银行能停掉智能体吗

监管对银行 AI 的追问，正在从“你用了多少智能体”，变成一个更尖锐的问题：如果它明天越权行事，你多久能发现、谁能把它停下来、能不能向监管和法庭还原全过程。

2026 年 10 月 13 日路透社独家报道，美联储、货币监理署（OCC）和联邦存款保险公司（FDIC）向大中小银行密集问询，核心之一就是银行能否追踪、审计自主智能体的决策，以及如何关停这些系统。

这并非新规，而是“信息收集”：监管尚未开处方，却已经把“可关停、可审计、可约束、可恢复”列为例行检查的必答题，且每次检查都要谈 AI。

软肋恰恰在“关停”：一项 230 名美国银行从业者的调查显示，约三分之一的人把“模型关停开关”列为 AI 事件响应中最没准备好的环节。

这提示银行：智能体治理的重心，正从“能不能上”转向“出了事停不停得下、说得清、兜得住”。

一、监管新考题：关停、还原与兜底

1. 路透社报道定性：据六名知情人士透露，三家机构正在以书面和口头方式向银行提问，性质是信息收集而非新的强制要求，监管机构拒绝公开置评。
2. 考题的三个层次：一是权限，即智能体被限制在什么范围、什么把它挡在权限之外；二是可还原，即它的决策能否被追踪和审计；三是可兜底，即关键决策是否有人参与、系统如何被关停、关键服务能否继续。
3. 一句话概括：正如有评论所言，监管想知道银行能否证明智能体的权限是受限的、决策是可重建的，以及当模型、云服务商或控制面失效时关键业务能否照常运行。
4. 智能体放大了传统风险：一个在错误数据上、或在脆弱系统内行动的智能体，可能在人发现之前把同一个错误重复成千上万次，这是它与传统模型最大的不同。
5. 这次问的是“银行自己的智能体”：与此前银行封堵第三方智能体登录客户账户不同，本轮问询聚焦银行内部署、用于经营的智能体，属于模型与操作风险的内部治理。

二、监管具体在问什么

1. 限制与边界：对 AI 系统设定了哪些使用限制，智能体被授权能做什么、不能做什么。
2. 监控与审批：谁在监控这些系统，谁来批准其动作，关键环节是否保留人工。
3. 追踪与审计：银行能否追踪、还原智能体作出的每一个决策及其依据。
4. 越权约束：到底是什么机制把智能体约束在权限之内，防止它自行扩张行动范围。
5. 人在回路：在重要决策中，人是否仍然参与，而不是完全交由系统。
6. 关停能力：一旦自主系统失控，银行如何、由谁、在多长时间内把它停下来。
7. 其他敏感问题：是否部署中国开发的技术、是否在网络防御中使用 AI 智能体；据报道，OCC 与美联储还在例行检查中要求银行梳理商业贷款、客户尽职调查、制裁筛查、反欺诈等高风险领域的 AI 使用。

三、规则真空：SR 26-2 为何把智能体排除在外

1. 新指引出台：2026 年 4 月 17 日，美联储、OCC、FDIC 以 SR 26-2 取代了 2011 年经典的模型风险管理指引 SR 11-7。
2. 明确排除：新指引脚注写明，生成式 AI 与智能体 AI“新颖且快速演进”，“不在本指引范围内”；其原则仍适用于传统统计、量化模型以及非生成式、非智能体 AI。
3. 非约束性质：新指引定位为信息性文件，不设可强制执行的标准或硬性要求，不合规本身不直接招致监管批评，但模型风险管理不足导致违法或不安全、不稳健经营，仍可能触发监管行动。
4. 适用门槛：美联储表示该指引对总资产超过 300 亿美元的银行机构影响最大。
5. 监管的自我解释：美联储负责监管的副主席鲍曼表示，旧指引被扩张到超出初衷，新版收窄到传统模型和基础 AI 应用，生成式与智能体 AI 则由“其他风险管理与治理实践”支撑。
6. 留下的缺口：三机构在 4 月称将“在近期”发布一份关于模型风险管理及银行 AI 使用（含生成式与智能体 AI）的信息征询，但截至 10 月 24 日，该征询尚未出现在联邦公报上；本轮现场问询，正是在正式规则空窗期的监管补位。

