核心要点速览
- Visa、Mastercard 和 Stripe 正为购物代理开发新签名机制，但仅能识别软件，无法确认背后操作者身份。
- 商家需清点未验证库存，并将代理活动与已验证人员绑定。
- 被误拦的代理不会计入欺诈统计，而是体现为弃单购物车。
对商家而言，这意味着必须清点未验证库存，并将代理活动与经过验证的人员进行绑定。
据 Retaildive.com 报道，Visa、Mastercard 和 Stripe 为购物代理开发的新签名机制仅能识别软件，而非背后的操作者。若只检查“信使”，便无法知晓真正的发件人。这一漏洞影响市场双方：卖家、房东和司机账户均可自动化运营。因此，商家应清点未验证库存，将代理活动绑定至已验证人员，保持可重复的验证流程，并单独测量代理流量。需注意，被错误拦截的代理不会出现在欺诈统计数据中，而是会体现在放弃的购物车里。
新签名机制仅在部分程度上填补核心信任缺口
Visa、Mastercard 和 Stripe 正在为购物代理开发新的签名机制。然而，问题的核心在于这些机制主要识别的是软件，代理所代表的人或组织并不能自动变得清晰可辨。这对支付平台产生了实际缺口：如果行动背后的发件人身份不明，仅检查技术机器人是不够的。
这种区分对于代理式人工智能购物至关重要。一个购物代理可能在形式上经过身份验证，却不清楚具体由哪名已审核人员操控，或针对特定交易拥有何种权限。这便将风险从单纯识别自动化访问，转移到了确保自动化活动是否妥善绑定至经核实身份上；从商家和平台的视角来看，这涉及从登录到购物车的整个链条。
市场必须审视自动化的两个方面
这一漏洞在每个市场上都尤为相关。因为不仅买家账户受影响，卖家、房东和司机账户也可能被自动化运营，从而扩大了攻击和审查面。代理活动既可能出现在需求侧，也可能出现在供应商、服务提供商或运营角色中，此时仅凭代理签名只能回答部分信任问题。
这对商家来说是一项明确的工作任务。首先必须清点未验证的库存，明确显示哪些地方可能存在缺乏可靠归属的代理活动；随后，应将自动化活动绑定到经过验证的人员身上。同样重要的是进行可重复的验证，以确保信任不仅仅在入职时一次性建立。此外，代理流量需要独立的测量点，以免淹没在一般的访问或欺诈指标中。
错误的封锁往往难以察觉
测量之所以重要，是因为被错误阻止的购物代理不会出现在任何欺诈统计中，而是体现为弃单购物车。若仅将代理流量视为风险，商家可能会在未能准确识别原因的情况下流失合法购买行为。因此需要进行单独分析，以区分不需要的自动化、经核实的代理活动以及被阻止的购买尝试。
接下来的测试显得尤为关键：未验证的库存规模有多大？哪些代理操作已经与已验证人员绑定？代理流量在何处被单独测量？尤其悬而未决的是，有多少购物车放弃行为可归因于被错误封锁的代理。