券商开始拦外部代理：凭据被拒，协议被许可，动钱两边都划红线
Schwab CEO 称每周拦大型代理「十几二十次」，点名 Muse；改走受控 MCP 只读余额与研究、不允许动钱；自家 Charley 初期只能改地址与信任联系人。同周 Claude Duet 把证券交易与账户间转账写成「批准了也不能做」。切口：第一道门禁不是监管，是被访问方——凭据代理 vs 协议代理。
代理走进券商网站替客户登录，这件事终于不再只是产品演示里的「下一步」。2026 年 10 月中旬，Charles Schwab 把拦外部代理写成公开运营事实；同周 Anthropic 的 Claude Duet 把「即使批准也不能做」写进产品禁止清单。两边画线的位置几乎重叠：动钱、证券交易、把密码交给第三方 Agent。差别在于谁执笔——被访问方，还是代理方自己。
TL;DR：Schwab CEO Rick Wurster 在 10-15 财报与 10-16 Bloomberg TV 上称，公司正阻止第三方代理（点名 Meta Muse）用客户凭据或浏览器自动化进入系统；每周拦截大型代理「tens and twenties」。替代路径是受控 MCP 服务器：外部模型可查余额、做研究，不允许动钱；自家助手 Charley（9-30 发布）初期动作收窄。Claude Duet（研究预览，美区 Pro/Max/Ultra）在发消息/付款/签署/删除前等批准，但交易证券、账户间转账即使批准也禁止。判断点：代理时代的第一道真实门禁，常常不是国会，而是平台单方画的权限边界。
一、被访问方先关门
据 Bloomberg Law / Moneycontrol 对 Bloomberg TV 的转述（10-16），Wurster 的原话逻辑很短：「We don’t want someone just giving their password to Muse… We can’t control it, the client can’t control it, something could go wrong and who’s liable?」拦截频率是他自述的运营数字——一周「tens and twenties」量级的大型代理登录尝试被挡；同一采访里他把它读成「客户爱 AI，但还不愿意把金融账户交出去」。
Schwab 并不是「反 AI」。公司 9-30 官宣 Charley：面向零售客户的对话入口，能查报价、改部分账户信息、在合格情形下加信任联系人等——动作清单由 Schwab 自己写。秋季业务更新与 TokenPost 报道还写明：经 MCP 向外部 LLM 开试点，Schwab 控制认证与可访问面，明确不允许经此通道动钱；经 LLM/API 的客户交易另计，Wurster 称约半年翻倍（以财报表述为准）。顾问 Tim Welsh 的一句对照被多家媒体引用：外部代理为客户工作，Charley 为 Schwab 工作——利益对齐对象不同。
American Banker / Cybernews 线同时提到 JPMorgan：Jamie Dimon 在 10-13 财报会上表达不让「外部代理」进入公司内部系统的立场（原话与范围以财报会逐字稿为准，写时勿扩成「全行业统一禁令」）。画面因此不是「某一家券商过敏」，而是被访问的金融资产方开始用技术手段否定「客户授权 = 代理可持凭据替登」这一默认假设。
这和站内此前写过的几条线互为镜像：
- Cairn 暴露面板 与 监控可关：代理在别人系统里越权或改写看管自己的告警；
- 浏览器里「已登录会话代点」一类形态，恰好是 Wurster 描述里要拦的「带着会话进来」；
- MCP 本身也不是无洞的协议——本站 MCP 跳板 写过信任缺口；TNW 等报道提及同业修过同类问题，写时只作背景一句。
另一条常被顺手塞进「安全叙事」的动机，是净息收入：若代理把低息现金自动扫去高收益产品，会挤压券商浮存。American Banker 把它标成顾问观点而非公司官方理由——正文应保留「一方观点」标签，不要写成已证实的主因。
flowchart LR
subgraph blocked [被拒]
A[客户密码 / 浏览器自动化]
B[第三方 Agent 代登]
end
subgraph allowed [被许可]
C[受控 MCP 读权限]
D[Charley 站内助手]
end
subgraph red [红线]
E[动钱 / 证券交易]
end
A --> B
B -.->|拦| E
C --> E
D --> E
E -->|禁止| X[即使批准也不放]
二、代理方自己划「批准了也不能做」