四、“关停”为什么是软肋

1. 关停能力不足：威科（Wolters Kluwer）4 月对 230 名美国银行从业者的调查显示，34% 即约三分之一的人把“模型关停开关协议”列为 AI 事件响应中准备最薄弱的环节；38% 选择 AI 故障的监管报告，需注意这是“最没准备好的单一领域”的比例，不代表约七成银行没有关停开关。
2. 遗留系统设了天花板：Bank Director 2026 年技术调查（136 名千亿美元资产以下银行高管）显示，69% 把“新技术与现有系统集成”列为首要技术关切；有技术项目未达预期的银行中，58% 归因于集成困难。
3. 现代化压力上升：毕马威 2026 年银行技术调查（200 名美国银行高管，6 月发布）显示，71% 认为产品上市需要先做平台现代化，较 2025 年的 46% 明显上升，核心银行平台、数据架构与集成被列为最大技术整合风险。
4. 懂行的人太少：Bank Director 2026 年风险调查（257 名高管）中，三分之一的人坦言“完全不了解智能体 AI”；小型社区银行同样反映内部专业力量有限。
5. 数据是底层约束：威科调查中 36% 把模型治理与验证、26% 把数据质量与隐私列为安全扩规的最大挑战，37% 认为外部数据依赖是带来最高系统性风险的结构性依赖。
6. 采用面已经铺开：同一份技术调查中，72% 的银行已实施生成式 AI，30% 已使用智能体 AI，88% 已起草 AI 可接受使用政策——纸面政策与可执行的关停程序之间，差距明显。

五、智能体日志：从监管记录到法庭证据

1. 可审计是硬要求：监管想看到的记录，是智能体在什么数据上、在谁的批准下做了什么，这要求银行具备完整、可还原的决策与操作日志。
2. 日志也是证据：智能体写下的日志属于电子存储信息，可被法院依《联邦民事诉讼规则》第 34 条要求调取，是否提交还受第 26 条相关性与比例原则约束。
3. 供应商日志同样关键：第 34 条覆盖当事人“占有、保管或控制”的材料，因此银行能否从供应商处取回日志，往往取决于合同条款，这在监管检查与诉讼 Discovery 中同等重要。
4. 日志丢失有后果：第 37(e) 条规定，应保全的电子信息因未采取合理措施而丢失，可能被责令补救，严重情形下可作出不利推定乃至缺席判决。
5. 已有司法先例：2025 年 5 月，在《纽约时报》诉 OpenAI 案中，法官曾命令 OpenAI 保全原本会被删除的输出日志，即使用户要求删除或出于隐私考虑；该持续义务后于 2025 年 9 月依协议终止。这说明 AI 日志的保全义务可以压过删除请求。
6. 监管的隐含指向：智能体的“黑盒”不再是免责理由，银行必须把日志、数据血缘、审批链条做成可被检查、可被法庭采信的证据链。

六、可关停的技术骨架

1. 智能体台账：建立全量清单，记录每个智能体的用途、可触达的系统、权限边界、责任部门与停用流程，这是所有控制的前提。
2. 分级熔断开关：把“关停”做成动作级、会话级、系统级多层开关——单个高危动作可拦截、单个会话可终止、单个智能体或集群可整体下线，避免一个总开关要么过松、要么全停。
3. 最小权限与动作白名单：智能体默认只能调用授权工具与动作，资金类、配置类高危动作设为白名单加二次确认，从设计上限制其“越权半径”。
4. 人在关键决策：按风险等级设置基于风险的触发条件，明确哪些动作必须经人工批准，且不可用“不再询问”永久豁免。
5. 独立控制面：审批、熔断、策略执行应在工作模型之外独立运行，使网页中的隐藏指令无法干预放行判断，这与前面提到的“凭据不进模型”是同一思路。
6. 可观测与可回放：对提示、工具调用、外部数据、决策与执行结果全链路留痕，支持事后回放、根因定位与责任认定。
7. 演练过的关停与恢复：关停程序必须定期演练，明确响应时限、责任人与业务连续性方案，证明“停得下、起得来、关键业务不中断”。
8. 影子运行与速率限制：高风险智能体先在影子模式观察，上线后限制执行频率与批量规模，防止一次错误被高速放大。

