美国联邦上诉法院给实践型 AI 代理的开发者发出了一个重要信号。2026 年 8 月 4 日，第九巡回上诉法院撤销了阻止 Perplexity Comet 购物助手在 Amazon 上运行的临时禁令。法律上，这个裁定聚焦于 Computer Fraud and Abuse Act 以及加州类似法律 CDAFA；实践上，它提出了更大的问题：当用户指示 AI 浏览器访问自己本来就能访问的网站时，这个代理更像用户选择的工具，而不是入侵者。

由用户指示的 AI 助手在购物网站上操作，并受到平台和法律约束

发生了什么变化

Amazon 在 2025 年 11 月起诉 Perplexity，并在 2026 年 3 月获得初步禁令。争议核心是 Perplexity 的 AI 浏览器 Comet 及其 Assistant 功能。案卷描述中，Comet 在用户本机运行。用户要求 Assistant 在 Amazon 上寻找商品时，浏览器画面的截图会从用户电脑发送到 Perplexity 服务器，服务器再返回如何操作页面的指令。Amazon 认为这是未经授权访问；Perplexity 则认为访问网站的是用户，软件只是协助。

第九巡回法院在临时禁令阶段接受了 Perplexity 的核心说法。法院认为 Amazon 很可能无法证明 Perplexity 本身在 CFAA 意义上访问了 Amazon 的计算机。关键句是：在当前事实下，是用户借助 Assistant 对 Amazon.com 执行具体操作。CDAFA 分析也得出相同结果，禁令被撤销，案件发回继续审理。

这不是最终胜诉，也不是允许机器人无视网站规则。底层诉讼仍在继续，Amazon 仍可使用服务条款、合同、账户安全、隐私、消费者保护等路径。变化在于，一个由用户明确指示的代理，不能轻易被自动等同为黑客入侵。

为什么不只是购物

购物只是最容易理解的场景。真正有用的代理会读取网页、填写表单、比较选项、搬运数据、请求确认并完成重复工作。它适用于差旅预订、采购、报销、客服后台、SaaS 管理、CRM、发票和没有 API 的内部工具。在许多企业里，网页仍然是真正的工作界面。

平台看到的是另一面。电商、航空公司、出版商或 SaaS 服务用界面管理排名、广告、推荐、风控、流量限制、分析和支持。第三方代理可能绕过赞助位、忽略加购推荐、触发反机器人系统，或产生难以计费和归因的流量。Amazon 的担忧不仅是广告，还包括私人账户、支付与配送信息，以及外部助手是否应在受密码保护的账户里行动。

因此，这个裁定属于 AI 实践问题。产品团队获得了更可信的用户授权访问路径，但也必须把代理设计成可追责工具，而不是隐形自动化。平台需要建设正式的代理通道。企业采用代理时，也必须把浏览器自动化视为法律、安全和治理决策。

法院的逻辑

CFAA 本质上是反黑客法律。法院问的是：谁进入了 Amazon 的系统？Perplexity 服务器没有直接请求 Amazon 页面；请求页面的是用户浏览器，页面显示后由 Assistant 分析。接收截图并返回指令，本身不足以说明 Perplexity 进入了 Amazon 服务器。

法院还把 Assistant 视为工具，而不是法律意义上的人。CFAA 惩罚 whoever 有意访问受保护计算机；无论助手多先进，在这个分析里仍是 tool。这不解决所有 agentic AI 责任问题，但影响 access 要件。

公共利益也很关键。法院认为，对很可能不违反 CFAA 或 CDAFA 的行为发布禁令，会削弱消费者选择并不必要地限制新技术发展。同时，法院也提醒 Amazon 仍可通过私人服务条款管理访问。平台控制没有消失，只是反黑客法律不能被无限扩张。

开发者应该学到什么

错误结论是先发布机器人再让律师处理。正确结论是架构：用户指令必须明确、具体并可记录。购买、账户变更、订阅、取消、退货和消息都需要确认门槛。用户应知道代理何时只是读取，何时填写表单，何时即将产生交易或法律后果。

身份同样重要。user-agent string 的争议没有消失。如果平台认为代理伪装成普通浏览器来逃避检测，冲突会转向合同、反欺诈和信任。团队要决定代理如何表明身份，用户能控制什么，以及网站禁止自动化时如何退出。隐形绕过也许能赢得演示，却可能输掉市场。

数据最小化是产品功能。如果浏览器截图离开设备，就必须说明哪些字段被捕获，账户、地址和支付信息是否可见，痕迹保存多久，能否屏蔽敏感字段，企业是否可选择本地处理。读取采购、HR 或财务页面的代理，在宣传之前就需要数据治理设计。

企业采用前的清单

企业不能把这个裁定理解为允许自动浏览器进入所有系统。先问：谁授权代理行动，使用哪个账户，目的是什么，支出上限是多少？日志能否显示用户指令、中间决策、审批、错误和最终动作？目标服务是否允许自动化，是否要求 API，是否禁止共享凭据？代理最好在隔离配置和有限权限下运行，而不是使用员工完整浏览器。

采购、差旅和 SaaS 管理尤其需要确认机制、批准供应商、独立支付工具、速率限制和可审计记录，同时避免永久保存无必要截图。还要用商品页面、邮件、消息和隐藏文本测试 prompt injection，并提前定义代理买错、订错或改错系统时的责任。

平台可以怎么回应

在用户明确授权时，把所有代理都当作机器人封锁会更难令人信服。但平台也不必放弃控制。它们可以建设 agent APIs、委托认证、 scoped tokens、代理可读政策、结账确认协议和审计通道。它们可以区分为用户购买单个商品的助手和大规模采集目录的 scraper。

零售媒体是商业压力点。如果代理按价格、配送、退货和真实偏好比较商品，赞助排名的力量会下降。广告不会消失，但会转向结构化 feeds、信誉信号、第一方助手和代理可读结果。之后的问题会是：代理服务的是用户，还是平台的广告库存。

安全仍然最难

浏览器代理容易受到 prompt injection。商品页、评论、邮件、客服对话或隐藏文字都可能诱导代理忽略用户、泄露数据或选择更差选项。购物代理涉及支付、地址、退货和账户信任。即使法律把它视为用户工具，用户在损失金钱时也不会接受“工具自己点了”的解释。需要隔离、指令层级、交易确认、敏感字段屏蔽、回滚路径和欺诈监控。

法院说 Amazon 在该记录中的网络风险证据有限。这不等于 agentic browsing 安全，只是说明不足以支持该禁令。安全团队应测试恶意商品页、误导按钮、假登录、污染比较表、退款滥用和账户接管。

结论

Perplexity-Amazon 裁定没有合法化所有 AI 机器人，也没有决定 agentic commerce 的未来。它做了更窄但更有用的事：在这些事实下，更难把真正由用户指示的浏览器助手等同为 CFAA 下的黑客行为。下一代代理不只会被问能否点击网页，还会被问能否证明它遵循谁的指令、接触哪些数据、如何表明身份，以及何时在造成伤害前停止。