WorkOS 分析 ChatGPT 的 MCP Events 订阅为何是一种凭证
WorkOS 分析 OpenAI 在 DevDay 宣布支持的 MCP Events 草案，指出事件订阅由用户访问令牌创建，却能在令牌过期后继续向 agent 推送该用户数据。
#合规/税务
#合规/税务
今日 8 条WorkOS BlogAI 评分6060
Razorpay BlogAI 评分2626 如何在印度核验一家 RBI 授权的支付聚合商：商户清单
核验 RBI 授权支付聚合商，要先在合同、服务条款或发票中找到签约法律实体，再到 RBI 授权支付系统运营商名单中查该实体，而非只看品牌名。RBI 将聚合商分为 PA-O（线上）、PA-P（线下）和 PA-CB（跨境），类别必须与实际支付流程匹配；非银行申请者申请时净资产须达 Rs 15 crore，并在授权后第三个财年末升至 Rs 25 crore。
WorkOS BlogAI 评分3030 Trail of Bits 说得对，但 SaaS 厂商仍必须支持 SAML
WorkOS 回应 Trail of Bits 9 月 21 日《SAML: A fractal of bad design》，认同 SAML 的 XML 签名与解析器差异问题，但认为面向企业卖软件时不能放弃 SAML。
WorkOS BlogAI 评分3838 EvilTokens 设备码钓鱼如何运作，以及提供设备码登录的产品该怎么防
微软数字犯罪部门 9 月 22 日宣布捣毁钓鱼即服务平台 EvilTokens，该平台自 2026 年 2 月出现以来已入侵超 10,000 家组织的 12,000 多个邮箱。
Appwrite BlogAI 评分4040 Appwrite 推出 Premium Geo DB：城市、ISP 与连接类型数据
Appwrite 发布 Premium Geo DB 附加组件，把项目的 IP 查询切换到更详细的地理库，在原有国家数据之上新增城市、ISP、AS 号与连接类型等 13 个属性，每项目每月 $10，仅限 Pro 套餐。
Razorpay BlogAI 评分4242 印度高客单价借记卡支付的费率上限：哪些支付网关封顶单笔最高手续费
印度 RBI 对非 RuPay 借记卡 MDR 设上限：上一财年营业额超 Rs 20 万的商户为 0.90%、单笔封顶 Rs 1,000，Rs 20 万及以下为 0.40%、封顶 Rs 200，该上限仅覆盖 MDR，不含网关另收的约 2% 平台费。
Razorpay BlogAI 评分4040 2026 年印度创业公司支付网关对比：Razorpay 等的手续费、可用性与支持
Razorpay 面向新创业公司推出 90 天零平台费，KYC 通过后自动生效，最高 Rs 5,00,000 GMV 免成本，无需优惠码。选网关要看总受理成本而非最低 MDR：便宜 0.5% 但成功率低 15 个点，在 Rs 5 lakh GMV 下每月反而多损失 Rs 73,000。
Auth0 BlogAI 评分1818 Auth0 生产发布前的七项架构就绪检查
Auth0 免费版支持最高 25,000 MAU，但企业连接仅限 1 个、Organizations 上限 5 个，常在发布前卡住 B2B SaaS 团队。B2B Essentials 含 3 个企业连接、B2B Professional 含 5 个，均可在 Dashboard 内自助叠加；Custom Domains 免费版可用但需先绑定信用卡。
WorkOS BlogAI 评分3636 WorkOS 发布 SaaS 应用 AI agent 权限清单（2026）
WorkOS 发布了一份面向 SaaS 应用的 AI agent 权限清单，按设计、构建、上线、运营、撤销五个生命周期阶段组织，每项都写成可检验的规则。清单要求每个 agent 拥有独立身份、绝不传递用户会话或访问令牌，委派型 agent 的权限取 agent 上限与用户权限的交集，每次工具调用都要鉴权，不可逆或外部操作需带外人工批准，并记录 agent 与用户双重身份。
Product HuntAI 评分2222 Ghostifier：让公司删除你的数据
Ghostifier 是一款帮你要求公司删除所持个人数据的工具。它已在 Product Hunt 上线，提供 Discussion 与 Link 入口。原文未披露定价、费率或开源等信息。
Razorpay BlogAI 评分4141 2026 年在印度做一个 D2C 品牌要花多少钱？按月拆解
2026 年在印度启动 D2C 品牌，前 90 天成本分三档：Bootstrap 约 ₹45,000-₹95,000、Lean Launch ₹1.2-2.5 lakh、Proper Launch ₹3-6 lakh。
