6 月 16 日，两件事撞在了一起。

　　一个是 AI 版支付宝“阿宝”启动邀请测试，100 个邀请码被全网争抢。另一个是 NVIDIA GEAR 实验室联合 CMU、UC Berkeley 发布 ENPIRE 系统：三个编程 Agent 操控 8 台双臂机器人，在真实实验室里自主协作，装 GPU 卡、插零件、剪扎带，不到两天完成全部任务，成功率 99%。

　　NVIDIA 的 Jim Fan 写了一句很轻的话：“All we did was give Codex an API to the atomic world. The rest is emergence.”

　　他们只是给 Codex 一个通往物理世界的 API，剩下的是涌现。

　　阿宝和 ENPIRE 同天发布，当然是巧合。但放在一起看，一个问题再也绕不开：当 Agent 已经能在物理世界里自己干活、自己决策、自己进化，它买东西时，拿什么付钱？

　　扫码？输密码？指纹？

　　二维码框架里，一个都回答不了。

　　从“人付钱”到“Agent 付钱”

　　支付范式的变化，从来不是“付得更快”这么简单。

　　现金时代，是人拿货币买商品。移动支付时代，是人通过平台向商户付款。平台是通道，手机是钱包，二维码是入口。

　　AI 支付时代，多了一个关键角色：Agent。

　　它识别需求，比较方案，发起交易，执行支付，验证结果。链条从“人—平台—商户”，变成“人—Agent—平台—商户”。

　　Agent 不是通道。它是决策执行者。

　　这也是支付宝 5 月 26 日首届 AI 支付生态大会真正值得关注的地方。大会定义了 Token 支付原语和“双载体模型”。韩歆毅的概括是：Agent 是支付的执行载体，Token 是价值的载体。

　　这句话听起来抽象，落到支付上很具体。

　　二维码只能表达一次支付：付 100 元，给某个商户。Token 要表达的是一段持续授权：未来一个月，允许某个 Agent 自动补货；每次不超过 50 元；只限指定品类；超过条件必须重新确认。

　　二维码解决的是“怎么付”。

　　Token 解决的是“谁可以替我付、在什么边界内付、付错了谁负责”。

　　这不是功能升级，是权力转移。

　　二维码取代现金，变的是“不用带钱包”。Token 取代二维码，变的是“不用每次亲自掏钱包”。

　　阿宝和专属卡，两条路都还在门口

6 月 16 日，阿宝启动邀请测试。6 月 17 日，微信支付 AI 专属卡亮相。

　　两家几乎同时出牌。

　　阿宝的形态很前端：右滑进入，首页消失，只剩“阿宝”和“资产”。查公积金、打车、点外卖、找服务，用一句话调起流程。到了支付环节，用户本人确认。

　　它的本质，是把支付宝上万种服务收进一个对话窗口。菜单换成聊天框，入口变成助手。

　　但阿宝不碰钱。

　　微信支付 AI 专属卡走的是另一条路。它是微信零钱里的虚拟子账户，用户手动充值，Agent 只能花这张卡里的钱。接入 WorkBuddy 后，用户在 WorkBuddy 里调用“美团生活助手”，AI 推荐团购，用户确认后从专属卡扣款。

　　一个在前台做管家，一个在后台做跑腿。

　　一个不碰钱，一个隔离钱。

　　腾讯张军的比喻很直白：“托人办事，需要给人家办事买东西的费用。托智能体办，也是一样。”

　　问题在于，从物理 AI 的坐标看，两条路离真正的 AI 支付都还有距离。

　　阿宝只跑流程，不执行交易。专属卡需要手动充值，笔笔确认，且目前场景有限。采购 Agent 凌晨三点发现库存见底，专属卡余额不够，而你在睡觉。物理世界不等人，也不等确认。

　　真正的 Token 协议，应该是用户预设边界，Agent 在边界内自主执行，人只在异常时介入。

　　支付宝和微信支付目前都没有做到。

　　不是因为两家动作慢，而是因为它们还在做“窗口”。

　　阿宝让用户看见 AI 支付可能长什么样。专属卡让用户看见 AI 用钱可以怎么被隔离。但窗口不是房子。Agent 不能永远站在窗口外，等人递钥匙。

　　更致命的问题，在产品之外。

　　牌照：为什么终局不姓“支”也不一定姓“微”