七、国际同步：FSB 与欧洲的恢复计划

1. FSB 十二项实践：2026 年 10 月 15 日，金融稳定理事会发布《负责任采用人工智能的稳健实践》最终报告，提出十二项实践，涵盖董事会责任、全生命周期风险管理、网络风险缓解与第三方监督。
2. 人工监督是核心：第 10 项实践要求金融机构按 AI 用途的重要性、风险、自主性、复杂性和可解释性，配置适当有效的人工监督；据报道，相比 6 月征求意见稿，终稿强化了智能体 AI 部分，要求设置清晰的风险触发器，明确哪些动作必须先经人工批准。
3. 工具箱而非硬标准：FSB 明确这是可按机构规模、商业模式与风险状况调整的灵活工具箱，不是最低标准或强制性法规。
4. 欧洲盯恢复与网络风险：同一时段，英格兰银行、欧洲央行等敦促银行完善恢复计划，以应对 AI 驱动的网络攻击；据报道，欧央行要求银行在 10 月底前完成 AI 网络威胁的相关规划。
5. 共同信号：全球主要金融监管者都在把智能体治理的焦点从“准不准”推向“停不停得下、扛不扛得住、查不查得清”。

八、中国对照：准入、备案与团体标准

1. 顶层意见：2026 年 6 月，国家金融监督管理总局印发《关于银行业保险业人工智能安全开发应用的指导意见》，推动金融 AI 安全开发与应用，强调安全、公平、可控。
2. 地方落地：上海金融监管局 9 月印发《推动上海银行业保险业人工智能应用的若干措施》，提出建立人工智能高风险应用场景准入控制机制，经风险管理委员会批准后实施，并要求对面向公众的生成式模型按规定备案或登记，覆盖自研、微调、私有化部署和 API 调用。
3. 团体标准：北京金融科技产业联盟 8 月发布《智能体技术金融应用安全要求》（T/BFIA 070-2026），明确第三方智能体操作金融应用界面须获得授权，由国有大行、银联等机构参与制定。
4. 与美国的呼应：尽管监管路径不同，中美欧都在回答同一组问题——高风险场景如何准入、智能体的权限如何约束、关键动作如何让人把关、失控时如何停。
5. 对中资银行的提示：国内机构在落实备案、准入与授权要求的同时，同样应把“可关停、可审计、可恢复”作为智能体上线的硬性验收项，而非事后补丁。

九、给银行的落地清单

1. 对全行智能体开展一次盘点，形成含用途、系统、权限、责任人、停用方式的台账并动态更新。
2. 建立分级熔断与紧急停用机制，明确动作、会话、系统三级开关和响应时限。
3. 定期演练智能体失控、模型或云服务故障、数据污染等情景，验证关停与恢复的有效性。
4. 为每个智能体设置权限边界、动作白名单和高危动作人工审批，禁止永久豁免。
5. 建设独立于模型的策略与审批控制面，防止外部提示影响放行决策。
6. 打通决策日志、数据血缘与审批留痕，做到可回放、可追责，并纳入证据保全管理。
7. 与模型、云、核心系统供应商在合同中明确日志导出、模型来源、停机配合与事件通报义务。
8. 把智能体纳入操作风险、业务连续性和网络安全框架，评估对遗留系统与外部数据的依赖。
9. 面向董事会、高管和一线开展分层培训，补齐“不懂智能体”的认知短板，并设置可量化的关停与审计指标。
10. 主动对接监管检查与信息征询，建立能说明“权限受限、决策可还原、服务可延续”的应答材料。

结语

当智能体开始在放贷、尽调、反欺诈和支付这些真实业务里连续动作，监管最关心的不再是模型有多聪明，而是它是否“可被驾驭”。关停开关看似是一个技术按钮，背后其实是一整套能力：权限是否受限、日志是否可还原、关键服务是否可延续、责任是否能落到人。纸面的 AI 政策不等于可执行的关停程序，写在制度里的“有人负责”也不等于出事时真的有人能在几分钟内叫停。 对银行而言，最稳妥的姿态是把“明天就有一个智能体越权”当作必然发生的演练假设——先回答清楚“多久发现、谁能停、怎样兜底、如何还原”，再决定让它碰多少业务。监管的问询会变成规则，但在那之前，能把智能体停下、说清、兜住的银行，才真正拥有大规模使用智能体的底气。

（口径说明：本文监管问询内容依据路透社 2026 年 10 月 13 日独家报道，信息来自六名知情人士，定性为信息收集而非新规，三家机构当时拒绝公开置评；相关模型风险信息征询截至 10 月 24 日尚未在联邦公报发布。SR 26-2 为非约束性信息指引，适用范围、门槛与措辞以美联储官方文件为准。调查数据来自威科、Bank Director、毕马威、American Banker 与 i2c、Wolf 等机构不同样本量、不同赞助方的调查，已分别注明时间与口径，百分比反映受访者主观感受，不代表全行业事实。FSB 十二项实践为非约束性工具箱。中国监管文件以国家金融监督管理总局和北京金融科技产业联盟官方发布为准。本文为行业与风险管理分析，不构成法律或投资建议。）