把代理 AI 当“数字员工”管：台湾金管会《金融业运用代理AI安全咨询文件》逐章解读——三轴分级、59 项零信任控制与五个“可”

台湾金管会 2026 年 10 月 13 日发布《金融业运用代理AI安全咨询文件》，全文 45 页，公开征询意见 30 天；它不取代现行法令和内控要求，未来会朝指引方向推进，但尚无时间表。

文件只管“会动手”的代理：能介接、操作、异动或触发金融机构营运系统的代理 AI；在使用者既有权限内做整理、草拟、摘要的个人 AI 助理不在逐项适用之列。

风险分级看三条轴——资料敏感度、动作影响、能力边界／可扩散性，分 L1 至 L4，“就高不就低”，且风险等级不因控制措施已建置而降低。

控制部分以零信任为骨架，分七个面向、59 项控制（28 项基本、31 项进阶），每个面向都要做到可观测、可限制、可阻断、可复原、可回溯。

在本站解读过的金融监管文件中，这是工程颗粒度最细的一份智能体安全文件：它直接写到了 MCP Server、技能签章、权杖重放、断路器和 13 条 SOC 监控规则。

素材说明：本文以金管会官网发布的咨询文件全文 PDF（来源2）为主要依据，逐章通读；发布背景和官员说明来自金管会新闻稿（来源1）与媒体报道（来源4、5）。原文为繁体中文，本文引用时转为简体并保留原有术语（如“应用场景”“非人类身分”）。凡来源事实，标注章节或附录编号；凡作者归纳、对照与银行建议，标注“本文分析”。

>

延伸阅读：本站此前已解读 FSB 12 条稳健实践与香港 ART 框架 和 新加坡 MAS《人工智能风险管理指引》，本文第八节将三者对照。

一、发布背景：33 家已在用，监管选择“超前部署”

两天后（10 月 15 日）金管会公布的年度调查给出了背景：受访 383 家金融机构及周边单位中，164 家已导入 AI（43%），其中本地银行导入比例 87%；本次新增调查代理式 AI，有 33 家业者已在使用，主要用于资料搜集、研究报告撰写和程序代码检核等内部作业，仍处于发展初期（来源3）。同一新闻稿提到，台湾地区“人工智能基本法”已于 2026 年 1 月施行，金管会正依其第 16 条盘点金融业 AI 应用场景与风险。

金管会资讯服务处处长林裕泰在发布时说，目前金融业的代理 AI 多在试验阶段，尚未真正进入营运系统，但“未来 AI 嵌入行政及业务流程是迟早的事”，因此从资安角度先行部署（来源4、5）。他对代理 AI 的定位是“数字员工”：不能只看模型准确度，更要看它具备哪些权限，“它拿什么样的钥匙、可以开什么样的门”（来源4）。

二、文件结构与适用范围

全文由摘要、六章和四个附录组成（来源2）：

适用范围写在卷首：主要适用于可介接、操作、异动或触发金融机构营运系统的代理 AI。仅供个人办公或开发辅助、且在使用者既有权限边界内运作的个人 AI 助理，可依既有内控与资安机制办理，无须逐项参考本文件；但一旦它能自主调用工具、跨系统取用资料、对外传送、写入系统或触发正式作业流程，就要重新评估是否纳入（来源2，卷首）。

本文分析：这个划界和新加坡 MAS 的“影响测试”思路一致，但切口更直接——不问“出事后果多重”，而问“能不能动手”。对银行而言，这是一条很好操作的分界线：没有写入、外送、触发能力的助理走现有制度，有任何一项就进入本文件框架。

