一句话定义：开放银行（Open Banking）是指在用户授权下，银行通过标准接口把账户数据开放给第三方的一种机制；账户聚合（Account Aggregation）则是把分散在多家银行、信用卡、券商、支付工具里的账户拼成一张统一视图的技术与商业层。
打个比方：过去每家银行像一座独立仓库，你的流水锁在里面，钥匙只有你有。开放银行相当于在仓库外装了一扇统一的“授权门”：你不用交出钥匙，而是签一张通行证，上面写着“只准看货架、不准搬东西、七天后失效、随时可作废”。第三方拿着通行证进来抄货单，出去后通行证一撕，门就关了。
账户聚合层在中间做什么：银行通常不会让每个 App 直连自己的核心系统。中间一般有一层聚合商（aggregator），或者监管规定的标准 API。它负责对接成百上千家机构，把格式各异的流水清洗成统一字段——商户名、金额、时间、类别——再交给上层的记账 App、信贷风控模型，或者像 Claude 这样支持绑定账户的 AI 助手。你在对话框里问“我上个月订阅花超了吗”，背后就是这层在跑。具体支持哪些机构、哪些地区，以产品官方页面为准。
关键在令牌，不在密码：整个流程走的是 OAuth 授权，你拿到的是访问令牌（access token），而且申请的是只读范围（read-only scopes）——比如“读取余额与交易明细”，但不含“发起转账”。令牌有有效期，你可以在银行侧或聚合商侧随时撤销授权（revoke），撤销后数据流立刻断掉。交出密码等于复制一把家门钥匙；令牌授权等于给一张写着“只能进客厅、限时、可作废”的门禁卡。
| 维度 | 开放银行、账户聚合 | 屏幕抓取（screen scraping） |
|---|---|---|
| 凭证 | OAuth 令牌，不接触密码 | 常需保存用户名密码 |
| 数据范围 | 按 scope 精确限定 | 页面有什么就能抓什么 |
| 撤销 | 一键撤销，立即生效 | 只能改密码“硬断” |
| 稳定性 | 标准接口，较稳定 | 页面改版即失效 |
对 AI 助手意味着什么：它能做的是读——分类账单、揪出“订阅黑洞”、算现金流、提醒异常扣款、给预算建议。它不该做的是写——替你转账、改账户设置、越权读取与你无关的数据，或把明细转卖给第三方。合规上通常围绕几条硬线：目的限制（收了数据只能用于你同意的用途）、最小必要（能只读就不申请写权限）、同意可撤回、留存有期限。各地规则不同，欧洲有 PSD2、英国有 Open Banking 体系、印度有账户聚合框架、美国更多依赖市场化聚合商，落地时以监管与产品官方说明为准。
对做 AI 产品的人，一句话总结：把“只读、最小范围、可撤销”当作设计红线，永远别向用户要银行密码。