　　AI 支付不是只靠模型和产品就能跑起来。

　　底层还有牌照。

2024 年央行发布《非银行支付机构监督管理条例实施细则》，支付业务被重新划分为储值账户运营Ⅰ类和Ⅱ类。互联网支付、移动支付归Ⅰ类。预付卡发行与受理归Ⅱ类。

　　这不是文字游戏。

　　两类牌照，对应两种身份模型。

　　Ⅰ类是支付账户。核心逻辑是实名认证，账户归属人、资金所有人、交易责任人三合一。Agent 不能独立成为这个主体。它没有身份证，也无法承担民事责任。

　　Ⅱ类是预付卡。购卡人与持卡人可以不是同一个人。购卡人实名购卡，持卡人持卡消费。

　　平移到 AI 支付，人是购卡人，完成 KYC；Agent 是持卡人，在授权边界内消费；出问题，可追溯到购卡人和发卡机构。

　　这才是 Token 最接近监管现实的形态：一张数字化、可编程、可审计的记名预付卡。

　　逻辑到这里是顺的。再看牌照，就不顺了。

　　据央行公示信息，财付通持有储值账户运营Ⅰ类和支付交易处理Ⅰ类，未见预付卡发行与受理对应的Ⅱ类资质。微信支付 AI 专属卡作为零钱体系下的虚拟子账户，仍是在Ⅰ类支付账户框架下运行。它不是预付卡，也不能天然套用“购卡人—持卡人”的二分模型。

　　支付宝有Ⅱ类牌照，但后缀带限制：“仅限于线上实名支付账户充值”。这意味着，其预付卡发行与受理能力仍与支付宝实名账户体系深度绑定。Token 的发行和充值通道，仍在自家账户闭环内。

　　市场上还有另一类机构：持有不带类似限制、全国范围的Ⅱ类预付卡发行与受理资质，同时具备Ⅰ类互联网支付能力。比如裕福支付等机构，其价值不在流量，而在账户体系之外的中立发卡能力。

　　这个差异，在移动支付时代不重要。

　　支付宝和微信支付拥有最大的账户入口、用户规模和商户网络。有没有Ⅱ类，Ⅱ类是否带限制，并不影响两家统治扫码支付。

　　但在 AI 支付时代，这个差异会突然变重。

　　自动驾驶汽车跑在任何运营商的充电网上，不一定先接入支付宝或微信支付账户体系。工厂采购 Agent 凌晨通过工业互联网平台结算原料款，平台未必与支付宝、微信支付完成深度账户集成。健康 Agent 替你下单营养品，它的入口可能在硬件、医院、保险公司，甚至某个垂直模型里。

　　这些场景里，Token 发行方不能总是那句老话：先开通我的支付账户。

　　它更像水、电、网络。谁都可以接入，谁都不能垄断入口。

　　财付通的问题是缺Ⅱ类入口。支付宝的问题是有入口，但入口带着自家账户体系的门槛。

　　AI 支付的终局，不姓“支”，也不一定姓“微”。

　　更可能由那些同时具备合规发卡、支付处理、风控清算能力，又没有超级 App 生态包袱的机构参与定义。

　　这不是牌照套利。

　　是牌照结构里，藏着 AI 时代才会被激活的架构优势。

　　人还在那儿

　　回到 ENPIRE.

　　Jim Fan 说，给 Codex 一个通往物理世界的 API，剩下的是涌现。但细看论文，ENPIRE 四个模块里，第一个叫 Environment。自动复位、自动验证、自动设定安全边界，都在这里。

　　论文方法论里还有一行小字：“Environment Construction from Human Feedback”。

　　也就是说，飞轮本身、飞轮的轴、飞轮追的目标，都是人先搭好的。Agent 只是被放进去迭代。算法的价值，从“跑实验的手”，挪到了“出题的脑子”。

　　这也是 AI 支付最容易被误解的地方。

　　ENPIRE 的 harness 之所以能“冻成不可改的 API”，是因为它面对的是封闭物理环境。装对一张 GPU 卡，就是装对了。成功率清晰、可量化、可重复。环境可复位，数据可反复采。机器人可以失败一千次，第一千零一次跑通，参数就调出来了。

