增量：把技术访问、数据能力和授权界面放进同一张治理图

EDITOR’S NOTE

从访问归属、数据开放到授权界面，拆解 Agent 入口治理的三条法律路径

你对浏览器说：“帮我去 Amazon 找一款符合预算的耳机。”几秒后，AI 阅读页面、比较商品、点击选项。表面上只是把鼠标交给了助手，法律上却出现了一个不容易回答的问题：进入网站的究竟是你、浏览器、AI 服务商，还是三者共同构成的自动化系统？

2026 年 8 月 4 日，美国第九巡回上诉法院在 Amazon.com Services, LLC v. Perplexity AI, Inc. 一案中给出了一个重要但非常有限的答案：按照当时的技术记录，进入 Amazon 服务器的是用户，Perplexity 的 Assistant 是用户使用的工具；因此，Amazon 尚未证明，在《计算机欺诈与滥用法》（CFAA）及加州对应法律下，当前链路中的相关访问应归属于 Perplexity。法院据此撤销初步禁令并发回继续审理。

这不是 Perplexity 的终局胜诉，不是“AI Agent 普遍合法”，也不意味着网站服务条款无效。它真正揭示的是：当用户操作、设备执行、云端推理和平台入口被拆到不同节点，过去围绕“谁访问了计算机”建立的规则，开始遭遇一条分布式访问链。

判决公布后不久，中文讨论已经出现了两条清晰路径：一篇译介沿着第九巡回判决展开“access”的条文和判例分析；李汶龙的商业—技术分析则追问 Comet 如何从用户工具演变为消费决策入口。这两种视角已经说明，本案并非一个孤立的“AI 浏览器是否合法”问题。还要继续追问：当争议从技术访问扩展到数据能力和用户授权界面，法律如何限制平台控制入口的方式？这正是将 Amazon 与 Google Search 数据共享、Apple ATTF 承诺并置考察的意义。

理解裁定，第一步不是讨论 AI 是否像“人”，而是把数据流和控制流画出来。根据第九巡回法院在当前记录中描述的技术链路，可以拆成五步：

用户在自己的设备上运行 Comet。它像 Chrome 一样，是本地浏览器；Assistant 是用户可选择启用的 AI 工具。

用户指示 Assistant 在 Amazon.com 查找或购买商品，本地浏览器向 Amazon 服务器请求并展示网页。

Assistant 对用户设备上已经显示的页面截屏，并把截图，以及为执行任务可能发送的用户指令、页面信息和相关浏览历史传给 Perplexity 服务器。

Perplexity 服务器分析这些材料，向 Assistant 返回如何导航页面的操作指令。

用户设备上的浏览器执行这些指令，继续向 Amazon 请求页面或完成具体操作。

这条链路中，Perplexity 的服务器参与了决策，却没有直接与 Amazon 的服务器通信。法院在第 14 页据此抓住了一个关键技术事实：对目标网站发出请求的仍是用户端浏览器。云端模型“决定下一步做什么”和云端服务器“自己进入目标系统”，不是同一件事。

法院记载，争议核心之一是 Perplexity 决定不使用能够表明用户已激活 AI Agent 的 user-agent string；双方另就 Amazon 识别并阻断 Assistant 后，Perplexity 是否明知修改该标识存在争议。该事实涉及平台识别自动化访问的能力，但上诉法院没有借此为所有 Agent 的标识义务作统一裁判。它审查的是：在现有证据和这一架构下，Amazon 能否证明 Perplexity 自己完成了 CFAA 意义上的“访问”。

Amazon 在 2025 年 11 月起诉，并同时申请初步禁令。其主张包括 CFAA 和加州《综合计算机数据访问与欺诈法》（CDAFA）。就本案涉及的 CFAA 请求，原告需要证明被告故意访问受保护计算机、没有授权或超越授权、由此取得信息，并满足法定损失要求。北加州联邦地区法院在 2026 年 3 月认为 Amazon 对相关请求显示了胜诉可能性，也证明了不可弥补损害及其他衡平因素，因而颁发初步禁令。

“初步禁令”是程序中的临时救济。按照 Winter 框架，申请人通常需要证明实体胜诉可能性、不可弥补损害、利益衡量和公共利益支持临时救济；第九巡回同时适用 sliding-scale 方法：如果实体问题存在 serious questions，且损害与困难的权衡明显倾向申请人，在不可弥补损害和公共利益两个要件同时满足的情况下，也可以支持初步禁令。第九巡回法院审查并撤销的是这项临时命令，不是对所有诉因作出终局判决。

程序节点也因此必须准确表述：地区法院先禁止相关行为；Perplexity 上诉；第九巡回法院于 2026 年 8 月 4 日撤销初步禁令，并将案件发回。后续实体争议仍可继续，证据记录也可能发展。

