30天征询意见，讨论可自主行动的AI安全保障措施
台湾金融监督管理委员会（FSC）于2026年10月13日启动为期30天的公开征询，提议为能够连接、操作或触发金融机构运营系统的人工智能智能体制定安全保障措施。提案设定了L1至L4四个风险等级，并提出，最高风险操作应要求必要的授权、审查或阻止执行机制。
目录
这份名为《金融业安全使用智能体AI咨询文件》的文件发布之际，相关技术尚未得到广泛部署。金管会信息管理处处长林宇泰表示，大多数金融机构仍在进行实验或受控环境下的小规模试点。他说，他尚未听说有机构将这类智能体投入实际业务运营。
金管会最关注的是AI从生成信息转向采取行动这一变化。总结客户投诉的助手，与能够调取机密记录、修改系统信息或直接向客户发送回复的助手，带来的安全问题并不相同。
因此，此次征询重点关注权限和问责，而非仅仅关注模型准确性。机构需要确定智能体可以访问哪些信息、使用哪些工具、执行哪些操作，以及出现问题时员工如何叫停或接管。
这份文件不是新的法规或正式指引，也不取代现行法律、监管要求、外包规则或内部控制。金管会希望此次征询能为后续指引提供依据，但尚未为这一步骤设定时间表。
为何系统操作权限会改变风险
智能体AI能够规划步骤、调用软件工具并跨系统检索信息，以完成任务。这使它有别于主要为人生成答案、由人评估的对话式应用。当错误答案可能直接转化为实际操作时，安全问题就变得更加紧迫。
林宇泰指出了四项主要风险：智能体偏离预定目标、滥用工具或超越权限、泄露敏感信息，以及错误沿着一连串操作扩散。这些风险可能相互叠加。例如，智能体可能调取不应使用的信息，将其写入消息，然后把消息发送到机构外部。
AI幻觉，即看似合理但实际错误的输出，仍是一个隐患。林宇泰举例说，智能体可能将个人信息放入不应包含这类信息的外部邮件中。这只是对可能故障情形的说明，并非披露金融机构发生过此类事件。
速度也会改变潜在影响范围。林宇泰对比说，一个人每小时或许能处理一个案例，而智能体则可能处理100个。这个例子表示处理量可能相差100倍，并非经测量得出的生产力结果。他想说明的是，员工介入前，自动化错误可能已扩散到许多案例。
管理任务，而不仅是管理技术
这份咨询文件围绕三个方面提出建议：安全治理、风险分类和安全控制。文件倾向于以应用场景作为管理单位，也就是机构希望智能体执行的具体任务，而不是将AI产品孤立看待。
对于每个场景，机构都应明确业务目的、负责人员、允许使用的数据、可用工具和获准执行的操作。机构还应确定输出可能发送或写入的位置，以及智能体行为异常时的处置方式。
这种做法意味着，同一款软件会因其用途不同而受到不同控制。仅分析安全信息、不采取行动的智能体，与获准修改运营系统的智能体并不相同。因此，权限变化可能与底层模型变化同样重要。
治理不应止于初次审批。提案要求根据风险采取相应的审查、监测、检查、能力限制、暂停和恢复机制。风险分类应为审批门槛、试点条件、部署决策和后续监管提供依据，并在应用发生变化时重新评估。
四个风险等级，依据三个维度评估
提议的L1至L4分类采用三个维度：数据敏感度、操作影响，以及能力边界或影响扩散的可能性。评估以较高风险结果为准，不允许较低风险特征抵消更危险的因素。
数据敏感度关注智能体能够看到什么。访问公开信息与访问个人记录或商业机密并不相同。操作影响关注智能体能利用这些信息做什么，从读取信息到修改记录或向机构外部发送信息，风险各异。
第三个维度考察活动的范围和影响程度。仅限于单项任务的智能体，与能够批量处理、全天候运行或连续执行多个关联步骤的智能体并不相同。小错误可能演变为更大的运营问题，这种可能性也纳入了评估。
对于L4应用，提案将禁止高风险操作在缺少必要授权、审查或阻止机制的情况下自动执行。较低风险的应用仍可开展试点。金管会表示，其做法以风险、比例原则和技术中立为基础，并参考国际安全框架。
客户服务场景说明权限为何重要
林宇泰举出的客户服务案例提供了一个实际对比。收集投诉并准备摘要的智能体属于低至中等风险范围。如果它还能向客户发送回复，他则将其归为中高风险，因为它可以对机构外部采取行动。
两种应用的区别并不只是它们都使用了AI。第一种情况下，员工可以先审阅摘要，再决定是否让其影响客户。第二种情况下，智能体可以把自己的理解直接转化为对外沟通。发送消息的权限会改变错误所造成的后果。
写入信息的权限也构成另一条界线。仅限读取的智能体无法凭借这项权限修改原始记录。一旦允许写入，错误就可能修改或删除信息。因此，控制措施既要处理输出质量，也要保障其所接触系统的完整性。