三、六项共同基准原则

摘要部分提出导入代理 AI 的六项共同基准（来源2，摘要）：

1. 衔接既有内控：代理介接营运系统时以补强既有内控为原则，不得绕过原系统的授权、职务分工、交易检核、记录留存、覆核和复原机制。
2. 风险导向导入：按风险分级、系统可控性和自动化程度分阶段导入。
3. 循零信任原则：不因身分已验证、连线已建立或工具可被调用，就推定后续行为可信。
4. 保留人为控制：涉及不可逆、高影响或重大客户权益的动作，保留人工确认或覆核，不宜仅由代理自动执行。
5. 确保可控可追溯：缺乏必要记录、无法停用、无法撤销、无法复原或无法追溯者，不宜正式自动化。
6. 管理第三方与供应链风险：纳入既有委外与供应链治理；第三方能力不足以支持风险管理时，采取补偿控制或限缩使用范围。

摘要还明确提出，金融机构宜通过安全驾驭工程（harness engineering），把代理 AI 的规划、工具调用与跨系统执行能力限制在核准边界内。在本站解读过的金融监管文件中，这是第一份把“harness engineering”写进正文的。

四、安全治理（第三章）：以“应用场景”为管理单位

4.1 六类角色与“责任不随代理转移”

第 3.1 节要求至少覆盖六类角色：业务营运（应用场景所有人）、平台治理／维运、资讯安全／SOC、资料治理／法遵、客户权益／公平待客、内部稽核。文件特别写明：代理 AI 不宜取代法定或内部授权责任人的判断、核可或覆核责任；不宜以代理已产出、建议或执行为由，免除人员的审慎义务、覆核责任、内控责任或客户权益保护义务。

第 3.2 节要求对高风险或有重大业务影响的场景建立高层治理和定期报告，向高阶管理层或董事会报告高风险场景数量与变动、重大例外、阻断与覆核异常、停用和切回人工能力、第三方事件等指标。

4.2 应用场景列管与“能不用就不用”

第 3.3 节要求以应用场景为主要管理单位，掌握其使用的代理、技能、工具、连接器及相互依赖与授权关系；通用型代理工具不能只用工具名称概括列管。第 3.4 节有一条容易被忽略的要求：立案前先确认业务问题和替代方案；如果制度调整、规则系统、流程引擎或 RPA 等较低自主性方式能达成，宜优先采用。

4.3 四个护栏控制点与“失败即拒绝”

第 3.5 节要求在代理任务链路上依序设置四个控制点：

同节规定：政策引擎、闸道、授权或验证服务逾时、不可用或无法给出明确结果时，高风险动作原则上应拒绝、降级或转人工，不应因控制服务失效而直接放行；恢复后还要核对待处理任务和执行状态，避免重复或未授权执行。尚未建成统一控制平面的机构，可用现有 API Gateway、IAM／PAM、DLP／CASB 和变更管理实现等效控制；必要控制不足时，应限于模拟、只读、草稿、预览或人工辅助模式。

4.4 监控与生命周期

第 3.6 节要求在最小必要留存原则下，保留足以还原任务流程、工具调用、资料流向、政策判断、核可和处置结果的稽核轨迹，并把代理越权、工具滥用、异常外送、记忆或知识库污染、行为漂移、连接器异常纳入既有事件分类与通报流程。第 3.7 节把生命周期分为规划与立案、开发与测试、试行与上线、营运监控、变更例外与退场五段；退场时要撤销权限与凭证、移除连接器和目的地、处理记忆、缓存和知识库索引，并确认第三方的留存与删除安排。

五、风险分级（第四章）：三轴、四级、就高不就低

5.1 三轴与判定规则

第 4.1 节规定三步：定义边界、三轴评估、判定等级。三轴分别是资料敏感度、动作影响、能力边界／可扩散性。判定采“就高不就低”：任一轴落在较高等级，即以该等级为场景等级。能力边界要按技能、工具、连接器、代理委派和工作流可形成的最高组合能力判定，不得因为元件分开评估或拆分场景而低估整体流程风险。