　　支付不是这样。

　　支付的“正确”，不是一笔交易不失败，而是该付的付，不该付的不付。

　　什么叫该付？同一个用户，同样买牛奶，下午三点可以，凌晨三点可能不对。平时买 300 元保健品正常，住院后突然连续购买，也许就该拦一下。今天预算松，明天现金流紧。同一个动作，放在不同时间、不同身体状态、不同账户余额、不同家庭关系里，含义完全不同。

　　这不是一套固定参数能解决的。

　　它是真正的千人千面。而千人千面的前提，是千人千数据。

　　问题是，支付数据从哪里来？

　　它天然撞上三堵墙。

　　第一堵墙是隐私。没人愿意把每一笔消费偏好、家庭关系、健康状态、现金流压力喂给模型训练。

　　第二堵墙是消费者权益。监管要求每一笔 Agent 发起的交易可追溯、可解释、可争议，不能靠黑箱模型一句“我判断可以买”就把钱划走。

　　第三堵墙是反洗钱。支付是资金通道，任何自主执行都意味着人从交易瞬间后退一步。这一步，正好踩在反洗钱体系最敏感的位置。

　　三堵墙不是技术能砸开的。

　　机器人可以失败一千次，支付系统一次都不能错。错一次，是用户的真金白银；错十次，是监管罚单；错一百次，是系统性信任崩塌。

　　墙之外，模型自己也还没过关。

　　大模型在约束明确的地方可以很可靠。规则写清楚，边界画明白，它照做。但支付场景大量决策在灰区：什么时候该拦，什么时候该放；什么时候是本人真实意图，什么时候是冲动消费、欺诈诱导或洗钱拆单。这里没有永远正确的静态规则，需要模型判断。

　　而大模型在没有约束的地方，恰恰最不可靠。

　　它会在两个看似合理的选项之间横跳。会在上下文不足时补出一个貌似合理的理由。下一轮对话，又可能推翻自己。

　　哪怕模型不幻觉，上下文窗口也撑不起“理解你”。即便按 128K tokens 级别的主流长上下文能力来看，也只是装得下几本书，装不下一个人的支付生活。一个人一年几百上千笔交易，每一笔背后有时间、地点、语境、情绪和风险状态。

　　AI Agent 要做的不只是记住你买过什么，而是在你凌晨三点下单时知道：这个时间不太像你。

　　这个要求，远远超过“把支付宝首页换成对话框”。

　　所以阿宝的克制不是保守，是监管的墙、数据的墙、模型的墙一起逼出来的。

　　只跑流程不碰钱，只调服务不执行交易，最后一步永远让用户点确认。它本质上就是 harness：人在里面画好边界，Agent 在里面跑流程。

　　这不是 AI 支付。

　　这是 AI 辅助支付。

　　真正的 AI 支付，是 Agent 在授权边界内自主完成交易，人只在异常时介入。它需要的不只是更聪明的模型，还需要隐私技术、监管框架、风控体系和责任分配同时进化。

　　Token 能做的，是把“人的边界”从一笔一确认，延展成一个可编程约束集：花多少、在哪花、什么场景花、花错了谁担。

　　但即便如此，死循环仍在。

　　数据不够，模型不准。模型不准，边界就得画得保守。边界越保守，Agent 越不自主。

　　这也是为什么到今天，蚂蚁、Stripe、Google 都没有真正说出那句话：我的 Agent 可以替你花钱了。

　　它们做的是同一件事：把 harness 做得更聪明、更透明、更细粒度。

　　但 harness 还是 harness.

　　Token 才是

　　承认 harness 的边界，才知道 Token 要解决什么。

　　阿宝是窗口。

　　窗口能让用户看见 AI 支付可能是什么样子，但 Agent 不能住在窗口里。

　　Token 才是房子。

　　房子有墙，是授权边界；有门，是执行通道；有管道，是清算网络。Agent 住进去，在人预先画好的边界内行动，不需要每开一次水龙头都问主人要钥匙。

　　这不是比喻，国际上已经有图纸。

2025 年 9 月 29 日，OpenAI 和 Stripe 联合发布 Agentic Commerce Protocol（ACP）。其核心支付原语，是 Shared Payment Token，简称 SPT.