法院的推理集中在“access”上。最高法院既有判例把计算机语境中的访问理解为进入一个计算机系统，或进入其中的文件、文件夹、数据库等特定部分。第九巡回法院由此追问：Perplexity 是否借 Assistant 进入了 Amazon 的计算机？

法院的回答是：按照面前的事实，没有。CFAA 相关条文针对“任何人”故意访问受保护计算机；Assistant 即便功能先进，在该法条下仍是工具，不是实施访问的“人”。用户借助 Assistant 在 Amazon.com 完成具体行为；Perplexity 接收浏览器截图、向 Assistant 发送指令，本身不足以说明 Perplexity 已经进入 Amazon 服务器。

这个判断包含三重限制。第一，是“当前记录”：法院明确保留了新证据改变分析的可能。第二，是“这种架构”：沿着法院的分析反推，如果服务端本身直接连接目标服务器，或者服务商的控制程度足以构成对目标系统的进入，分析很可能发生变化；法院并未预先裁判这些架构。第三，是“初步禁令”：法院只判断 Amazon 此时未显示足够的胜诉可能性，没有确认 Perplexity 对所有请求均不承担责任。

法院还援引从宽解释原则。CFAA 首先是一部刑事法律，民事案件中的解释也可能扩张到刑事责任；若把这条间接控制链轻易视为服务商访问，甚至可能把用户卷入帮助或共谋责任。法院因此不愿用新颖解释把大量日常的计算机辅助行为纳入犯罪。不过，法院没有继续裁判 CFAA 的其余要件，包括法定损失范围，因为仅“访问”一项已足以处理本次上诉。

CDAFA 与 CFAA 并不完全相同。Amazon 主张，CDAFA 的“access”定义更宽、permission 要件更简单，也没有 CFAA 那样的信息取得要求；法院表示其关于“access”可能更宽的说法或许正确，但相关条款仍要求定位实施或导致访问的“person”。当前记录下，这个人仍是使用 Assistant 的用户，而非 Perplexity。因此，Amazon 在 CDAFA 请求上同样未显示足够的胜诉可能性。

在衡平因素上，Amazon 关于购物体验、客户商誉和网络安全风险的证据也被认为偏弱或较为抽象。法院认为，维持禁令会限制 Perplexity 已投入开发的产品，也会损害消费者选择和新兴技术发展。因此，现阶段的损害、利益平衡与公共利益均不足以挽救该禁令。这仍是初步救济语境中的证据评价，不能改写成“Assistant 没有安全风险”或“消费者利益永远优先于平台安全”。

判决第 21 页脚注 5 划出另一条边界：这一结果不妨碍 Amazon 通过面向用户的私人服务条款管理 Amazon.com 的访问。法院只说，依据当前事实，Amazon 不太可能通过 CFAA 和 CDAFA 获得这项初步禁令。

这意味着计算机访问法与合同治理必须分开。前一个问题是：谁以法律要求的方式进入了计算机；后一个问题则包括：用户是否有效接受条款、条款是否覆盖 Agent 行为、限制是否被清楚告知、用户授权 Assistant 的范围如何表达，以及违反条款能产生什么救济。用户授权 AI 替自己操作，也不自动等于平台同意所有自动化方式；反过来，平台反对一种工具，也不当然证明工具提供商完成了 CFAA 意义上的访问。

对于 Agent 服务商，最危险的产品表述是把“用户发起”当成万能免责标签。如果关键请求实际由服务端代理发出、服务商可自主扩大任务范围、系统绕过明确技术阻断，或者用户无法看到并确认高风险步骤，事实图谱都可能远离 Comet 在本案记录中的样子。对于平台，单纯把争议包装成“黑客入侵”也未必有效；技术阻断、合同纳入、消费者沟通、反欺诈与安全证据需要分别建立。

本文所称“入口”可以分为三层：Amazon 案讨论技术访问入口，Google 措施调整数据能力入口，Apple 程序则约束用户授权界面入口。三者共同反映平台入口控制问题，却走的是不同法律路径，不能彼此替代或相互证明。

1. Google Search：DMA 下的有条件数据共享

欧盟委员会于 2026 年 7 月 16 日依据《数字市场法》（DMA）第 6(11) 条确定最终措施，要求 Alphabet 以公平、合理、非歧视条件，向符合资格的第三方在线搜索引擎共享经匿名化的 Google Search 排名、查询、点击和展示数据。提供搜索功能的 AI 聊天机器人可以申请成为受益者，即使搜索只是其更大服务的一部分；但它们不会自动获得数据，仍需满足在线搜索引擎定义、业务规模、制裁与公共安全、跨境传输等资格条件。

