AI Agent 遭航空公司、银行与零售商封杀：Web 正在筑起高墙

AI Agent 曾承诺替你订机票、订餐厅、买球鞋——一句话完成所有网页操作。但现实是，Web 并没有准备好接纳它们。从 Delta 航空到 JPMorgan Chase，从 Yelp 到 eBay，越来越多主流服务正在拒绝 AI Agent 的访问。这场「封杀」背后，既有企业的主动决策，也有安全机制的无心误伤，而两者的结果对用户来说完全一样：Agent 用不了。

谁在关闭大门

餐厅预订平台 Yelp 目前只接受签署了付费数据授权协议的 AI Agent。没有合同的 Agent 在尝试预订或加入候补名单时会直接失败。Delta 航空明确表示不允许第三方 AI Agent 代客户购票或订票，发言人 Heena Chavda 称公司正在评估外部 Agent 如何改善客户体验。United 航空则搬出服务条款中禁止「机器人、蜘蛛及其他自动化设备」的条款，拒绝就具体 AI Agent 问题置评。

金融行业的门关得更紧。据报道，JPMorgan Chase 和 Charles Schwab 出于安全考虑，直接阻止 AI Agent 访问账户。社交媒体上还有用户报告在 eBay、Zillow、Pizza Hut、Adidas 及多家航空公司遇到拦截，部分 eBay 用户甚至因使用 Agent 遭到账号封停。曾有用户表示，Cars.com 和美国铁路预订服务 Amtrak 此前可以通过 Agent 访问，如今也已失效。

两种拒绝，同一种结果

并非所有封锁都是有意为之，这正是问题棘手的地方。

Walmart 在 Meta Connect 上高调宣布与 Meta 的 Muse 达成官方合作，然而用户通过 Muse 在其平台购物时依然报告被拦截。原因是网站上用于拦截垃圾流量和机器人的「人类验证按钮」——Agent 无法通过验证，于是被拒之门外。Walmart 发言人称这属于非故意行为。Zillow 的结构类似：它表示允许代表消费者的 Agent 工作，但反爬虫措施意外误伤了一部分 Agent。

对于普通用户而言，企业主动封杀与安全机制误伤产生的体验完全相同——Agent 跑不通。用户无从分辨自己撞上的是哪一种墙。

CAPTCHA 与人机验证的技术原理

CAPTCHA（全自动区分计算机和人类的图灵测试）的核心思路是设计一类对人类容易、对程序困难的任务，例如识别扭曲文字、点选包含红绿灯的图片、拖动滑块等。网站把这类挑战嵌入关键操作（登录、下单、加入购物车），通过验证结果判断请求来自真人还是脚本。现代方案还会结合浏览器指纹、鼠标轨迹、IP 信誉等信号做无感评分。

对 AI Agent 而言，问题不只在「能不能解题」，更在于它通常以无头浏览器或 API 调用的方式运行，缺乏真实浏览器的完整环境特征，因此即便视觉模型能识别图片，也会在指纹与行为信号上被判定为机器人。这正是 Walmart、Zillow 所说的「误伤」：站点本意是拦截垃圾流量，但 Agent 与爬虫在验证机制看来没有区别，于是被一并挡下。

Cloudflare 的默认变更放大了封锁面

让封锁规模进一步扩大的，是 Cloudflare 的默认配置调整。Cloudflare 开始默认拦截同时服务于搜索索引和 AI 训练的混合爬虫。对于本就因安全原因屏蔽 AI 机器人的站点，这一变更意味着带有广告的页面上的 AI Agent 也会一并被拦截。站点运营者未必专门针对 Agent 做过决策，但 Cloudflare 的配置变化在实际上收窄了他们的可达范围。

有意思的是，Cloudflare 自身也在测试面向 AI Agent 的专用浏览器，并运营着 AI 机器人数据访问的付费市场。它同时站在门的两侧：一边拦截 Agent，一边为 Agent 开路。