　　一个 SPT 精确限定四件事：单一商户、单一币种、最高金额、过期时间。Agent 拿到的 Token 只含必要的支付凭证信息，不接触完整卡号。商户端验证 Token 后，由其支付服务商发起扣款。Agent 递交的是凭证，不直接处理资金。

　　这解决了一个关键问题：Agent 可以参与交易，但不能把用户的支付凭证带走。

　　Google 在 2025 年 9 月 16 日发布 AP2（Agent Payments Protocol），走的是另一条路。AP2 不是支付原语，而是授权原语。

　　用户先签一份 Intent Mandate，写清楚花多少钱、买什么品类、允许哪些商户、多长时间内有效。Agent 拿着这份授权去执行，满足条件后生成 Cart Mandate 和 Payment Mandate。三份带签名的凭证，构成一条可验证的授权链。

　　AP2 不管钱怎么清算。

　　卡组织、银行转账、稳定币网络，都可以在自己的清算层完成资金流转。AP2 只回答一个问题：Agent 付这笔钱，用户到底有没有授权。

　　SPT 和 AP2 合在一起看，方向已经很清楚。

　　第一，授权协议必须机器可读。

　　不能再靠“用户点了确认”这一瞬间来证明全部授权。AI 支付需要的是可编程、可验证、可撤销、可审计的授权边界。金额、时间、品类、商户、Agent 身份、异常处理，都要写进协议。

　　蚂蚁提出 Token 三层承载，方向是对的。但真正决定成败的，是这些约束能否成为代码和规则共同执行的原语，而不是产品里的一个概念名词。

　　第二，执行通道必须开放。

　　SPT 被设计为 Agent 和商户之间的支付凭证，AP2 则是开放协议。二者共同指向一个事实：Agent 支付不能只活在某个超级 App 内部。

　　如果 Token 只能由阿宝调用，只能在支付宝后台流转，它就是私有 API，不是基础设施。

　　基础设施的标准是：车载系统、工业互联网平台、健康 Agent、企业采购 Agent，都能按同一套规则接入。

　　第三，清算网络必须中立。

　　SPT 依赖商户端支付服务商完成扣款，AP2 把授权和清算拆开。两者都没有把 Agent 支付锁死在某一家账户体系内。

　　这对支付宝尤其关键。

　　如果 Token 最终还是只能在蚂蚁账户体系内发行、充值、验证、清算，它就无法成为行业基础设施。三重可信的骨架再完整，只要清算层不开放，Token 仍然是围墙里的管道。

　　三层合拢，才是房子。

　　回到阿宝。

　　阿宝不是没有价值。相反，它可能是中文互联网第一次把 AI 支付的用户界面摆到大众面前。它让用户知道，原来支付入口可以从一个图标、一个二维码，变成一句话、一个任务、一个 Agent。

　　但它的问题也在这里。

　　阿宝仍是窗口。Token 活在窗口背后，只有从这个窗口看进去，用户才知道它存在。

　　而未来的 Agent 入口，不一定在支付宝里。

　　它可能在汽车里，在工厂系统里，在医院 App 里，在智能眼镜里，在一个企业采购模型里。到那时，真正重要的不是用户有没有打开阿宝，而是这些 Agent 调用谁的 Token API，走谁的授权协议，接谁的清算网络。

　　Jim Fan 给 Codex 一个通往物理世界的 API。

　　AI 支付要做的是同一件事：给所有 Agent 一个通往支付世界的 API。

　　SPT 和 AP2 证明，这条路在技术和协议层面正在成形。蚂蚁的 Token 探索证明，这件事在产品层面已经开始。

　　但还差一步。

　　Token 必须从阿宝的窗口里走出来，变成独立于单一 App、单一账户体系、单一生态的开放协议。

　　窗口不是房子。

　　API 才是。

　　Token 才是。