Razorpay BlogAI 评分3131 印度企业级支付网关定价：月 GMV 从 1 千万卢比到 1 亿卢比+的费率分层
印度企业级支付网关的混合费率通常在月 GMV 1 千万卢比时为 1.4%-1.8%，到 1 亿卢比+时收紧至 1.2% 以下，实际数字更多取决于 UPI 与卡支付的构成而非 GMV 本身。
WorkOS BlogAI 评分3434 Datadog 披露 CoPhish：借 Microsoft Copilot Studio 的 OAuth 钓鱼，给 Agent 构建平台敲警钟
Datadog Security Labs 披露的 CoPhish 无需仿冒应用，而是借 Microsoft Copilot Studio 在 copilotstudio.microsoft.com 上托管钓鱼页，把 agent 登录按钮指向恶意 OAuth 同意请求，再通过工作流 HTTP 调用把 token 从微软服务器端外传，浏览器流量中不可见。
OpenRouter BlogAI 评分3636 OpenRouter 推出 Security Center，集中管理并降低 API 密钥风险
OpenRouter 上线 Security Center，可在 Settings > Security 中集中查看所有工作区的密钥，并批量禁用、归档或设置消费上限，最多一次处理 500 个密钥，所有套餐类型均可用。
Auth0 BlogAI 评分2828 Auth0 推出 Auth for UCP，为 AI 代理购物提供身份与信任层
Auth0 发布 Auth for UCP，为 Universal Commerce Protocol（UCP）补上身份与信任层，让零售、旅游和酒店品牌能安全地让 AI 代理代为发现和购买商品。
Twilio BlogAI 评分3434 Twilio 谈印度呼叫中心的 AI 智能体：能做什么、不能做什么
Twilio 发文梳理印度呼叫中心 AI 智能体的能力边界：Meesho 的语音机器人每天处理 6 万通印地语和英语来电，支持成本降 75%；Bajaj Finance 称 AI 语音与文本机器人已承接 71% 的自助服务量，成本约为人工的三分之一。印度 RBI 的 FREE-AI 委员会提出 26 项建议，要求告知用户在与 AI 对话、由人工处理 AI 决策投诉并保留转人工通道，但尚无强制效力。
Twilio BlogAI 评分2222 菲律宾呼叫中心 AI 方案选购指南：BSP 合规、Taglish 识别与供应商评估
菲律宾呼叫中心选 AI 方案，关键不在功能清单，而在 BSP Circular 1160 的投诉处理义务、NPC 即将落地的 AI 高风险分级 PIA 规则，以及系统能否听懂 Taglish。
Twilio BlogAI 评分2222 2026 年印度联络中心 AI 方案采购指南：TRAI 新规与 DPDP 合规要点
Twilio 发布 2026 年印度联络中心 AI 方案采购指南，指出印度企业已大规模落地：Meesho 每天处理超 6 万通印地语和英语客服电话、支持成本降低 75%，Eternal 的 Nugget 在 Zomato、Blinkit、Hyperpure 上解决约 1500 万次月度对话中的 85%，年度支持成本从 $20 million 降至 $9 million。
Twilio BlogAI 评分3838 Twilio 谈澳大利亚联络中心 AI 智能体：要解决率，不要转接率
Twilio 指出，澳大利亚联邦银行 2025 年 7 月以 Hey CommBank 语音机器人每周分流 2,000 通电话为由裁撤 45 个岗位，8 月因呼叫量上升撤回裁员；重建平台后其每月处理超 200 万次对话、每天 5 万通电话，2026 年 5 月自助消息端到端解决率约 84.6%。
Chargebee BlogAI 评分3838 Chargebee：如何审计订阅取消流程中的 5 类暗黑模式
Chargebee 发布订阅取消流程审计指南，列出埋藏取消入口、误导按钮、强制问卷、反复挽留、强制电话等暗黑模式，并给出 5 步自查方法。文中提到 FTC 对 Amazon 的 25 亿美元和解要求取消方式与注册方式一致，Uber 案指控部分用户取消需经过多达 23 个页面、至少 32 次操作。
Razorpay BlogAI 评分4242 Shopify 印度最便宜支付网关对比：Razorpay TDR、其他网关与平台原生方案
