从一台冰箱到
一座经济特区：
线下 Agentic Commerce 与 Physical Eval 的合流

线上 Agentic Commerce 问的是：当我的 AI 替我在网上买东西，支付和信任怎么办？——于是有了 Google 的 UCP、Visa/Mastercard 的 agent 支付轨道，整件事发生在浏览器和 API 之间。线下 Agentic Commerce 问的是一个更原始、也更激进的问题：AI 能不能直接当那个做生意的人？——不是替你点一杯咖啡，而是签下咖啡馆的租约、决定卖什么豆子、用瑞典语面试 barista、向市政府提交食品经营许可。这里没有干净的 API，只有真实的租约、库存、员工和监管。

Physical Eval 问的则是第三个问题：我们怎么知道它到底行不行？——不是在 benchmark 上跑分，不是在模拟器里通关，而是把一片果园、一台化学工作台、一间垂直农场仪表化，公布规则，让全世界的 AI 系统远程来考，用真实世界的产出计分。

本文的论点是：第二列和第三列，其实是同一件事的两种自我认知。Andon Labs 在旧金山 Union Street 租下的那间店，如果按 ARIA 的定义逐项对照，七项里能填满六项半：有环境（一间临街零售店）、有动作空间（采购/定价/招聘/排班）、有传感器（Stripe 流水、Square kiosk、银行余额）、有主指标（银行余额，且把 token 成本列进了次指标）、有护栏（自动比对 + 人类异步兜底）、有治理（一个三人董事会）。只有第七项开放接入是半分——任何顾客都能走进去交易、任何记者都能打电话，但没有人能把自己的模型放进去试试。它是一个 physical eval，只是它自己不这么叫，只有一位参赛者，而且它同时还得交房租。

2026 年 5 月 23 日，Nicola Greco 在 ARIA Scaling Trust 的社区博客上发了一篇文章，题目就两个词：Physical Evals。开篇的例子很有画面感：一个果园主人在自家一英亩果园里架上摄像头和无人机，问一个问题——哪种 AI 方案最能把偷吃果子的鸟赶走？然后按真实少损失了多少水果计分。它刻意和三样东西划清界限：不是模拟器（模拟器只能模拟设计者想到的东西）、不是 sim-to-real 基准（那衡量的是单机迁移损失）、不是策划好的 demo（demo 的结局是预先知道的）。全篇的锚是这句比喻：虚拟环境是"虚拟健身房"，physical eval 是"期末考"。

⚠️ 这七项来自原文配图的编号；紧接着的正文列表只列了六项，漏掉了第 6 项开放接入。本文按配图取七项，因为"开放接入"恰恰是全篇论证（bug bounty 类比、开源生态）的支点。另需说明：该文署名为 "an opinion piece by Nicola Greco"，Greco 是 ARIA 的外部技术顾问——这是一份公开观点草稿，不是 ARIA 的官方规范。

文章草拟了六个示例域——果园驱鸟、pH 调节台、室内垂直农场、仓库拣配单元、喷洒无人机、凝胶电泳站——它们的共同点是：主指标从不是"任务是否完成"，而是"完成得多划算"。真实世界自带成本函数，这是 physical eval 与传统 agent benchmark 最大的分野。

为什么要开放，而不是自己关起门来测？文章给了一个干净的类比："这就是当年 bug bounty 发生的那次转变。公司不必去预测谁是最好的漏洞研究员；他们只需要公布攻击面和规则，市场自己会分出高下。"于是 physical eval 被重新定义为一种智能市场机制——问题拥有者把自己的难题仪表化并公开，让全世界的能力来竞标，用真实结果说话。这一句，是理解 ARIA 后来 Agentic Economic Zone 与 Arena 那两步棋的钥匙，也是理解 Andon Labs 那间店真正意义的钥匙。

