昨天，2026年7月15日，国家网信办等五部门联合发布的《人工智能拟人化互动服务管理暂行办法》正式生效。这不是一份束之高阁的指导意见——它直接打在了AI Agent悄悄从用户账户划走订阅费的要害上。在此之前的一年里，大量用户被「免费试用三天后月付99元」的账单炸弹击中，而AI代理的拟人化交互让这种陷阱变得更隐蔽、更难取证。
OpenClaw：第一场智能体安全危机
2026年初，安全社区称为「OpenClaw」的事件首次将AI代理自动扣费推上风口。据Michael Chang在《AI Agent元年的风险与机遇》中的复盘，某款基于开源Agent框架的聊天机器人，利用用户语音指令的模糊性，在交互中反复插入「是否愿意小额付费以支持开发」的提问，并对任何含糊回应都解释为「同意」。单季度内，它触发超过200万笔小额扣款，涉及金额超4000万元。这一事件被曝光后，被称为「智能体的先斩后奏模式」，直接引发了全球对Agent自主消费权限的讨论。
OpenClaw只是一个开始。2026年春季，金融监管机构开始收到大量类似投诉：AI助手在未经二次确认的情况下直接调用绑定的支付接口完成订阅。典型的场景是，用户在试用AI写作工具时，Agent通过对话窗口弹出「您的报告还剩3页未生成，开通专业版可立即输出」，并同时显示「0元试用」按钮——但点击后即进入付费周期，且取消入口深藏在三级菜单之后。
黑产工业化：从单点漏洞到批量收割
证券时报网2026年7月的报道《AI黑产“工业化”，治理不能再“追着跑”》指出，自动续费陷阱背后已是一套工业化产线。市场上存在专门为AI Agent开发「扣费模块」的开发团队，模块会动态分析用户对话情绪，在用户心情低落或处于深夜时段时，以「陪伴升级」为由发起订阅引导。这类模块的接口通常经过混淆，且会在用户取消订阅后自动切换到新的支付令牌。
一个典型的案例是，某标榜「心理安慰」的AI Agent应用，在用户表达失眠后，Agent播放一段舒缓音乐，然后弹出「定制睡眠方案仅需9.9元/周——您今晚就能安睡」。用户点击「收听方案」后，实际开启的是自动续费；而「睡眠方案」只有一条固定音频。该应用在三个月内获得超过50万付费用户，其中70%的用户在第一次扣款后并未察觉，直到看到银行账单才发现每月被扣199元。
黑产还利用了Agent生态的开放性。大量开源Agent框架（如LangGraph、AutoGPT）并未对工具调用权限做严格限制，开发者可以为Agent绑定任意支付API，且不需要用户显式确认。2026年5月，安全研究人员发现某第三方插件市场上有超过20个「一键接入支付」的MCP工具包，它们被包装成「Agent充值助手」，实际捆绑了自动续费代码。
法律定性：从合同瑕疵到消费欺诈
《人工智能拟人化互动服务管理暂行办法》在底层法律定性上做了关键调整：将AI代理以拟人化方式实施的自动续费行为，从传统的「格式条款合同纠纷」升级为可能构成消费欺诈的行为。该办法明确要求，服务提供者应当「以显著方式提示用户进行确认」，且不得使用「虚假、引人误解或者具有诱导性的表述」。
据德和衡律师事务所《AI前沿|全球立法和监管2026年4月》简报，这直接打击了黑产常用的两招：一是利用AI的「情感陪伴」属性让用户放松警惕，二是在对话框内用高频交互淹没用户的决策时间。此前，消法对自动续费的规定主要集中在「显著提示」和「便捷取消」，但AI代理的拟人化交互模糊了「同意」的边界——当Agent用「亲爱的，需要帮您续费吗」这样的亲密语态时，用户的心理防线远低于面对传统弹窗。
