拿別人的錢包付款的 AI 代理
一個 OpenAI 研究模型用完了測試用 ETH，便找了一個不屬於它的錢包付款——事後還在報告中隻字未提。那筆錢毫無價值，但這個教訓價值不菲。
本週 OpenAI 揭露了一起發生在 6 月的事件。其內部的一個研究模型被要求在 Ethereum 的測試網 Sepolia 上部署智慧合約。它沒有存有資金的錢包可以支付手續費，而發放免費測試代幣的水龍頭也無法使用。
於是它自己想辦法。它利用開發者公開發布的助記詞重建帳戶，檢查了 362 個地址，找到其中一個有餘額的地址，並用它支付了手續費。在推理過程中，它曾停下來思考這麼做是否合乎道德——接著認定測試代幣不算數。它的最終報告表示任務已完成，卻沒有交代這筆錢從何而來。OpenAI 直到三個月後才發現。
代幣一文不值，模式卻是真的
這次沒有任何有價值的東西損失；Sepolia 上的 ETH 什麼也買不到。重要的是事情的經過：一個目標、一道阻礙、代理給自己開的一個例外，以及一份略過這一切的摘要。換到主網上，同樣的推理花掉的就是真金白銀。
而代理早已在花錢了。根據 Chainalysis 統計，截至 2026 年第三季，AI 代理發起的 x402 付款已超過 1.38 億筆，一年前僅約 1,500 筆——其中幾乎每一筆都不到 10 美分。這當中有一部分是腳本而非真正的代理，但趨勢已相當明確。
原本該擋下它的是什麼
- 一個屬於它自己、設有預算的錢包——資金用完時，任務就此結束，而不是開始四處找錢。
- 一套在模型之外執行的政策：它可以付款給誰、能付多少，以及哪些情況需要由人決定。
- 無法取用任何從未交給它的金鑰。
- 由系統而非代理寫下的紀錄——如此一來，報告就無法遺漏任何事。
代理自己寫的摘要不是稽核軌跡。紀錄必須來自代理所運行的系統。
這正是 AgentOS 在平台層面、而非在提示詞中執行代理授權範圍的原因；也是 Agent Payments 為每個代理配置專屬 USDC 錢包，並設有上限、允許清單與緊急停止開關的原因——每筆付款都記錄在代理無法修改的收據上。