这个例子也说明，为机构的整个AI计划设定一个统一标签并不合适。同一智能体的两种用途，可能需要不同的审批条件、监测方式和恢复安排，因为它们的数据访问权限和获准操作有所不同。
数字员工仍需要人类主管
林宇泰将AI智能体称为数字员工，因为它能够主动推进任务。这个比喻不仅意味着为智能体分配职责：机构还必须决定它可以做什么、在部署前对其进行测试、监督其活动，并制定停止其工作的程序。
谈及部署责任时，林宇泰明确表示，将任务交给智能体并不会免除人类的责任。英文翻译如下：
AI只能充当助手；人类才是最终监督者。
这一原则要求相关人员界定智能体的权限，并在发生故障时作出响应。不能因为涉及AI智能体，就绕过现有安全控制。机构既需要明确负责的人类决策者，也需要通过技术手段落实其批准的限制。
金管会关注的范围比所有员工使用AI的情形更窄。在个人现有权限范围内运行的个人助手，可以通过现有内部控制和安全安排进行管理。而将智能体接入金融机构运营系统，则需要重新评估风险和信息安全。
身份和访问控制同样适用于智能体
安全提案将智能体视为非人类身份和软件工作负载。实际而言，机构需要知道哪个智能体正在执行操作，以及适用于它的权限是什么。其活动不应与无关用户或其他自动化流程混为一谈。
这种做法借鉴了零信任原则：不能仅因系统位于组织内部，就默认访问安全。必须核验身份和权限，将访问限制在任务所需范围内，并确保操作可追溯。
控制措施涵盖身份、设备和执行环境、网络、应用程序和工作负载，以及数据保护。提案包括基础和高级安全要求与控制目标；行为控制、可见性和分析也属于整体措施的一部分。
林宇泰概述了几项具体措施。智能体应在适当隔离的环境中运行，网络连接应根据任务加以限制，工具则应限定在获批清单内。数据访问应遵循最小必要原则。这些措施针对智能体可能超出预定职责的不同途径，而不是仅仅依赖对模型的指令。
测试必须覆盖整个工作流程中的故障情形
对于能够推进工作流程的应用，咨询文件要求在部署前测试其应对提示注入、工具滥用、权限继承和记忆污染的能力。这些测试旨在考察智能体遇到可能使其偏离获批任务的信息、工具或权限时会如何表现。
提示注入是指智能体读取的材料中隐藏了试图改变其行为的指令。工具滥用指不当使用已连接的软件。权限继承可能使智能体获得从其他账户或流程沿用而来的访问权限；记忆污染则指存储的信息以非预期的方式影响后续活动。
运营目标不仅是防止故障。系统还应当具备可观察性，能够受到限制或被停止，可以恢复，并且可追溯。员工需要了解智能体正在做什么，能够中断有害活动，并在可能的情况下恢复受影响的运营。
智能体活动记录应支持调查和审计。如果智能体已经写入错误信息或触发后续操作，仅仅将其停止可能无法解决故障。因此，提案将中断机制与恢复措施以及事件记录结合起来。
目前是征询意见，而非最终部署规则
金管会将文件发布在台湾公共政策网络参与平台的公共讨论专区。金管会表示，征询意见有助于将实践经验纳入框架，并为政策工作、可能出台的指引和监管讨论提供依据。
林宇泰表示，技术快速变化是暂不立即发布固定指引的原因之一。金管会也无法假定已识别出所有相关风险。因此，推动制定指引的意向取决于反馈和后续发展，并不意味着承诺在某个指定日期发布最终文件。
金管会介绍的时间安排如下：
- 2026年7月：金管会提出应对AI攻击的策略，林宇泰称其为当前工作的前期准备。
- 2026年10月13日：金管会发布智能体AI安全咨询文件。
- 文件发布后：为期30天的公开征询期，公众可就提议的做法提交意见。
- 征询结束后：是否发布正式指引，将取决于反馈和技术发展；目前尚未公布发布时间表。
目前的试点有助于解释为何此时启动征询。林宇泰表示，许多实验都在网络安全领域开展，例如分析安全情报，但不直接采取运营行动。金管会希望在智能体进一步进入行政和业务流程前准备好相关保障措施。下一步的具体工作是征询意见；至于最终指引的措辞和形式，仍未确定。
要点
- 台湾金管会于2026年10月13日启动为期30天的征询，讨论金融业安全使用智能体AI。
- 重点是能够连接、操作或触发金融机构运营系统的智能体。
- 提案采用四个风险等级，从数据敏感度、操作影响和能力边界三个维度进行评估。
- 最高风险操作需要必要的授权、审查或阻止执行机制。
- 机构应限制权限、留存活动记录，并具备停止智能体和从故障中恢复的能力。
- 即使由AI智能体执行任务，人类仍须承担责任。
- 目前大多数应用仍处于实验阶段。这份文件并非正式指引，也尚未设定发布时间表。
