香港给Agent立规矩

2026年11月2日香港金管局发布《银行业代理式AI治理讨论文件》，正式给银行里的AI Agent立规矩。

核心原则是意图锚定问责制：Agent只能在批准的业务意图内行动，问责永远留在银行内部指定的人，不被供应商或技术组件分散。

必须有急停机制（kill switch）：能快速停止任务、撤销凭证、断连外部工具、暂停外发通信、激活回退、保留日志。

五个治理要素：意图锚定问责、生命周期治理、风险整合的Agent harness、人类监督与有效干预、可追溯性。

外部Agent代客户操作时，银行要认证Agent身份、验证授权范围、支持及时暂停或撤销。反馈截止2027年2月1日。

一、文件背景

1. HKMA的ART框架：2026年10月香港金管局推出负责任AI采用框架，三大原则——问责（Accountability）、韧性（Resilience）、信任（Trust）。
2. 从概念到讨论文件：10月先发了概念文件，11月2日正式发布讨论文件，征求行业意见。这不是最终监管要求，是讨论阶段。
3. Agentic AI的新风险：AI从分析辅助走向自主规划、协调、执行多步任务。新风险包括：问责模糊、意外操作、数据泄露、财务损失、运营中断、网络威胁、事故无法识别和恢复。
4. 风险为本原则：治理强度要反映用例重要性、自主程度、委托权限、数据/工具/系统访问、Agent工作流复杂度、对客户和金融系统的影响、操作可逆性。

二、意图锚定问责制

1. 核心思想：Agent的行动、自主范围、委托权限，都要连接到一个明确的业务意图。问责留在银行内部的指定人或业务职能，不被开发商、供应商、平台、风控部门分散。
2. 业务意图文档化：Agent上线前，银行必须记录：业务目标、授权任务和决策、权限范围和限制、可访问的数据/工具/系统、可流出的数据、交易/风险/运营限额、禁止或需升级的活动、受影响客户、预期人类监督程度、何时应审查或暂停Agent。
3. 一个用例一个负责人：每个Agentic AI用例或部署必须有一个指定的问责负责人。复杂部署还要指定技术和控制角色，但不转移最终问责。
4. 审批不等于监督：HKMA明确说，正式审批步骤本身不构成有意义的人类监督。审批人必须看到行动实质、有能力质疑或拒绝、拒绝是合理选项、有足够时间做知情决定。当行动量超过审批人能力时，银行不能把"有审批步骤"当有效控制。

三、急停机制（Kill Switch）

1. 必须能做到：停止任务执行、撤销访问或凭证、断连外部工具或系统、暂停外发通信、激活回退流程、保留相关日志和证据。
2. 不依赖第三方：急停机制必须在供应商、平台或其他第三方组件出问题时仍能操作。银行不能因为供应商宕机而停不了Agent。
3. 定期演练：银行要按风险和变更频率定期测试急停机制——不只测能不能触发，还要测多久生效、在途操作怎么处理、回退能不能维持关键业务连续。
4. 实际测试：HKMA的标准是——银行能不能证明自己能刻意停止或约束部署并维持业务连续。如果不能，纸面上的机制再好也不算数。

四、Agent身份问题

1. 身份断裂：传统身份和权限控制是围绕人类用户和明确系统账户设计的。当Agent用共享、继承或借用账户时，行动和授权人之间的联系会减弱或丢失，事后无法重建。这破坏了认证、授权、不可否认性。
2. 外部Agent认证：外部Agent代客户或对手方操作时，银行要：认证Agent身份、连接到相关委托方、按定义的限额验证指令、支持及时暂停或撤销。银行自己的边界控制和客户保护义务继续适用。
3. AI监督AI：HKMA提出可以用"AI vs AI"扩展监督能力——AI系统辅助监控其他AI系统、识别异常模式、测试输出、优先处理例外。但AI监督只能增强，不能替代人类问责和干预。

五、对中国银行的启示

1. 意图锚定是好思路：不要问"Agent有多聪明"，要问"Agent被授权做什么"。银行给每个Agent写一份业务意图文档，明确权限边界，这是最基本的治理动作。
2. 急停机制是硬要求：你的AI Agent能不能在10秒内停下来？如果不能，治理就是纸面上的。银行要演练急停，不能只在PPT里写。
3. 外部Agent准入是未来问题：香港讨论文件专门问了外部Agent代客操作的认证问题。中国银行未来也会遇到客户用外部AI助手管理账户的情况（参考本站"银行开始封AI助手"那篇），提前设计Agent身份认证框架。
4. 不要把审批当监督：HKMA明确说了——审批步骤本身不构成有效监督。银行常见的"每个Agent操作都要人工审批"如果审批人根本看不过来，就是假控制。
5. 反馈窗口：2027年2月1日截止，中国银行可以通过香港的行业渠道参与讨论，影响最终规则。

六、三个冷静判断

1. 这是讨论文件，不是最终规则：HKMA明确说这不是约束性监管要求，是征求意见。但方向已经很清楚——意图锚定、急停、可追溯是必选项。
2. 和美国银行的做法呼应：香港从监管侧要求急停和身份认证，美国银行从业务侧封锁外部Agent碰账户。两地方向一致：Agent可以用，但权限要清晰、能停、能追溯。
3. 中国银行不会照搬香港框架：但意图锚定问责、急停演练、外部Agent认证这三个要素，中国银行迟早要面对。提前准备比等监管来问更主动。

结语

香港金管局这份讨论文件最有价值的不是技术细节，而是一个原则：当软件能自主行动时，问责不能被技术分散。Agent再聪明，它背后必须有一个明确的银行人对结果负责。急停机制、意图文档、外部Agent认证——这些不是为了限制创新，而是让银行敢让Agent去做更复杂的事。对中国银行来说，这份文件是一面镜子：你的AI Agent，能在10秒内停下来吗？

（口径说明：事实来自HKMA 2026年11月2日讨论文件PDF；银行场景映射为作者分析。）