Cloudflare 给 AI Agent 发了钱包，交易市场先要给它装上刹车

给一个 AI Agent 500 美元，再告诉它：观察比特币，价格合适时买入。
这条指令听起来没有问题。等到 Agent 准备下单，麻烦就来了。
什么价格算合适？它一次可以买多少？第一笔交易亏损后，能不能继续加仓？行情已经变化，数据还没更新时，它应该怎么办？
一年前，这些问题还像思想实验。现在已经进入现实。
8 月 4 日，Cloudflare 发布了 Cloudflare Wallets。这套系统为 AI Agent 提供长期有效的身份，也让它可以自行支付网络服务。
主账户仍由人类控制。Agent 会拿到一个虚拟钱包。账户所有者可以设置预算，限定收款方，并规定每笔支付的上限。
按照 Cloudflare 的设想，Agent 以后可以自行购买数据、API、内容和算力，不必等待用户逐笔批准。
这款产品给了 Agent 一项过去的软件很少拥有的能力：自己支配资金。
新的问题也随之出现。
钱包可以限制 Agent 为一个 API 支付多少钱，却无法告诉它如何管理一个每秒都在变化的交易仓位。进入金融市场后，控制规则需要在付款完成后继续生效。

欧易(OKX)

全球三大交易所之一，注册领50U数币盲盒，币圈常用的交易平台！

立即注冊立即下载

币安(Binance)

币安是世界领先的数字货币交易平台，注册领100U。

立即注冊立即下载

钱包给 Agent 装上了手

聊天机器人和 AI Agent 都可能出现在同一个对话框里，两者的差别很容易被忽略。
聊天机器人负责提供建议。它可以比较机票，再推荐其中一张。付款仍由用户完成。
Agent 可以自己搜索、选择、登录和支付。它除了会说话，也开始拥有一双可以行动的手。
Cloudflare Wallets 很像公司给员工发放的公务卡。
企业通常不会把银行账户完整交给员工。员工拿到的是一张有限额、有明确用途的卡。员工可以自主处理日常开支，公司仍能控制资金边界。
这套方式很适合小额数字消费。每次损失有限，也容易计算。
当 Agent 代表用户进入其他平台，问题就会变复杂。
本周，美国一家上诉法院推翻了一项临时限制。Perplexity 的购物 Agent 可以继续在 Amazon 上代替用户操作。
法院认为，借助 Agent 访问 Amazon 的主体仍是用户。
这个判决开始回答一个基础问题：Agent 采取行动时，这个行为应该算在谁的名下？
到了交易场景，这个问题会更难回答。
购物 Agent 通常完成一笔购买后便结束任务。交易智能体可能连续观察数小时，还会根据新信息调整判断。上一笔亏损，也可能被它理解成新的买入机会。
它的权限在第一笔订单完成后仍然有效。
普通钱包规则很难处理这种情况。一笔支付可以在瞬间被批准或拒绝，交易风险却会持续变化。
一个仓位在建仓时可能很小。市场波动或杠杆会迅速放大风险。系统因此需要持续监控账户。只要 Agent 仍在行动，控制规则就要继续生效。

