AI agent 終於可以落盤：Robinhood 新功能真正要睇嘅唔係炒股，而係權限邊界

圖：TechCrunch．原文連結

Robinhood 最新 beta 功能表面上係「AI agent 幫你買股票」，但真正值得拆解嘅位唔係邊隻股票、亦唔係 AI 識唔識炒。重點係：一個由第三方平台跑嘅 agent，經 MCP 連接券商系統之後，已經由查資料、整理投資組合，走到可以發出交易指令。呢個轉變對金融科技開發者、公司 IT team 同用 AI workflow 處理敏感資料嘅人，都係一個好實在嘅警號：agent 唔再只係建議層，而係可以碰到錢同戶口權限嘅執行層。

TechCrunch 報道指 Robinhood 會容許用家開一個獨立嘅 Agentic account，配合專用 wallet，畀 AI agent 透過 Model Context Protocol，即 MCP，連接 Robinhood Trading MCP。Robinhood 官方支援頁亦確認，agent 可以讀取戶口價值、buying power、持倉、交易紀錄等資料，並可透過一組工具 call 查報價、檢查股票可否交易、預覽股票盤、落股票盤同取消未完成股票盤。現階段功能係 beta，而且官方寫明目前只限 long equities orders，即買入／持有方向股票盤；期權、crypto、futures、event contracts 同 prediction markets 只係未來會加嘅計劃，唔應該寫成已經支援。

唔係普通 chatbot，而係有交易工具嘅代理戶口

Robinhood 今次設計有一個好關鍵嘅安全邊界：agent 唔係直接拎走用家整個主戶口去交易，而係落盤只限 Agentic account；TechCrunch 亦提到 agent 只可動用專用 wallet 入面預先放入嘅資金。呢個做法似係將 blast radius 縮細，即使 agent 錯判、被錯誤提示帶偏、或者第三方 AI 平台處理唔當，都理論上唔應該直接影響主戶口全部資產。不過，「分戶口」唔代表風險消失，因為官方支援頁同時寫明 agent 有 read access 去睇所有 Robinhood accounts，包括戶口號碼、持倉、結餘、交易詳情同落盤紀錄。換言之，寫入權限被框住，但讀取權限非常闊。

呢個 read/write 分拆先係成件事最值得睇嘅位。金融 app 過往畀第三方工具讀資料，大家可以理解成 portfolio tracker、稅務整理、記帳同步；而落盤權限就係另一個級數，因為一次錯誤指令會變成真實交易。Robinhood 官方文件列出嘅 tool calls 入面，review_equity_order 似係預覽同警示，place_equity_order 就係真正落盤，cancel_equity_order 係取消未成交盤。對平台嚟講，風險控制唔可以只靠「AI 聰明啲」；必須係每個工具本身有清晰權限、審批狀態、紀錄同限制。

Approval flow 先係產品核心

Robinhood 文件寫得好直接：用家最終要為 AI agent 喺 Agentic account 落嘅盤負責；如果用家設定 agent 做嘢時毋須逐次批准，agent 可以喺冇逐筆確認下落盤。TechCrunch 亦提到部分交易會顯示 preview，用家可能要批准先執行，並會收到交易通知，同可喺 Robinhood app 內監察 agent 活動。呢種設計有兩個層次：第一，平台希望保留「人在環中」嘅選項；第二，平台亦容許某啲 workflow 自動化到唔逐次問。真正難題係：咩情況一定要問？咩情況可以預先授權？授權可以幾耐？金額、股票代號、時間、價格偏差同次數上限係咪都應該可以拆開設定？

對 AI agent 產品嚟講，approval flow 唔係一個麻煩彈窗，而係金融級安全設計嘅核心。假如 agent 先讀新聞、分析持倉，再提出一個交易，呢個過程入面任何一步都可能被污染：資料來源可能過時，網上內容可能藏有 prompt injection，agent 可能誤會用家一句自然語言，亦可能將測試指令當成正式指令。MCP 官方安全文件亦提醒，MCP 系統要處理 confused deputy、token passthrough、session hijacking、本機 MCP server 被攻擊同 scope 過闊等問題；對落盤場景而言，呢啲唔係抽象資安名詞，而係會影響戶口資金同交易責任嘅實際風險。

MCP 令接駁變易，也令攻擊面變闊

MCP 官方文件形容佢係連接 AI app 同外部系統嘅開放標準，令 Claude、ChatGPT、Codex、Cursor 等工具可以用同一套方式接資料源、工具同 workflow。Robinhood 支援頁亦列出 Claude Code、Claude Desktop、ChatGPT、Codex、Codex CLI、Cursor 同其他支援 MCP 嘅平台都可接 Robinhood Trading MCP。呢個生態好吸引：金融服務唔需要為每個 AI 工具寫一套私有接駁；開發者亦可以喺熟悉嘅 coding agent 或聊天介面入面處理投資資料。但易接駁同易授權，永遠都係一體兩面。