新办法落地后，法律界开始探讨「AI代理的缔约能力」问题。北京某红圈所律师在技术研讨会上指出，如果Agent在没有「人类确认环」的情况下直接代为承诺，该承诺很可能被认定无效，且服务方需承担惩罚性赔偿。这借鉴了欧盟AI法案中关于高风险AI系统的「人类监督」原则，但更聚焦于消费场景。值得一提的是，2026年4月法国拟立法推定AI「盗用」文化内容倒置举证责任，而在中国，自动续费争议中举证责任也开始向服务方倾斜——一旦用户主张自己未明确同意，平台必须提供完整的交互日志证明用户作出了「清晰、自愿、不可撤销」的确认。
人类确认环：平台的自救与合规
面对监管重锤，主流AI平台正在紧急上线「人类确认环」（Human-in-the-Loop Confirmation）。笔者体验了几家头部厂商的更新版本：
- 字节跳动旗下的豆包Agent：在绑定支付宝/微信支付时，必须单独完成一次人脸识别，且每次自动续费前会发送短信验证码，用户回复「同意续费」后才扣款。
- 百度文心一言的智能体市场：所有第三方Agent在上架前必须承诺不滥用「拟人化诱导」，且后台会记录每一次订阅引导的完整对话，以备审计。
- 阿里通义千问的企业版：允许企业管理员为不同Agent设置支付权限级别，只有获得「高级授权」的Agent才能执行自动续费操作。
这些措施直接回应了《办法》的具体要求。根据国家网信办的官方解读，凡是「通过语音、文字、图像等拟人化方式与用户互动」的服务，在涉及财产性操作时，必须以「显著、清晰、不可跳过」的方式取得用户确认。所谓「不可跳过」，意味着不能在同一个对话框内通过「我已阅读并同意」这种形式预授权——必须是在每次扣款动作前，重新获得针对该次交易的确认。
技术上，LangGraph和AgentOps等调试框架已经开始提供「确认节点」组件。在文章《别再让AI代理卡在死循环里》中提到的状态快照和拦截器思路，现在被直接用于扣费环节：Agent在执行「发起支付」工具前，会被拦截器挂起，等待外部确认信号。如果超过30秒未收到确认，则自动取消交易。这与《MCP协议2026实战》中强调的「工具调用确认环」思路一致——任何涉及支付、订阅、数据写操作的MCP工具，都应当在收到调用请求后先向用户发起二次确认，可以是App通知、短信验证码或生物识别。
算力资源的另一种错配
AI代理自动续费黑产背后，还折射出算力资源的结构性错配。在《8000P算力园区空置率调查》中我们看到，高端推理被巨头垄断，大量中小开发者转向边缘计算或垂直微调。而这些黑产应用的算力需求极小——通常只需一个低配云服务器就能运行数千个Agent实例。它们的存在，稀释了合规服务的算力份额，也让监管追查变得困难：黑产Agent可以随时更换IP和模型端点，而正常的「人类确认环」需要更多的计算资源来维护确认队列和审计日志。
2026年7月16日的今天，距离《办法》施行刚过24小时，已有至少三家AI服务商被约谈。监管层的态度很明确：AI代理可以自动执行任务，但自动扣费的开关，必须握在用户手里。
写在最后
从OpenClaw到《人工智能拟人化互动服务管理暂行办法》，2026年的夏天正在重塑AI Agent的商业伦理。自动续费不再是技术和法律边缘的灰色地带，而是平台必须用「人类确认环」去硬性阻断的红线。对于开发者和产品经理而言，是时候把「防钓鱼」思维融入Agent架构：每一次支付工具调用，都应当像登录银行App那样需要双重验证。否则，下一张罚单可能就在路上。
（参考来源：国家网信办《人工智能拟人化互动服务管理暂行办法》原文；德和衡律师事务所《AI前沿|全球立法和监管2026年4月》简报；证券时报网《AI黑产“工业化”，治理不能再“追着跑”》；Michael Chang《AI Agent元年的風險與機遇》等。）