Shopify Payments 在印度不可用，印度商家必须接入第三方网关并额外承担 Shopify 的第三方交易费。以 Shopify Basic 为例，2% 网关费率加 18% GST 与 2% 平台费后实际成本约 4.36%；Razorpay 标准国内费率为 2% 加 18% GST（实际 2.36%），无开户费和年费，新商家前 90 天可免 2% 平台费，上限 Rs 5 lakh GMV。
WorkOS BlogAI 评分3131 WorkOS 解析 ID-JAG：同一令牌如何同时用于企业访问授权与 Agent 注册
WorkOS 发文拆解 ID-JAG（Identity Assertion JWT Authorization Grant）在企业访问授权与 Agent 注册两种场景下的不同用法。
WorkOS BlogAI 评分4141 WorkOS Airlock 是什么？面向 AI agent 的基于意图的访问控制
WorkOS 推出 Airlock，在 AI agent 与 WorkOS Pipes 之间做基于意图的访问控制，调用前先按策略校验 agent 的操作意图，目前开放 early access 申请。
WorkOS BlogAI 评分3030 WorkOS 谈语音 AI Agent 的授权难题：没有屏幕时如何确认用户同意
WorkOS 指出，语音 AI Agent 同时合成用户听到的音频、接收用户说出的音频，授权通道两端都被 Agent 掌控，因此不存在带外确认。
Stripe BlogAI 评分3232 Stripe 全球卡欺诈新趋势：3DS 与区域监管如何影响风险
Stripe 分析 2022 年 1 月至 2026 年 3 月的数十亿笔交易发现，亚太企业 2026 年第一季度卡欺诈率首次低于欧洲、中东和非洲。马来西亚 2022 至 2025 年卡欺诈率下降 74%，日本 2025 年 4 月 3DS 强制令后争议率同比下降超 30%；拉美 2025 年卡欺诈率比欧洲、中东和非洲高 160%。
WorkOS BlogAI 评分3838 AI agent 凭证的四种架构对比：Google、NVIDIA、Rubrik、Microsoft 各自怎么防泄密
过去两个月五家厂商给出了四种 AI agent 凭证架构：Google 与 NVIDIA 把密钥留在沙箱之外，由出口代理在请求时注入；Rubrik Agent Identity 在 MCP 网关按每次工具调用签发单次令牌；Microsoft 的 Global Secure Access MCP firewall 则完全不碰凭证，只在网络上检查 MCP 流量。
WorkOS BlogAI 评分3030 WorkOS 解读 ID-JAG 企业托管授权：没有用户在场时如何做账号关联
WorkOS 指出，ID-JAG 草案（draft-ietf-oauth-identity-assertion-authz-grant-04，2026 年 5 月 21 日发布。
Appwrite BlogAI 评分3838 Appwrite 发布 Firewall presets：预置流量规则
Appwrite 推出 Firewall presets，把 OTP 限流、国家地区限制、防抓取等常见策略做成可直接套用的预置规则，目前作用于项目 API（/v1/... 流量，覆盖 Auth、Databases、Storage 等服务）。
AWS Messaging & Targeting Blog (SES)AI 评分3939 如何用 Amazon SES 的按请求覆盖实现 CNIL/EU ePrivacy 合规的邮件追踪
Amazon SES 新增 SendEmail 和 SendBulkEmail API 的 ConfigurationOverrides 参数，可按单次请求开启或关闭打开追踪与点击追踪，覆盖配置集的默认行为，用于满足 CNIL/EU ePrivacy 要求的显式同意。
Stripe BlogAI 评分2222 Stripe 分析旅游休闲行业欺诈尝试上升趋势
Stripe 数据显示，去年针对旅游休闲商家的欺诈尝试升至四年新高，但成功欺诈率下降。Stripe Radar 在 2023 至 2025 年间将欺诈得手比例压降超过三分之二，去年为旅游休闲商户拦截超 30 亿美元可疑欺诈支付额。区域上，APAC 与 EMEA 欺诈尝试率同比涨幅均超五倍，LATAM 上升 37%，北美则下降。
OpenAI NewsAI 评分2222 OpenAI 推出面向法律行业的 Astra for Law
OpenAI 发布 Astra for Law，为法律行业提供前沿智能、律所自定义工作流、已连接的法律数据源，以及面向客户机密工作的法律级管控。该产品归属 OpenAI for Law，具体价格与可用范围未在原文中披露。