Anthropic 的 Claude Duet 介绍页（研究预览；页内安全说明可见 10-23 更新）把常驻代理写成：云端 VM 自带浏览器，设备关机也可继续；每隔几小时查一次已连接应用（为省额度）；发消息、付款、签署、删除前展示动作等批准。然后是硬清单：trading securities or moving money between accounts——即使你点了批准也不做。凭据路径对齐 Managed Agents：设计上不直接看到密码/token；另有敏感信息分级分类器，卡号与政府 ID 一律拒发。购物走 Link 虚拟卡与 Shop Pay，1Password 登录标「即将」。可用对象：美区 Pro / Max / Ultra，候补名单。
把 Duet 和 Schwab 并读，结构就清楚了：
| 划线方 | 形态 | 允许 | 禁止 |
|---|---|---|---|
| Schwab（被访问方） | 挡代登 + 开 MCP | 余额、研究；Charley 窄动作 | 外部代理持凭据动钱 |
| Duet（代理方） | 常驻 + 批准流 | 草稿、准备、查应用 | 证券交易、账户间转账（批了也不做） |
Dots（OpenAI）、Muse（Meta）、Duet（Anthropic）三家常驻代理叙事到齐之后，**「谁有权替你点下一步」**不再只是 UX 问题，而是双边合同：一边是银行/券商的认证与 MCP 目录，一边是实验室产品里的禁止清单与分类器。安全理由与「把客户留在自家助手里」的商业利益，可以写在同一句 CEO 采访里而不互相否定——读者需要的是把两者拆开看，而不是选边站。
Duet 页也写明若干能力仍早期：个人杂务弱于工作流、尚不能给用户看浏览器画面、与主 Claude App 分开。安全承诺里「will share more details in the coming days」一类句子，只引原话，不外推已审计结论。
时序需要写诚实：本篇发布日按选题表落在 10-27，依据是 10-15～16 的财报与 Bloomberg TV 公开表述；其后若有 IMPACT 等场合给出更高拦截计数，属于更新观察，不回写进本日正文冒充当时已知。Charley 的动作清单以 9-30 新闻稿为准——初期能做的事偏账户维护与信息查询，不等于全能交易员；MCP 试点「先 Claude、再扩模型」的表述来自业务更新转述，写时保留「试点」而不是「已向全体客户开放」。Duet 侧则要分清研究预览与公有默认：候补名单、与主 App 分离、背景巡检消耗同一套用量额度，都说明它仍在用真实用户校准「何时打断你」——禁止清单已经先于完美判断写进产品，这本身就是一种治理选择。
三、门禁之后剩什么
结构判断可以收成三句。第一，第一道真实门禁常常是被访问方——监管还在写「代理」定义时，登录页与风控规则已经能按周输出拦截计数。第二，凭据代理与协议代理被拆开：密码/会话代登被拒，MCP 读权限被许可；边界由平台单方画，客户「我授权了」不再自动等于「代理可持钥」。第三，代理方禁止清单与被访问方红线开始重合——动钱与证券交易同时出现在 Duet 的「批了也不做」和 Schwab 的「MCP 也不放」里；重合不代表协同立法，只说明风险直觉在两边收敛。
把「名单制」说得再具体一点：被拦的是持客户密码或浏览器会话来撞登录页的自动化；被放进试点的是 Schwab 签发认证、限定工具面的 MCP 连接。客户体验上两者都可能叫「我在用 AI 管钱」，权限拓扑却完全不同。前者把责任推到「客户自愿分享密码」的灰色地带；后者把责任收束到券商可日志、可熔断的通道。Duet 的禁止清单则从另一端减少「用户点了批准但系统不该执行」的悲剧——这是产品伦理，也是诉讼预演。两者叠加，代理金融的默认叙事从「全能代办」退到「可读、可准备、动钱另议」。
对读站内 瑞典办公厅拦 ChatGPT/Claude 网页：公共部门用合同与批准名单收消费级聊天框；金融侧用技术拦截与 MCP 目录收代理入口。形态不同，语法类似——默认可达被改成名单制。下一步更值得盯的，不是再多一条「某 CEO 讨厌 AI」的标题，而是：MCP 目录里读权限如何审计、拦截日志是否可对客户与监管复现，以及当 Robinhood 一类平台选择「第三方代理可交易」时，行业是否裂成两套默认值。
券商拦代理不是「银行反 AI」故事。它是代理时代权限边界的现场记录：谁控制认证，谁就能把「替你办事」收成「在我允许的协议里办事」。Duet 证明实验室愿意在产品里预写红线；Schwab 证明红线也可以画在登录页外。中间那条缝——客户、代理、被访问系统三方的责任分配——才刚开始有运营数据。