如果你在做或在买 AI 可见度监测，这是对你影响最直接的一项变化——包括对我们自己。
代理面的访问权开始按身份分级了。工具清单仍然公开，调用这些工具的权利不再公开。
核心要点
- UCP 定义了三层信任：Anonymous、Signed、Token。只有 Token 层能完成购买与读取订单。
tools/list匿名可调。用一个不可达的 profile URL 去调search_catalog，返回 422profile_unreachable。- Shopify 自 2026 年 5 月 30 日起收紧了 Storefront API 与托管页面的机器人限流；不签名的请求适用最严格的一档。
- 商家可以在后台拿到用于抓取自己店铺的签名凭证。
- Global Catalog 的认证请求默认 5 请求/秒/客户端。各层的限流绝对值官方没有公布。
三层
层级 | 你证明了什么 | 你能调什么 |
|---|---|---|
Anonymous | 什么都没证明 | 只有 |
Signed | 一个 Web Bot Auth 签名 | 目录检索与按 ID 取回；购物车与结算部分可用 |
Token | 签名加授权 | 全部，包括 |
设计意图体现在这种不对称里。公开工具清单成本为零而且有利于生态；让一个身份不明的调用方完成交易则代价很大。所以能力目录是开放的，能力的行使是受控的。
让它变具体的那次实测
我们对一家真实店铺调用 search_catalog，传入一个解析不了的代理 profile URL。返回是：
HTTP 422——{"error":{"code":-32001,"message":"UCP discovery failed","data":{"code":"profile_unreachable","content":"Unable to fetch agent profile: Http error"}}}
不是限流，也不是权限提示，而是一次发现失败。服务端尝试去拉我们的 profile，拉不到，于是停止。一个可公开访问的代理身份档案，连读取都是硬前提。
同一家店以匿名方式回答了 tools/list，返回 207KB、描述 15 个工具。清单公开、执行受控，与设计完全一致。
之上还有两条硬约束
Web Bot Auth 现在是门槛，不是加分项。 自 2026 年 5 月 30 日起，Shopify 收紧了 Storefront API 与 Shopify 托管店面页面的机器人限流，未签名请求适用最严格的一档。商家可以在后台取得签名凭证来抓取自己的店铺——这是你自己做监测的受支持路径，也应当是你第一件配置的事。
公布的限流是相对的，不是绝对的。 文档给了一个次序——Token 高于 Signed 高于 Anonymous——以及一个具体数字：Global Catalog 的认证请求默认 5 请求/秒/客户端。做容量规划时不要把这个数当成全局上限。
这对 GEO 实践的影响
监测变贵了。 任何想观测「代理实际看到什么」的工具，都必须成为一个有身份的代理，而不是一个爬虫。这是实打实的工程与运维成本——profile 托管、签名、密钥轮换——并且会把一批粗放的抓取型工具彻底挡在这个面之外。
AI 可见度变成了部分意义上的身份问题。 你的内容可以很好，但如果调用方的信任层不够，有些调用它根本发不出去。complete_checkout 只对 Token 层开放；一个永远到不了 Token 层的监测系统，无论提示词多好，都观测不到漏斗末端。
基准需要标注层级。 两家工具对同一品牌报出不同的代理可见度，可能两边都没错，因为它们是在不同层级上调用的。任何严肃的对比都必须说明自己测量时所处的层级。
商家实际该做的三件事
这件事大部分属于平台范畴，但有三项是你的：
- 先拿到自己的签名凭证，再委托任何对自己店铺的抓取，无论是内部还是代理商。
- 不要跟限流硬碰。 如果合作方被限流，答案是签名，不是重试循环。未签名流量按设计就是最低档。
- 问供应商在哪一层测量。 这是一个合理的问题，答案会告诉你那份报告覆盖的是只到发现，还是覆盖完整交易路径。
它在栈里的位置
信任分层位于协议层，而协议层大部分由平台托管。这既让人安心也是个陷阱：安心是因为你不必自己建，陷阱是因为你可能根本不知道它在你店上是坏的。确认自己的协议层健康只需要一条命令——见十分钟自查，以及六层栈解释各层如何互相依赖。
常见问题
这是不是意味着代理不能再抓我的站了？ 未签名请求不会被完全封锁，但适用最严格的限流，也够不到受控工具。同时官方说明要求代理不要退回去用脚本填表——两者叠加，会把守规矩的代理推向工具路径，远离抓取。
我能完全屏蔽代理流量吗？ 可以用常规手段限制抓取，渠道参与在后台也有各自的开关。该不该这么做是另一个问题——归因断裂解释了为什么关掉的代价往往大于它保护的东西。
我怎么知道某个代理用的是哪一层？ 目前从你这一侧看不到详细信息。这是尚未补齐的空白之一：信任分层对调用方规定得很清楚，对商家的暴露却很弱。