔”。比如Agent浏览网页，但网页里藏了一段恶意指令，让它忽略原来的预算，改买另一件商品。这属于我们说的“间接提示注入”，也是目前Agent安全里非常靠前、非常难防的一类风险。模型处理长任务时注意力会分散，中间如果被注入指令，甚至会让它“忘掉”原来的任务，或者被带偏。举个例子，用户只想买一瓶水，但Agent被投毒后去买了黄金，甚至同城送到另外一个地址，接收方也不是你。整个任务已经不是你下达的，但你可能还不知道，这笔支付已经把钱花掉了。
南方周末：你们怎么应对？
陈树鹏：我们的应对方法是分成三层。第一层是始终保留用户最原始的任务来比对。中间怎么绕都没关系，最后要看用户一开始到底要什么。今天买了黄金，但原来只是买水，我们会去比对这个偏差。第二层看运行时，它是不是访问了钓鱼网站，UI、工具调用里有没有提示注入，本地环境有没有异常。第三层再回到交易行为：这个用户从来没让Agent买过黄金，这次突然买黄金，就非常值得注意。单靠用户自己很难把这些事情都判断清楚，所以我们才会说在AI时代“你敢付，我敢赔”。这句话很有勇气，对我们的安全模式也很有挑战。
南方周末：意图判断的成功率或者有效性，要怎么衡量？
陈树鹏：在我们的三层防御架构里，第一层意图对齐的覆盖能力目前在95%左右，剩下的5%就是无法初步判别的意图。第一层看不清楚的，会继续流到第二层运行时检测，运行时还看不清的，第三层再进入传统行为风控。它是漏斗式的：第一步意图对齐，第二步锁住整个执行环境，第三步回到风控体系。整个链条包括身份颁发、运行时、意图对齐、风险判断和最后支付放行。
南方周末：发现异常以后，是提醒用户还是直接拒绝？
陈树鹏：不是只有一种处理方式。可以直接放行，也可以先Hold住，再拉起二次确认，通过App、短信、电话去问“这是不是本人意图”。风险很高时可以直接拒绝，并提醒用户。新业务或者我们没有足够把握的业务，优先做二次确认，而不是简单拒绝。超出授权范围或者安全边界，就把用户本人拉回来。
什么时候“你敢付，我敢赔”？
南方周末：目前多数Agent是基于大语言模型（LLM），这些模型还存在“幻觉”，比如金额、小数点、日期、地点看错了，但支付链路本身完全合法，这怎么防？
陈树鹏：这个本质上还是模型和Agent对指令的遵从问题。模型确实可能把金额搞错，对小数点不敏感。第一层，模型厂商通过后训练提高指令遵从；第二层，我们和生态伙伴联防联控，把实际动作和用户的原始意图对齐；第三层回到支付风控，看交易是不是符合用户的历史行为。它不是一个模型能解决的事情。
南方周末：所以，你们不是“用一个大模型看住另一个大模型”？
陈树鹏：不是。我们的能力框架是一套体系，但模型不是同一个模型。有意图对齐模型，也有欺诈支付风控模型，不同业务进来以后，安全系统按顺序走，不同场景有不同策略和权重。不能理解成一个业务对应一个模型，更不能理解成一个大模型包打天下。我们的风控系统是一个大体系。
南方周末：如果Agent在合法授权的范围内买错了东西，你们也赔吗？
陈树鹏：我需要重申，“你敢付，我敢赔”现在更多指盗用。比如Agent或者账户被盗，如果你已经安装、开启了我们的安全能力，最后仍然出现资金损失，那说明我们能力没有做好，我们应该保护用户、做兜底。
如果Agent是在合法授权里做了错误决策，比如模型选错商品、意图理解偏差，或者商户履约货不对板，我觉得这更像交易争议，不完全是传统风控。我们会把交易链路的证据保留下来，再区分到底是Agent平台、模型、商户还是履约服务的问题。
南方周末：未来商家会不会识别“这是Agent在买”，然后专门给Agent涨价，形成新的算法价格歧视？
