从建议到行动的转变
在过去十年的大部分时间里，消费级 AI 产出的是文本。它做摘要、提建议、起草内容。用户始终是行动者：他们阅读输出，做出决定，然后点击。这条边界已经消失。消费级智能体现在持有凭证，代表用户与第三方交涉，并让用户对结果作出承诺。它们取消订阅、在电话上等待、协商挽留优惠、阅读并分拣消息，还会下单。
这改变了失败的性质。当模型给出错误答案时，代价是一个用户可以纠正的错误认知。当智能体采取行动时，代价是现实世界中可能不可逆的状态变更。失败模式不是错误答案，而是用户并不想要的已授权操作。在错误的账户上取消了订阅，以更差的价格重新预订了航班，把消息发给了错误的收件人——每一项都是在用户交出的凭证下作出的真实承诺。
纠纷将依据同意证据来裁定。当用户说“我从没让它这么做”，而对手方说“你的智能体打电话给我们并要求这么做”时，问题就在于用户实际授权了什么、在什么范围内、持续多久、授权给谁。如今大多数部署几乎不保留任何能回答这一问题的东西。它们保留的是日志，而日志是工程产物，不是同意记录。
为什么设置页面无法作为证据
设置页面是一台状态机。它记录的是某个开关在 T 时刻处于开启状态。它不记录在 T+n 时刻所采取操作的范围、涉及的对手方，也不记录该授权在多长时间内有效。
看看常见的模式。用户在智能体的设置中启用“管理我的订阅”。这一个布尔值如今覆盖了无界的商户集合、无界的操作集合（取消、降级、暂停、重新协商），以及无界的时间跨度。当智能体取消了用户本想保留的订阅时，设置页面无法重建那次取消是否落在授权范围内。开关说明用户同意了订阅管理。它并没有说明用户同意在此时取消与这个商户的这项订阅。
授予某个商户的同意不会转移到另一个商户。用户授权智能体与其移动运营商协商，并不等于授权它与自己的保险公司协商。一刀切的开关在设计上就掩盖了这一区别：它们把一组具体、有界的权限压缩成一个抽象的开关。这个开关对引导上手很方便，对裁定毫无用处。
第三方需要的是可验证的凭证，而不是偏好设置页面的截图。商户的支持团队、银行的争议处理流程或监管机构都无法验证一张截图。他们需要的是能把某项操作绑定到某项授权上的东西：谁采取了行动、代表谁、依据什么权限、在何时。当前的默认做法——一张支持工单加一句承诺——无法规模化，也经不起与监管的接触。
同意账本的设计
同意账本是一份对授权与撤销的仅可追加记录。每条条目都捕获事后重建意图所需的最小集合：
- 行动者：智能体身份，包括版本及其使用的凭证。
- 对手方：该权限所适用的具体商户、服务或端点。
- 操作类别：动词——取消、购买、发送、读取、协商——取自一个封闭词表。
- 范围：有界的参数。对于购买，是最高金额和商户类别。对于消息，是收件人集合。对于取消，是具体的订阅标识符。
- 到期：在此之后授权即失效的时刻，或使其失效的事件。
- 授权话语：授予该权限的确切用户话语，逐字记录，并附上渠道和时间戳。这是锚点。当纠纷到来时，人类读的就是它。
条目仅可追加且带签名。撤销是一条新条目，绝不是删除。这不是风格偏好；正是这一属性使账本成为证据。一份事后可以被编辑的记录，无法证明当时为真的事实。对每条条目签名，并将条目链接起来，使得移除其中一条就会破坏链条，这赋予账本与透明度日志相同的防篡改属性。
账本可由用户查询，并在相关时向对手方或监管机构出示。面向用户的视图是一份通俗语言的历史记录：智能体做了什么、它被授权做什么、是哪句话授予了该权限。面向对手方的视图是一份限定范围的摘录：证明某项具体操作被某项具体授权所覆盖，而不暴露无关的历史。
一个具体机制：当智能体准备行动时，它构造一条拟议条目，并针对该对手方和操作类别的有效授权进行检查。如果没有授权覆盖该操作——商户错误、已过期、金额超出范围——该操作被拒绝，拒绝也会作为一条账本条目被记录。拒绝记录很重要。它表明执行层起了作用，而这正是监管机构会问的。
与现有控制措施的交互
限定范围的支出和范围受限的凭证作为执行机制接入账本；账本提供审计的那一半。一张带有每商户限额的虚拟卡执行了边界。账本记录了边界为何被设定、由哪项授权设定、
两者必须共享同一套 schema。如果凭证的范围与账本的范围表达方式不同，审计轨迹就无法与执行决策对账，而对账缺口正是纠纷滋生之处。
保留策略是一项带有法律后果的产品决策：被遗忘的东西无法被证明。一份在三十天后让条目过期的账本，是一份无法在第四十五天提交的拒付中为自己辩护的账本。一份永远保留一切的账本，则是另一种性质的负担。诚实的权衡是：不存在对所有操作类别都正确的默认保留期。取消可能需要长期保留；读取访问授权可能需要短期保留。保留期属于 schema，按操作类别设定，需刻意决定。
更艰难的权衡是摩擦。一份要求每项操作都获得明确、限定范围同意的账本，会既正确又不可用。一份从单次引导话语就推断出宽泛授权的账本，会既可用又作为证据毫无价值。可行的中间路线是一小组范围狭窄、到期明确的常设授权，外加对超出其范围的一切操作进行确认步骤。确认步骤会写入一条条目；它不是一个会消失的模态框。
公开 schema。否则对手方会各自发明互不兼容的 schema。如果每个智能体厂商和每个商户都定义自己的同意格式，结果就是一组无法相互比较的账本，而纠纷解决问题只是上移了一层。一份公开的 schema——行动者、对手方、操作类别、范围、到期、话语、签名——为各方提供了共同的目标。它现在还不需要成为标准。它需要是公开的、有版本的，并且足够稳定，让对手方能够基于它来构建。
先构建什么
最小可行的同意账本很小。定义条目 schema。对每条条目签名。使其仅可追加。呈现一份用户可读的历史记录。加入执行检查，拒绝有效授权之外的操作并记录该拒绝。从承载最多不可逆后果的操作类别开始——取消、支付、外发消息——再由此扩展。
设置页面可以保留。它是配置常设授权的好方式。它不是已授权内容的记录。它们是具有不同生命周期的不同凭证，而将二者混为一谈，正是当下大多数消费级智能体部署正在犯的错误。
封面照片：panumas nikhomkhai / Pexels。