这是一种“带护栏的开放”。数据只能用于改进搜索服务，例如查询理解、检索与排序、索引，以及为搜索型 AI 聊天机器人改善检索和事实支撑。措施明确排除用数据训练底层通用大模型，也禁止非搜索画像和广告用途、重新识别、与外部数据集链接、向第三方披露等行为。Search Dataset 必须在逻辑和技术隔离的处理环境中处理，留存期最长 13 个月；受益者须在接入前完成独立审计，并在首次取得 Search Dataset 访问权限后六个月内提交首次后续合规审计报告，此后每 12 个月提交一次。

实施也分阶段推进：Alphabet 应在措施通过后一个半月内（2026 年 8 月底前）建立申请页面并向委员会提交申请表草案，两个月内（2026 年 9 月）提供协议模板和成本信息，四个月内（2026 年 11 月）完成匿名化数据集，六个月内（2027 年 1 月）完成定价方案。这里的核心不是认定某个 Agent 有权自由抓取 Google，而是由 DMA 对守门人施加法定义务，再用资格、用途、匿名化、定价和审计把开放条件制度化。

2. Apple ATTF：竞争法承诺约束界面上的自我优待

2026 年 8 月 17 日，德国联邦卡特尔局宣布对 Apple 的承诺作出具有约束力的决定并结束程序。监管机关关注的是：Apple 的 App Tracking Transparency Framework 对第三方应用设置预定义同意提示，而自有服务使用不同提示；在其初步评估中，两者在措辞、设计、选项和重复请求上的差异，可能鼓励用户同意 Apple 自有服务，却抑制对第三方应用的同意。

承诺要求 Apple 更紧密地对齐自营与第三方提示，采用更中性的内容、措辞和布局，减少可能产生劝阻效果的符号和文字，并给予应用与内容提供商更大空间，把 Apple 要求的提示与数据保护法下的同意请求清晰结合。Apple 应在决定送达后四个月内实施，承诺有效七年，并由独立监督受托人监测。

这里同样要校准结论。联邦卡特尔局依据德国《反限制竞争法》第 19a 条及《欧盟运行条约》第 102 条开展竞争法程序；新闻稿明确说，该程序不负责执行数据保护法。Apple 仍主张其规则符合竞争法，案件以承诺具有约束力而结案。因此，这不是法院认定 Apple 违法，也不是数据保护机关作出的隐私处罚。

第一，画出逐跳架构图。至少区分用户设备直接访问、服务端代理访问和混合执行三类模式，并标明每一跳的请求发起者、IP 与 user-agent、身份凭证、页面内容流向和指令返回路径。法律结论应绑定版本，架构改变后重新评估。

第二，建立分层授权。分别记录用户对 Agent 的授权、目标平台条款及技术限制、服务商与用户之间的权限边界。对购买、发布、删除、付款等高风险动作设置可见确认，避免用一次宽泛同意覆盖整个任务链。

第三，保留可复核证据。保存用户原始指令、重要中间确认、实际访问标识、目标网站响应、工具调用和失败/阻断日志。发生争议时，企业需要证明“谁请求了什么、谁执行了什么”，而不是只展示模型生成的一段自然语言解释。

第四，把法律问题拆开。计算机访问法、合同条款、反规避、消费者授权、隐私和数据跨境、竞争法可能同时出现，但彼此不能替代。尤其是在页面截图或账户信息上传云端时，还要单独评估必要性、敏感信息遮蔽、留存、第三方处理和用户告知。

第五，克制对外结论。Agent 企业不宜宣传“法院已确认用户 Agent 合法”；平台也不宜把任何自动化访问都称为黑客行为。更准确的表达应包括技术架构、适用法域、程序阶段和未决问题。

Amazon 与 Perplexity 的争议没有给 AI Agent 发放一张通用通行证。第九巡回法院只是拒绝在现有记录上，把“云端提供决策、本地浏览器执行”的链路直接等同于服务商进入平台服务器。与此同时，欧洲正在通过 DMA 数据共享义务和竞争法承诺，要求掌握关键入口的平台解释并调整开放条件。

入口战争因此不会由一句“是用户还是 AI”结束。真正可执行的判断需要沿链路逐跳回答：谁发起任务，谁直接连接服务器，谁控制下一步动作，数据被送到哪里，用户授权与平台许可分别覆盖什么。未来的 Agent 合规，首先是一项架构与证据工程，然后才是抽象的身份讨论。

付芷菲译：《亚马逊诉 Perplexity 案二审判决深度解析：AI 智能体算不算“访问”网站？》，重点呈现第九巡回判决的条文和判例推理。

李汶龙：《Amazon v Perplexity 案深度解析：智能体购物的商业逻辑与法律困境》，重点分析 Comet 的云端决策—本地执行架构及其平台化可能。

上述两文用于呈现公开讨论脉络，不作为本文核心事实和法律结论的证明来源。

我是朱玲凤，关注数据保护、AI 治理与 AI 的真实使用场景。

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。

THANKS FOR READING