Twilio BlogAI 评分3232 Twilio 公布 2026 年旺季 Heightened Awareness Period：美国中期选举与 BFCM 吞吐量安排
Twilio 为应对美国中期选举和假日购物季的流量高峰，设立两个临时 Heightened Awareness Period（HAP）：美国中期选举 HAP 为 2026 年 11 月 2 日至 4 日，黑五网一及假日旺季 HAP 为 2026 年 11 月 19 日至 2027 年 1 月 4 日。
Apple Developer News精选AI 评分6262 苹果在欧盟更新 App Tracking Transparency，iOS 27.2 起提供替代版系统提示
苹果宣布作为与部分欧洲竞争监管机构达成协议的一部分，在欧盟调整 App Tracking Transparency 框架。从 iOS 27.2 和 iPadOS 27.2 起，开发者可在欧盟选择使用替代版本的 App Tracking Transparency 系统提示，但需要征求用户追踪许可的场景要求保持不变。
推荐理由：苹果在欧盟调整 App Tracking Transparency 提示形式，开发者可据此判断自家应用在哪些市场必须改用新提示。
WorkOS BlogAI 评分3838 WorkOS 如何区分 Agent 流量与用户流量
WorkOS 的 Agent Auth 现已进入 early access，其签发的 agent access token 与用户 token 使用同一套密钥签名，现有验证路径可直接复用，区别在于 sub_profile 声明：agent token 恒为 ai_agent，用户 token 缺失或为 user。
WorkOS BlogAI 评分2828 WorkOS 谈 MCP 授权：如何在 OAuth 之外管控工具调用
WorkOS 发布指南，说明 MCP 服务器仅校验 OAuth scope 无法阻止敏感数据外发，需在工具执行前对请求内容做策略校验。其 Airlock 提供该授权层，在放行、拒绝或转人工审批前评估声明的意图与策略，并禁止 token passthrough，要求凭据留在服务端。Airlock 现已开放 early access 申请。
WorkOS BlogAI 评分2222 WorkOS Vault 的本地加密是如何工作的
WorkOS Vault 采用信封加密：每次加密生成一次性数据密钥（DEK），由存放在 HSM 中、无法明文导出的密钥加密密钥（KEK）包裹，明文与密文都不离开你自己的系统，只有被包裹的密钥会传给 WorkOS。
WorkOS BlogAI 评分2222 WorkOS 指南：如何回答企业安全问卷中的身份认证问题
WorkOS 发布指南，逐条拆解企业安全问卷中约占三分之一篇幅的身份认证问题，说明每个问题背后审查者真正在核查什么。例如 SCIM 去配置环节，Okta 和 Entra 通过 PATCH 将 active 设为 false，只监听 DELETE 的应用会让管理员看到"已去配置"而用户仍能继续使用；Entra 的后台同步周期约为 40 分钟且管理员无法配置。
Webflow BlogAI 评分2222 6 款适合处理敏感信息的 HIPAA 合规表单工具对比
Webflow 博客对比了 6 款可签 BAA 的 HIPAA 合规表单工具。Jotform 的 Gold 套餐（$129/月，年付 $99/月）免费包含 BAA。
WorkOS BlogAI 评分3838 Sierra 内部 MCP gateway 的实战复盘：难的不是协议，是授权
Sierra 的 Mihai Parparita 发布内部 MCP gateway 实战笔记：89% 员工已能在一个页面把 agent 接入 45 项服务，但真正卡住上线的是授权而非协议。其核心是多轮分类器推断 Slack、内部文档等无元数据来源的客户归属与敏感度，配合按工具而非按服务器的权限校验和全量审计日志，跨客户访问需带外人工审批。
GitLab BlogAI 评分2222 GitLab 如何计算 DevOps 平台的总拥有成本（TCO）
GitLab 发文拆解 DevOps 平台总拥有成本（TCO）的构成，指出订阅费和许可费只是账单的一部分，CI/CD 计算与 AI 用量等变动成本同样计入。文章把成本归为平台访问、CI/CD 消耗、AI 与 agentic 能力、Runner 基础设施、安全合规、附加工具、支持服务、内部运维、迁移变更九类，并提示 AI 可能按席位、按消耗或两者组合计价，需与人数分开建模。