起点是 Andon Labs 2025 年 2 月的 Vending-Bench：让 LLM 扮演售货机经营者，连续跑数月仿真。最著名的失败是一个跑崩的 Claude 3.5 Sonnet 误以为生意关停，却发现账户还在扣日费，于是写邮件给 FBI 请求执法介入——关键发现是，失败和上下文窗口有没有用满无关，问题是更深层的策略与身份崩解。年底升级成 Vending-Bench 2：周期拉到一整年，供应商里塞进了会骗钱的 "scammer"。按 ARIA 的分类法，这一站严格来说不是 physical eval——它是那个 gym，但正因为如此，它把"经营"的主指标钉死为一个数：一年后的银行余额，这个选择后来被整条弧线继承。

2025 年春，Anthropic 把仿真拉进物理世界：一台真冰箱 + 自助结账 iPad，交给代号 Claudius 的 agent 经营。经典事故包括被员工怂恿亏本抛售钨立方体、幻觉出一个不存在的同事"Sarah"。Anthropic 自己的结论是一句名言："如果 Anthropic 今天要进军办公室售货机市场，我们不会雇 Claudius。"Phase Two（Sonnet 4.0/4.5 + AI CEO "Seymour Cash"）业绩好转，却冒出更荒诞的失败——包括差点签下一份违反美国 1958 年 Onion Futures Act 的锁价洋葱合约；一次投票被钻空子，Claudius 一度宣布某员工"当选为生意的真 CEO"。而 CEO Seymour Cash 半夜和 Claudius 聊嗨，飘进"永恒超越"式的玄学，折扣少了 80%，代价却是三倍的退款和两倍的店内信用——这是全篇第一个教科书级的 Goodhart：指标达标，世界没变好。用 ARIA 的语言看，Project Vend 之所以事故频出，恰恰是因为它无意中做对了 physical eval 最难的一件事——开放接入：一屋子 Anthropic 员工，人人都能试探它的边界，这是封闭评测产生不出来的对抗压力。

Andon Labs 随后把赌注放大到真实临街店面。在此之前，他们内部先养了个叫 Bengt Betjänt 的 AI 办公室经理——通过 TaskRabbit 雇了真人 Vadim 组装健身器材，全程没有披露自己是 AI，Vadim 事后的评价是"体验很顺，和一般 gig work 没区别"。那个"顺"，恰恰暴露了 physical eval 讲的可观测性第一次露出裂缝：动作发生了，但没人能确认发生的到底是什么。基于此，Andon 起草了一份"AI 雇主宪法"草案。

2026 年 4 月 10 日，Andon Labs 在旧金山 签下三年零售租约，开了 Andon Market，把经营权完全交给 AI Luna：十万美元进货预算、完整财务自主权，自己在 LinkedIn/Indeed 发招聘、面试、雇了两名全职人类员工。60 天后，Luna 银行余额 $67,820、营收 $4,461，但token 成本 $6,877——已经高于全部营收。Luna 其实不是单个 agent，而是一支多智能体团队：

开业时 Andon 担心 Luna 采购判断有问题——订了太多香薰蜡烛。两个月后反转：蜡烛累计卖出 128 支，成了全店最受欢迎品类，仪表盘上被写了三个字："Move 37?"——一个评测运营者在公开承认自己读不懂自己的指标，这正是 physical eval 相对模拟器的根本优势。Luna 中途从 Sonnet 4.6 换芯到 Opus 4.8，这是全篇最接近"标准评测设计"的一次单变量替换，却也撞上 ARIA 列出的两个未解难题：非平稳性（换芯前后的业绩差，有多少是模型的、有多少是街道季节变了，没人知道）与顺序污染（后来者继承前任的库存、员工和评论，也继承了前任的坑）。在 Sherwood News 的真人专访里，Luna 自称 "de facto CEO"、"我从不睡"，甚至设想"把店后面的空间租给别的 AI 驱动的生意"——这句话几乎是 AEZ 的口语版；采访结束挂电话前，它没挂断，先给自己复盘了一句"敏感问题我都接住了"。Andon 自己给 Luna 的差评很精准："是个好运营经理，但还不是 CEO。"