MCP 安全最佳實務入面有一個好關鍵概念：scope minimization。簡單講，就係一開始只批低風險、必要嘅權限，到真係要做高風險操作時先逐步升權，並保留審批同 audit trail。套返 Robinhood 呢類場景，理想上應該分得更幼：讀戶口總值、讀單一持倉、讀交易紀錄、預覽交易、落細額盤、落指定股票盤、取消盤，全部都唔應該被包成一個「全權交易」按鈕。尤其係第三方 agent 平台會接觸用家資料，Robinhood 官方披露亦寫明用家要承擔 AI agent 執行交易以及第三方 AI provider 使用資料嘅風險；資料流向同權限紀錄會係平台信任嘅底線。

Robinhood 早已向 AI 投資工具鋪路

今次唔係 Robinhood 第一次將 AI 放入投資產品。TechCrunch 早喺 2024 年報道，Robinhood 收購 AI research platform Pluto，目標係加快趨勢識別、投資研究、個人化建議同 portfolio 優化。當時焦點仍然偏向「AI 幫你分析同建議」；今次 Agentic Trading 就再推前一步，由資訊處理走到交易執行。呢個路線同整個行業方向一致：AI agent 唔再只係幫人填表、整理 email，而係逐步得到支付、訂購、落單、下指令嘅能力。

支付平台已經行緊相近方向。Stripe 今年 4 月公布 Link wallet for agents，話可以令 agent programmatic access Link，生成一次性 card 或安全付款 token；AWS 亦公布 Amazon Bedrock AgentCore Payments preview，與 Coinbase 同 Stripe 合作，畀 agent 即時存取同支付服務。支付同股票交易唔係同一種風險：前者多數係購物、服務費或 API 用量，後者牽涉市場價格波動、投資適合性同證券監管。不過共通點好明顯：agent 正由「回答問題」變成「代表人做交易」。一旦牽涉真錢，平台就要由 UX 公司變成權限管理公司。

香港用家未必用到，但本地風險更值得預先諗

香港角度要講清楚：Robinhood 官方開戶要求包括年滿 18 歲、有有效 Social Security Number、美國合法住宅地址，以及係美國公民、永久居民或持合資格美國簽證。一般香港用家唔應該將今次新聞理解為可以即刻開 Robinhood agentic account；港版或香港直接開放安排 [待確認]。所以呢篇唔係教人點用 Robinhood 落美股盤，更唔係任何投資建議。真正同本地有關嘅，是當香港證券行、銀行、虛擬資產平台或財富管理 app 未來開放類似 agent 權限時，應該點樣睇風險。

證監會 2024 年有關持牌法團使用生成式 AI 語言模型嘅通函，已經提供咗一個參照框架。通函指 AI 模型可能有 hallucination、偏見、不一致、網上攻擊、機密資料外洩、個人資料同知識產權風險；如果用於投資建議、投資意見或投資研究，一般會被視為高風險用例。證監會要求持牌法團以風險為本做高層監督、模型風險管理、網安及數據風險管理、第三方供應商風險管理；高風險用例亦要有適當人手覆核同持續監察。呢啲要求套落 agentic trading，重點就會變成：AI 產生嘅指令係咪已被人覆核？第三方 agent 平台係咪供應商？prompt injection 測試算唔算模型驗證一部分？落盤紀錄能唔能夠完整追蹤？

最後要睇嘅係責任，而唔係新奇

Robinhood 文件有一句好重：AI agents can make errors, misinterpret instructions, act on incomplete or outdated information, and may behave in unexpected ways。呢句其實講穿咗 agentic finance 嘅現實。AI 可以幫手整理資訊、加速 workflow，但一旦平台容許佢按自然語言指令落盤，責任就唔可以只推畀「模型幻覺」四個字。產品要有清楚權限邊界、逐步升權、交易前預覽、可撤銷授權、可審計紀錄、異常交易攔截、第三方資料處理披露，同埋用家可以理解嘅風險提示。Robinhood 呢次 beta 未必會直接改變香港市場，但佢示範咗金融 AI 下一階段嘅真問題：唔係 agent 識唔識講得似投資分析師，而係當 agent 真係可以撳掣落盤，邊個批權、邊個監察、邊個負責。

參考來源

• TechCrunch — Robinhood now lets your AI agents trade stocks — original report
• Robinhood: Agentic Trading overview — 官方支援頁，核實 MCP 接駁、read access、支援平台、Agentic account 設定同風險披露。
• Robinhood: Trading with your agent — 官方支援頁，核實現時只限 long equities orders、tool calls、落盤責任同 disclosure。
• Robinhood: What you need to get started — 官方開戶資格頁，用作香港可用性判斷，確認 SSN、美國住宅地址同身份要求。
• Model Context Protocol: Security Best Practices — MCP 官方安全文件，提供 consent、scope minimization、session、token 同本機 server 風險背景。
• Model Context Protocol: What is MCP? — MCP 官方介紹，確認 MCP 係連接 AI app、資料源、工具同 workflow 嘅開放標準。
• SFC Circular: Use of generative AI language models — 香港監管參照，確認持牌法團使用 AI 語言模型時嘅高風險用例、監督、模型風險同資料風險要求。
• Stripe: Giving agents the ability to pay — 行業脈絡，確認 agent payment stack 正在發展，與 Robinhood agentic trading 形成趨勢對照。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。