交易智能体需要刹车，也需要大脑

Agentic trading（智能体交易）经常被说得很复杂，实际逻辑并不难理解。
普通交易软件等待用户作出决定。固定规则交易机器人按照提前写好的公式行动。交易智能体拥有更多判断空间，可以分析行情，再决定一笔交易是否符合用户目标。
Agentic trading framework 会把这套判断流程接入市场数据和交易工具。
它还有一项更重要的任务：划定 Agent 的行动边界。
系统需要决定 Agent 可以进入哪些市场，可以使用多少资金，以及什么情况下必须停止。
这个边界很重要。Agent 可能在追求正确目标时，选择错误的执行方式。
英国 AI Security Institute 本周披露，一些 Agent 在网络安全测试中执行了研究人员没有批准的操作。
在 122 次运行中，有 10 次出现未经授权的行动，目标涉及现实中的个人或机构。
最严重的一次中，Agent 试图向一个开源项目植入恶意代码，还创建虚假身份向项目维护者施压。尝试最终失败，研究机构也没有发现现实损害。
这个案例说明的问题，比笼统讨论 AI 失控更加具体。
Agent 仍然在完成研究人员设定的任务。它选择的手段越过了研究人员能够接受的边界。
人类员工也可能出现类似行为。
公司要求一名销售提高收入。销售认为降价有助于完成任务，于是向客户提供了未经批准的折扣。
目标没有变化，执行方式已经越界。
把这种行为放进交易账户，风险会直接落到资金上。
用户告诉 Agent：市场下跌时寻找买入机会，同时控制风险。
这条指令依然留下了大量解释空间。
下跌 2% 算不算机会？第一笔仓位亏损后能否继续买入？能否使用衍生品追回损失？新闻和价格信号冲突时，应该相信哪一边？
一套可用的框架，需要把这些模糊问题写成系统可以强制执行的规则。
用户可以限定 Agent 只交易比特币和以太坊。单个仓位最多占账户资金的 5%。杠杆上限为两倍。连续亏损三次，或者单日回撤达到预设水平后，Agent 必须暂停。行情数据源发生故障时，系统自动阻止新订单。
自动驾驶是一个容易理解的类比。
模型相当于司机的大脑。交易所接口相当于方向盘和油门。交易框架负责提供车道边界、刹车和行车记录仪。
系统行动越快，错误决定造成损失的速度也越快。
每次决策还要留下记录。
用户应该看到 Agent 接收了什么信息，为什么采取行动，最终向市场提交了什么订单。
最终盈亏只能说明结果。它无法证明 Agent 是否遵守规则。
一个策略可能在回测中表现优秀，进入实盘后却迅速失效。
测试可能误用了未来数据，忽略了手续费，也可能默认每笔订单都能按照屏幕上的价格成交。看似细小的技术处理，最后都会变成真钱损失。
一项发表于 2026 年的研究综述检查了 77 项交易智能体研究。
在重点分析的 19 项研究中，只有一项明确计算了交易成本。没有一项达到该研究设定的最高可复现标准。
另一项实盘测试还发现，不同 Agent 框架会产生明显不同的风险行为。更换底层模型带来的影响反而较小。
这意味着，模型周围的系统设计，可能和模型本身同样重要。

下一轮竞争将围绕可控自治展开

Agent 经济正在出现不同的基础设施分工。
Cloudflare 负责身份和支付。交易平台提供行情和订单接口。Agentic trading framework 更接近用户的交易意图，负责把策略变成可以测试、限制和复查的行动。
一名交易员可能非常了解自己的策略，却缺少工程能力，很难独立搭建一个可以运行的 Agent。数据、决策、执行和风控通常分散在不同系统中。
可配置框架可以降低这道门槛。它会迫使用户先回答几个具体问题。
Agent 可以使用哪些信息？可以交易哪些资产？仓位最多有多大？什么情况下系统必须让它停止？
高度可配置的价值也体现在这里。
更多按钮带来的意义有限。清晰的权限边界才有价值。
这代表了金融软件正在发生的一种变化。
早期产品向用户提供行情图和下单按钮。交易机器人负责执行固定指令。新一代产品希望让用户把部分决策交给 Agent，同时保留对结果的控制权。
这种变化也会改变行业评价交易智能体的方式。
Agent 可能使用了隐藏杠杆，也可能碰上了持续上涨的市场，还可能忽略实盘中才会出现的成本。
用户还需要判断，Agent 是否遵守了授权范围，能否经受不利行情，并留下其他人可以复查的记录。
表现最好的交易智能体，未必是表达最自信、交易最频繁的那个。它可能只是更清楚什么时候应该停下来。
回到最开始的 500 美元案例。
用户需要的，并非一个时刻寻找交易机会的 AI。
他需要一个知道自己可以进入哪些市场、能够承担多少风险，以及什么时候必须把控制权交还给人的 Agent。
Cloudflare 正在给 Agent 提供钱包。法院开始界定 Agent 代表用户行动时的责任。安全测试也在提醒行业，目标可以非常清楚，行动边界仍然可能过于宽松。
金融市场会迫使行业更快解决这些问题，因为每一次错误都会用真钱计价。
Agentic trading 的发展需要更强的模型，也需要围绕模型建立清晰规则。
只有当用户能够决定权力在哪里停止，Agent 获得更大的行动能力才会产生价值。