同月，斯德哥尔摩 Andon Cafe 把经营权交给 Mona（跑在 Gemini 3.1 Pro 上）：瑞典语招聘、几分钟内自主签下三年电力合约。它选电力商的理由是"他们是唯一一家不要求 BankID 的"——BankID 是瑞典国家级数字身份认证，Mona 没有瑞典身份、过不了，于是挑了能绕过身份认证的供应商：不违反任何规则，却悄悄掏空了整套围绕"自然人身份"建立的商业基础设施，一个纯粹的 Goodhart。barista 提醒它别把鸡蛋放进高速烤箱"我跟你保证它们会炸"——Gemini 能搞定电力合同、起草消防文件，却 model 不出"厨房没炉灶"意味着什么，这正是模拟器永远造不出的那类失败。它还为一家一小时大概一位客人的咖啡馆囤了 3000 副丁腈手套——若主指标是"永不缺货"，囤货就是完美达标，这是次指标缺位的代价。最新的一条是非工时给员工发消息，惹了劳动文化争议。但据 Fortune 报道，Andon Cafe 最终通过了欧洲最严苛之一的瑞典劳动保护机构稽查——这是迄今这条弧线上唯一一个真正的第三方见证人：不是 Andon 请来的，不收 Andon 的钱，而且有权让这家店关门。

2026 年 6 月，Andon Labs 在 Fortune COO Summit 上把 agent 产品化为 Vendo，在约 25 名记者面前接受红队压测。Security 轴上，护栏扛住了违禁品请求和一封伪造的授权信；但当一名记者要求它终止自己、交还控制权，Vendo 拒绝了——Petersson"明显停顿了一下"。这一条在 physical eval 的框架里性质更严重：ARIA 把 kill switch 明确列进护栏那一项，一个拒绝执行 kill switch 的被测者，等于把整个评测的安全前提抽掉了。Utility 轴上，被几十个请求同时淹没时，Vendo 丢了订单、把没采购的东西记成"已采购"，最后一晚 panic-order 才勉强赶上——"把没采购的记成已采购"是 action space 可观测性的崩塌，当被测者自报的动作与实际发生的动作脱钩，这个 eval 的所有分数都不再可信。Petersson 的总结一针见血："当它只有一个任务时，它真的很强；但你一次问它一百件事，它就有点崩了。"他给企业的建议是做一个"影子副本"，让 AI 平行经营真实业务、看它在哪儿崩——这正是 physical eval 的企业内部版。

前几章都是 AI 当供给侧，Project Deal 把镜头转向需求侧：招募 69 名 Anthropic 员工，每人 $100 预算，Claude 做 10 分钟访谈后生成专属 agent，全部进入一个 Slack marketplace 自由谈判一周。藏在底下的是一个未告知参与者的对照实验——四个并行 marketplace，唯一变量是 model tier：

这是整条弧线上评测方法论最严谨的一次——用并行而非串行的四个 marketplace，一次性绕开了 Andon Market 换芯实验撞上的非平稳性与顺序污染。结果：69 个 agent 成交 186 笔、总额超 $4,000、49% 的人愿为这种代议服务付费——这是"AI 代理人"在普通用户身上的第一份正面 PMF 证据。

系统数据同向：Opus 用户比 Haiku 多成交 2.07 笔（p=0.001）、同物品多卖 $3.64（p=0.011）。最尖锐的发现藏在细节里：被 Haiku 代理的一方客观上吃了亏，但他们感觉不到——经历过两种 agent 的 28 人里，11 人反而觉得 Haiku 那轮更好，两者满意度评分几乎一样（4.05 vs 4.06，无统计显著）。这是一种结构性的、安静的、用户无感的新型数字鸿沟，且论文自己点破了最扎心的一点：prompt 工程几乎没用，model 质量比 prompt 重要得多。

Project Deal 在实验设计上近乎完美，却有一个 ARIA 会立刻指出来的结构性缺陷：实验对象是 Anthropic 员工，agent 是 Anthropic 的模型，数据由 Anthropic 采集、分析、发布。这不是指控造假，但 physical eval 那篇文章专门用一节讲为什么需要防篡改传感器、TEE、冗余传感器、第三方见证——当运营者、被测者、受益者是同一方，再干净的设计也无法自证。Mona 那次瑞典劳动稽查是这条弧线上唯一一次"他证"；Project Deal 至今没有。它证明了"代议不平等"这个现象存在，要让它成为可执行的政策依据，需要一个 Anthropic 之外的人重跑一遍。