混合爬虫与 robots 生态

搜索引擎爬虫、AI 训练数据采集器和 AI Agent 在技术上高度同源：它们都以自动化方式抓取或操作网页，很多还共用同一套基础设施与 User-Agent 标识。此前不少站点对「用于搜索索引」的爬虫放行，以便内容被检索到并带来流量，同时对纯训练用途的抓取加以限制。

Cloudflare 默认拦截同时服务于搜索索引与 AI 训练的混合爬虫，等于收紧了这条区分线：一旦某个爬虫被判定带有训练用途，它在整个域名上的访问都可能受限。由于 Agent 往往复用相同的抓取与渲染技术栈，它们会被归入同一类流量。站点运营者可能从未就 Agent 做出任何决策，但配置层面的默认值已经替他们做了决定，这是「无心封锁」在规模上被放大的机制性原因。

法庭上的攻防与开放标准的尝试

法律层面的博弈已经开始。Amazon 于 2025 年 11 月起诉 Perplexity 的购物 Agent Comet，指控其违反联邦《计算机欺诈与滥用法》（CFAA）。Comet 在用户授权下登录 Amazon 代为购物，但 Amazon 认为这构成违规。地区法院在 2026 年 3 月发出初步禁令，但第九巡回上诉法院在 8 月推翻该禁令，理由是访问 Amazon 系统的是用户本人而非 Perplexity。主案仍在继续，上诉法院也明确限定其裁决不构成针对 AI Agent 的一般性法律原则。

Amazon 还在 Muse 上线仅 12 天后将其封锁，同样援引 CFAA 和服务条款违规。Perplexity 则反击称，Amazon 排斥 Agent 的真实动机是 Agent 减少了人类用户对广告的注意力。

另一条路径是开放标准。Meta 已与 Walmart、Stripe、Sierra 等企业合作制定 AI Agent 与商业系统安全交互的开放标准，其公开表态是：「拒绝 Agent 等于拒绝 Agent 背后的客户。与其看着企业流失客户，不如一起解决底层顾虑。」

CFAA 与「未经授权访问」的争议

《计算机欺诈与滥用法》（CFAA）是美国 1986 年制定的联邦法律，最初用于打击黑客入侵政府与金融机构计算机，后来被广泛援引于「未经授权访问」类案件。其关键争点在于：网站的服务条款能否构成「授权边界」，违反条款是否等同于「未经授权访问」。

在 Amazon 诉 Perplexity 案中，Amazon 主张 Comet 在用户授权下登录并代操作，仍绕过了其技术措施与条款限制。第九巡回上诉法院推翻初步禁令的理由是：实际访问系统的是用户本人，Perplexity 只是工具提供方，因此不满足 CFAA 的访问主体要件，并明确该裁决不构成针对 AI Agent 的通用规则。这一区分意味着，Agent 厂商的法律风险在很大程度上取决于它被定位为「用户的代理工具」还是「独立的访问主体」，而这一界定目前仍无定论。

为人类设计的 Web，尚未为 Agent 留门

AI Agent 被设计用来替人使用 Web，但 Web 的底层假设是「人类会亲自到访」。广告依赖人类注意力，CAPTCHA 用来区分人与机器人，服务条款是写给人签的合同。Agent 不满足其中任何一条假设——尽管它代表的是人，在 Web 的机制眼里它与机器人无异。

eBay 的表态透露了问题的关键转向：它不禁止所有第三方 Agent，而是限制未经授权的 Agent、自动化爬取和模型训练。问题正从「是不是 Agent」变成「是否被授权」。但由谁授予授权、如何授予，目前尚无机制。有合作关系的服务能用，没有合作关系的就停摆。Muse、Dots、Instinct 的用户在日常购物和预订中反复撞墙，原因正在于此。

Web 能否从一个为人类构建的网络，变成 Agent 也能通行的网络，取决于这些标准能否及时落地。在那之前，Agent 时代的入口，仍被一把把不同的锁分别把守着。