给AI智能体配卡：限额执行层拆解与四条配卡规则

AI智能体开始结账了，你的卡还在裸奔吗

9月17日，Alchemy把Mastercard Agent Pay接进了它的AgentCard平台。一条命令行，你的AI智能体就拥有了一整套财务身份：邮箱、电话、稳定币钱包，外加一张一次性的Mastercard虚拟卡。这不是概念演示，是已经上线、注册无需排队的产品。Visa在6月也接入了AgentCard，两家卡组织在2026年都把"给智能体发卡"当成了正经生意。

表面上看，这跟虚拟卡用户平时干的事差不多——开一张受限额的卡去订阅ChatGPT、投放广告。但仔细拆开AgentCard的规则，会发现它把"限额"这件事做得比绝大多数U卡平台严格得多。这里面有值得抄作业的地方，也有值得警惕的地方。

AgentCard的限额是五层洋葱

以AgentCard的公开FAQ为准，它的风控是层层叠加的，每一层都独立生效：

• 每笔请求生成一次性卡号，金额即上限——你要25美元，25美元就是硬顶，多一分都刷不出去；
• 单张一次性卡号最高150美元；
• 账户级限额默认100美元，可以自己调；
• 普通直连账户有每天200美元的硬性天花板，命令行改不掉；
• Mastercard用户走Agent Pay时，每笔拿到的是网络令牌而非卡号，令牌锁定商户和金额，还需要浏览器里过一次passkey确认。

这个结构翻译成大白话：就算智能体被网页里的恶意指令劫持、或者自己犯糊涂循环重试，损失也被压在一张卡、一笔交易、一个金额之内。卡7天不用自动失效，未使用的预授权资金7天内原路退回。

对比一下手上的U卡平台。大部分平台的限额是"卡内余额"——充值100美元，理论上被盗刷就是100美元。这没问题。但问题是充值余额和单笔限额经常是同一回事：一张充了500美元的卡跑订阅自动化脚本，脚本一旦被注入，500美元都是敞口。AgentCard的思路是把你充的钱和单次风险彻底切开，这正好是虚拟卡用户自己搭自动化时最缺的一层。

限额执行在哪一层，决定它是真锁还是纸锁

这里有个容易被忽略的判断标准：限额写在哪里？写在提示词里的预算（"你不要花超过50美元"）是纸锁，智能体理解错了或者被注入了就形同虚设。写在App审批里的是人锁，每笔都要你点确认，安全但没法跑无人值守的任务。只有写在授权层——发卡行、支付网络在交易授权时直接拒绝超额请求——才是真锁，不管智能体想干什么，钱都动不了。

Mastercard在2025年4月发布Agent Pay时把这套逻辑起了名字：Agentic Token（智能体令牌）。银行生成令牌，把持卡人授权和交易要素打包在一起，网络层验证智能体是否越权。2026年9月10日，蚂蚁国际、Mastercard、Visa又联合发布了KYA（Know Your Agent）互认框架，给通过认证的智能体做跨网络身份追踪，可以持续监测并随时吊销。说穿了，卡组织在干一件事：把过去用来拦截机器人的基础设施，改造成给"好机器人"发通行证。

对虚拟卡用户的启示很直接：你在给脚本、智能体、自动化流程配卡的时候，先问一句"超额交易会在哪一层被拒绝"。如果答案是"靠脚本自觉"，那这个架构就该改。

自家配卡：四条规则先跑起来

卡组织的框架再漂亮，普通人现在能用上的还是自己手里的虚拟卡。给AI任务配卡，我的建议是按下面四条来，都是从AgentCard的洋葱模型里翻版过来的：

第一条，一任务一卡。别拿主力卡跑自动化，为每个智能体任务单独开卡，卡内余额就是最大损失。像SubViao这类主打订阅管理的平台、Kimoox这种按用途分卡的平台，天然适合这么干——一张卡管AI订阅，一张卡管广告投放，出事只烧一张。

第二条，金额贴着需求走。25美元的任务就充25美元，别图省事充100。预授权类任务（广告平台扣款）留出冻结余量即可。充值少不丢人，敞口小才是本事。

第三条，一次性优先。单次购买用一次性卡号，用完即焚；确实需要循环扣费的，才用多用途卡，并且设月度上限。定期检查订阅扣款记录，别让"方便"变成"永久授权"。

第四条，别把预算写进提示词就完事。提示词里的预算只是给智能体的参考，真正的锁要在卡上：限额、有效期、商户类别限制。你的锁必须在智能体碰不到的地方。

风险清单：智能体花钱的坑不止一个

把卡交给智能体之前，有几个现实问题值得过一遍。

提示注入是最大的。智能体读网页、读邮件、读工具返回的内容，这些内容里可能藏着指令。一个被注入的智能体拿着受限额的卡，损失有界；拿着你的主卡号，损失无界。所以第一条铁律：永远别让智能体接触你的主卡号。卡号会进上下文窗口、进日志、进平台保留的工具调用记录，任何一环泄漏都是事故。