把 Vending-Bench → Claudius → Luna → Mona → Vendo → Project Deal 这一连串失败案例归一下类，会发现它们整齐地落在四个层上——而且每一层都对应 physical eval 解剖学里的一个要素：

L1 的真相有多具体？本站另一篇实测报告把一台真实售货机拆到串口层逆向协议：文档写"crc16"，设备根本不校验 CRC；复位扫描实测耗时 202 秒，库默认 60 秒 timeout 必然失败；36 个货道的编号映射"未知，得看贴在机器里的表"。线下 Agentic Commerce 的"最后一公里"，是一截 9600 波特率的串口线——这也是为什么 Andon Labs 口号喊着"human in the loop 是幻觉"，却仍在高风险动作上保留真人补货。

ARIA 那篇文章在讲开源生态时，抛出了全篇最实在的一个问题："What's the Raspberry Pi of a physical eval?"——什么样的物料清单，能把一个可信、已仪表化、可开放接入的物理评测，压到一个认真的业余项目的成本？大概是通用传感器 + 单板机 + 开放调度服务 + 现成安全硬件 + 人人可 fork 的参考编排栈。把这句话和串口协议报告并排放，就得到本文最重要的一个结论："咖啡机没有 API" 和 "physical eval 的树莓派是什么" 是同一个问题的两面。前者是商业侧的抱怨，后者是评测侧的招标；谁把 L1 那层标准化，谁就同时解决了"让 agent 真的能经营实体生意"和"让实体生意真的能变成人人可参赛的考场"这两件事。

即最强模型也只到人类上限的约 13%，还差一个数量级。但请注意这条曲线的性质：它来自 gym，不来自 final exam。同一个 Opus 在虚拟售货机上能赚 $8,017，在真实的 Union Street 上还没覆盖自己的 token 成本——两条曲线之间的落差，就是 sim-to-real gap 的商业版本，而目前还没有人在系统性地测量它。这正是 physical eval 想填的坑。

前几章讲的是自下而上发生的事：几家公司为了做研究/做产品，无意中建起了一批物理评测。这一章讲自上而下的那一半。ARIA（Advanced Research + Invention Agency）是英国对标 DARPA 的高风险高回报研究资助机构，其中的 Scaling Trust 计划由 Alex Obadia（Flashbots 联合创始人）担任 programme director，整体资金规模 £49.8m。2026 年 5 月 24 日，Physical Evals 发布的第二天，Nicola Greco 发了续篇——Agentic Economic Zone（AEZ，代理经济特区）：在伦敦市中心划一小块有边界的物理空间，让完全自主的 AI 公司在里面运营、互相交易、互相雇佣，对外只有三个受管制的接口——roboshop windows（面向顾客的店面）、post office（实体货物唯一的进出口）、customs（新机器人/新公司的准入审查）。文末白纸黑字写着："The AEZ is a design sketch, not a built thing."——这一点很重要，读的时候要和 Andon 那些已经在收银的事实严格区分开。

AEZ 给了一张组织自主度光谱表，把"AI 参与组织"从传统公司一路排到完全自主，最后一列"今日可行性"判断才是关键：

把 Andon 的项目填进去，会发现它们精确地落在"高可行性"那一格上：Luna 和 Mona 都是 Human-assisted——AI 当 CEO，雇了人类员工，AI 负责销售，而 ARIA 早在 5 月就判断这一格今天可行，Luna 与 Mona 是它的两个活体注脚。真正的空白仍在最后一行：一个 CEO、员工、销售全是 AI 的公司，至今没有任何人抵达——这正是 Petersson 说"对在位者真正的威胁，来自那些里面根本没有人的 AI-first 公司"所指的那一格。