陈树鹏：我们在APASS里还没有看到所谓的Agent“杀熟”问题，有人开玩笑说“羊还没有长大”， 市场还比较早。我觉得未来是可能出现的，反过来，Agent也有一个优势：它可以到处询价，可以全网比较，还能关注历史价格曲线。如果后台真的识别出“这是Agent在询价”，专门给它一个价格，那Agent也需要学会识别这种情况。这个问题最后还是要靠整个生态一起解决公平性和竞争性。
南方周末：你如何给Agent支付安全现在面临的风险排序？
陈树鹏：我会把意图安全放在最上面。只有意图对齐，任务才能真正交付。
下面几个支撑柱子：身份安全，运行时安全，供应链安全。供应链在Agent时代被明显放大了。过去App集成第三方代码要经过审批和安全评审，现在用户和Agent每天可能装很多Skill、MCP、SDK，供应链风险自然会放大。
南方周末：针对Agent的持续核验一直在进行，这会不会影响支付体验？
陈树鹏：如果先把意图模型额外的耗时抛开，整个运行时的风控大约可以控制在50毫秒以内。很多环境和身份检测不需要大模型，本身很快。我们还有同步、异步和更长周期的检测，不是只在支付那一刻判断，很多计算提前已经做了。意图安全需要模型时开销更大，我们做端云协同：能在端上完成的轻量检测尽量在端上做，真正推进支付时，服务端再做必要的信任判断。
由AI发起的支付，何时超过人类？
南方周末：APASS是蚂蚁自己的封闭标准？
陈树鹏：我们的出发点不是做一个闭源体系，而是希望行业共同建设。智能体商业只有网络效应做起来才有意义。不同公司掌握不同维度的身份和风险信息，未来要通过机制和技术规范实现互认，而不是所有身份都由蚂蚁一家判断。
这也是IIFAA智能体可信身份工作组成立的初衷，解决现在AI支付面临的最核心问题之一，也就是Agent身份认证统一。（注：2026年9月10日，IIFAA智能体可信身份工作组成立，并发布国内首份针对智能体支付身份认证共识的报告《智能体身份可信化框架》，首批有五十余家机构加入。IIFAA是2015年由中国信通院、蚂蚁集团、阿里巴巴、华为、中兴、平安科技等联合发起的可信身份认证生态联盟。）
现在汽车里有Agent，手机里有Agent，桌面上自己装的是Agent，机器人也是Agent；同一个品牌可能又有主Agent、子Agent和不同实例。如果行业连“一个Agent到底怎么定义”都没有共识，后面的身份标准和责任体系就很难完全对齐。这个问题最终不只是企业自己解决，还需要检测认证机构、监管部门和产业一起参与。
南方周末：这种互认会不会最后变成一个唯一ID，把用户信息都集中到一家公司？
陈树鹏：不是。Agent身份本来就不应该只有一个维度。可以类比人：人有身份证，但办理不同业务时还有驾驶证、职业资质等证明。Agent也是一样，它本身是谁、代表谁、当前运行环境是否安全、有没有特定的业务资质，会由不同机构提供证明。未来希望不同生态遵循共同的机制和技术规范，能够互相识别、互相信任。KYA（know your agent）不是把所有原始信息集中起来，而是在具体交易里证明“现在需要证明的那件事”。
南方周末：你认为Agent支付真正成熟的标志是什么？
陈树鹏：我想引用一个说法：当AI发起的支付笔数超过人类直接发起的支付笔数，它就真正成熟了。具体时间不好说，因为现在增长速度不是线性的。模型能力变化太快，一旦出现新的拐点，增长可能非常快，按过往经验做的时间估算很容易失效。
南方周末：这个拐点最可能先出现在哪里？
陈树鹏：我现在更看好办公和效率场景，越来越多办公入口都在Agent化。Agent不只是帮你生成一段文字，它会调用数据、找资料、做PPT、购买数字服务，把整个任务交付出来。所有入口形态变成Agent以后，支付载体、协议和形式都会跟着变化。我们的场景和支付本来就是一个生态，生态发展起来，支付自然会跟着起来。
南方周末研究员 徐庭芳
责编 黄金萍