重复购买是第二个。智能体重试逻辑出错，同一件东西买三份。一次性卡号能挡住大部分——第一笔刷完卡就失效了——但多用途卡配循环任务时，要在任务侧加幂等检查。

退款和争议是最模糊的。智能体买错了东西，谁承担？Agent Pay的令牌里带着"用户授权了什么"的证明，理论上对争议有利，但各平台的实际执行还没经过大规模检验。Juniper Research在2026年4月的报告里把"信任"列为智能体商务落地的头号障碍——不是技术不成熟，是没人敢先放钱进去。该报告预测这个市场2030年会到1.5万亿美元规模，前提是信任问题先解决。

中国用户的两道坎：KYC和可用性

AgentCard这类海外产品对中国大陆用户并不友好。首次购买前有一次性身份核验（监管要求，跳不过），需要海外身份文件；Mastercard Agent Pay模式要求你本来就有一张Mastercard，Visa Intelligent Commerce模式目前只支持一小部分Visa卡。也就是说，直接用AgentCard这条路，对多数大陆用户是堵的。

但模式是通的。海外平台验证过的"受限额虚拟卡+智能体"架构，完全可以用现有工具在U卡平台上复刻：开一张新卡、按任务充值、绑到自动化流程里、任务结束就销卡。做的事情一样，只是限额的执行层从卡组织挪到了卡内余额。余额就是你的天花板——前提是你真的只充了那么点。

如果你的智能体任务主要是订阅类付款，也可以看看我们整理的AI订阅支付指南和订阅取消指南，先把"付"和"停"两头都管住。

KYA互认框架：智能体也要"实名"了

多聊两句KYA，因为它可能是2026年下半年最值得跟的一条线。9月10日，蚂蚁国际、Mastercard、Visa三方联合发布Know Your Agent框架，目标是在不同支付网络之间统一认证智能体的标准：运营商可追溯、认证要求共享、交易持续监测、出问题可吊销。它叠在Visa的Trusted Agent、Mastercard的Verifiable Intent和蚂蚁的Agentic Mobile三个既有框架之上，等于三家把各自的"智能体白名单"打通了。

这事对普通用户眼下没直接影响，但方向信号很明确：未来两三年，"这个智能体有没有经过支付网络认证"会变成交易链路里的常规字段。就像早年网站没SSL证书照样能收单、后来没证书直接被浏览器标"不安全"一样，未认证智能体的交易将来大概率会被降额、加验或直接拒绝。给智能体配卡的人，早点把"任务-卡-限额"的台账建好，等认证要求落地时迁移成本最低。

还有一个容易误读的点：KYA认证的是智能体，不是替你免责。用户授权范围之内的错误购买，责任划分目前仍是灰色地带。Authoryze这类中间层产品已经在卖"规则引擎+单次发卡"的安全层，说明市场默认网络框架暂时兜不住所有场景，你自己那层锁还得自己上。

三个常见问题

智能体能看到我的真实卡号吗？在规范设计里不能。Agent Pay给智能体的是网络令牌，AgentCard给的是一次性卡号，真实卡号不出现在智能体能读到的任何地方。反例就是红线：任何要求你把主卡卡号粘进智能体对话框或配置文件的流程，直接放弃。卡号进了上下文窗口和日志，就当它已经泄漏处理。

智能体买错了能退款吗？理论上有利——令牌里带着你授权的商户和金额证明，争议时能自证"越权购买"。但实际退款取决于商户政策和发卡行流程，和普通拒付没本质区别。所以大额购买别放给智能体全自动，或者至少留人工确认那一步。

用U卡平台复刻这套，够用吗？对订阅和广告扣款这类场景够用。差距在执行层：卡组织方案在授权网络层拒绝超额交易，U卡方案靠卡内余额封顶。只要坚持小额充值、一任务一卡，两种锁的实际效果差距不大。真正复刻不了的是令牌级别的商户锁定和KYA认证，这两样等平台们跟进。

现在该做的三件事

不必等卡组织的框架普及到每个人。今天就能做的：检查你现有虚拟卡的限额设置，把还在用大额余额跑自动化的卡拆成小额多卡；给每个自动化任务建立"一任务一卡"的台账；关注KYA这类认证框架的进展——当"认证智能体"成为支付链路的常规要求时，早准备的人不用临时换架构。

智能体替你花钱这件事，2026年从演示变成了产品。卡组织给了框架，平台给了工具，剩下的风险控制，还是得自己一层层把洋葱穿好。