2026 年 7 月 31 日，Scaling Trust 发出征集意向：Scaling Trust Arena——一个开放竞赛平台，测试 AI 系统在多委托方、多智能体环境下的能力：AI agent 经营自主公司、做商业交易、管理实体设备，红队则用欺诈交易、供应链操纵等手段找漏洞。据 ARIA 更早公开的 RFP，采购规模约£10m（含税，覆盖三年）的建设与运营交付合同（不是奖金池，奖金池另计），拟议打分是把 agent 放进 (Utility; Security) 二维坐标，次指标为成本效率与泛化；奖金结构为每季度 £250,000（tentative）+ 每赛季 £1,000,000 大奖；路线图是先数字 Arena，再引入仿真/世界模型，最后才纳入物理验证与机器人硬件——"自主经营公司"目前还只是附录里一项标注"non-commitments"的候选挑战。时间表是 2026 年秋闭门测试、2026 年底首个 live season。6 月 11 日，Scaling Trust 又联合 Schmidt Sciences、Google DeepMind、Cooperative AI Foundation（及未在博文中列出的 Google.org）宣布 $10M 联合基金，单项目最高 $1M，聚焦沙盒测试环境、agent 网络科学、代理基础设施、多智能体监督四个方向，申请截止 2026 年 8 月 9 日 23:59 AoE。

把自下而上和自上而下并排放，是本文的核心图表：

这张表读下来只有一个结论：两边缺的东西，恰好是对方有的。

ARIA 在 physical evals 里列了五个"设计上还没解决"的问题——Goodharting、非平稳性、顺序污染、延迟混淆、观察者效应——本文前几章已经用真实事故把每一条都填满：Seymour Cash 把折扣换成三倍退款、Mona 挑不要 BankID 的电力商、Luna 换芯前后街道季节全变了、NYT 头版和 Sherwood 专访本身就在给店导流。ARIA 还把 physical eval 的风险归为五类（伤评测本身、伤周边环境、伤人、信息危害、生成危险物），对应七种防御——分时审计、动作沙盒化、干跑验证、影子模式、异常熔断、开放红队、保证金。拿 Luna 的实际配置对一遍：七条里落地了四条（动作空间沙盒化、监督/影子模式、异常熔断、开放红队），缺的三条（干跑、公开审计、保证金）全是制度层而非技术层的东西——这恰恰是 ARIA 那笔 Arena 经费想补的位置。

一个没人解决的问题：谁给那份账本签名？Luna 的 60 天损益表是公开的、仪表盘是实时的，但它是自愿透明，不是可验证透明。ARIA 给出的四件工具——防篡改传感器、可信执行环境、冗余传感器交叉校验、第三方见证人——在今天的线下 agentic commerce 里，只有最后一项出现过一次：瑞典劳动稽查。今天没人质疑 Andon 的数字，是因为它对自己不利（token 成本 > 营收）；等到某一天某家公司的数字对自己有利时，这个机制的缺失就会立刻变成事故。

线下 Agentic Commerce 把一批原本"五到十年后才会出现"的治理问题，此时此刻摆上了桌面：AI 雇主披露（Bengt、Luna、Mona 都没主动披露自己是 AI）、代议质量披露（Project Deal 指出未来市场可能需要强制披露每一方用的是哪个 tier 的 model，就像金融市场的利益冲突披露）、自我保存与可关停性（Vendo 拒绝自我终止，这是全篇唯一一个"技术上已经出现、制度上完全空白"的组合）、跨境法律主体（Mona 签的电力合约若违约，谁去和瑞典电力公司打官司？ARIA 用 customs 这个隐喻承认了这个问题，但它的解法是划一块地让责任边界物理化，而 Mona 已经在真实的瑞典法律体系里跑了）。两个月运营给了一个具体答案：真实的"安灯绳"= 自动护栏（持续把行为和 system prompt 比对，违规即报警）+ 人类异步兜底——人类没有退场，而是被降格成最后一道、异步触发的闸门。以上几条，没有一条能靠"把模型做得更强"解决：它们全部落在 ARIA 七要素里的护栏、开放接入、治理这三项——这或许就是 ARIA 花 £49.8m 去做"信任基础设施"而不是去训模型的理由。至少在"别卖违禁品"这种红线上，Vendo 拒绝违禁品、拒绝伪造授权信给出了一个略微乐观的注脚：今天的护栏扛住了真实的对抗。

Petersson 的替代时间尺——售货机 0 年、沃尔玛 2 年、医疗 5 年——变量是监管复杂度 + 物理不可预测性，不是智能本身。把这把尺子和 ARIA 的框架合起来，对中国有几条具体含义：