L1／L2 原则上适用基本控制，L3／L4 进一步检视进阶要求（第 4.2 节）。

5.2 风险等级不因控制而降低

第 4.4 节写得很清楚：场景风险等级由三轴判定，不因控制措施已建置而降低；控制成熟度只用来判断该等级的场景是否具备上线、提高自动化程度或扩大使用范围的条件。

本文分析：这和 MAS 指引“高重要性控制按固有风险触发”是同一个逻辑，两地监管不约而同堵住了“加了人工复核就降级”的口子。银行设计分级制度时，应把“固有等级”和“控制成熟度”拆成两个字段，分别决定“要做哪些控制”和“能否放开自动化”。

5.3 上线基准与上线前测试清单

第 4.3 节规定，涉及正式流程自动或半自动执行的场景，条件不完备时先采模拟、影子运行、草稿或人员逐项执行。高风险、具流程推进能力或涉及外送、写入、批次、自动重试、跨系统、委派的场景，上线前须完成八类安全测试：提示注入、工具滥用、权限承接、记忆污染、代理间通讯、HITL（人在回路）绕过、异常外送、批次扩散。例外须限于最小范围、明确期间并有补偿控制，且不得造成日志缺漏、绕过目的地管控，或丧失停用、撤销、复原及人工接手能力。

第 4.4 节还要求定期检视“代理漂移”：代理数量、版本、用途、责任人、权限、工具和连接器，避免代理蔓延、测试代理长期留存、旧版代理未退场或权限逐步偏离原核准范围。

六、安全控管（第五章）：七个面向、59 项控制、五个“可”

第五章把代理 AI 视为“具行动能力的非人类身分与工作负载”，沿用台湾金融业既有零信任架构的身分、设备／执行环境、网络、应用与工作负载、资料五个面向，再新增行为控制和可视性与分析两项横向能力（来源2，第五章）。每项控制按“面向序号－项次”编号，分基本控制与进阶要求。

每个面向都以同一组系统可控性目标收尾：可观测、可限制、可阻断、可复原、可回溯。以下挑出对银行最有冲击的几项。

6.1 身分：给代理发“工牌”，但工牌不能继承老板的全部权限

1-3 规定，代理取得权限应以核准场景、任务目的和必要操作为边界，不得仅因使用者已登录，即承接其完整权限或执行超出本次任务的操作。1-5 规定委派须记录委派者、受委派者、目的、范围、期间和核可依据，不得以连续委派扩大原授权范围。1-6 要求人员离职、场景退场或例外到期时一并撤销代理权限、Token 和自动化工作流，避免“孤儿代理”长期持有跨系统权限。进阶的 1-10 要求升权、交易、跨系统委派等动作采用限于本次任务、可随时撤销的短期授权。

6.2 资料：“能搜到”不等于“能取用”

5-1 规定，不得仅因资料已被索引、使用者可搜寻或接口可存取，即推定代理得任意取用。5-2 要求记忆、中间摘要、缓存按用途和客户／案件范围隔离管理。5-7 专门处理代理通过截图、窗口读取等非标准接口取资料的情形：无法按原系统权限限制范围的，应遮罩或停止自动取用。5-8 要求建立污染通报、下架内容、清理记忆、重建索引的流程，并防止污染内容在处理完成前再次被检索。

6.3 行为控制：本文件最有特色的一层

第 5.6 节回答的问题是：即使身分合法、工具核准、资料可取用，这一次具体行为是否仍在边界内。6-2 要求限制工具组合与执行顺序，避免多个低风险能力串接后形成未核准的外送、写入或交易。6-3 要求对批次、重试、递归、委派设上限。6-4 要求执行前依四个控制点综合查验，任一不通过或无法判断时不应放行。进阶的 6-6 提出规划与执行分离：高风险场景不宜由自然语言、模型输出或代理规划直接触发高影响动作，代理产生的 SQL、脚本、参数应先转为可检查的待执行内容，再由受控流程执行。6-7 要求执行前覆核呈现资料来源、差异、目的地和预期影响，并管理覆核者的资格、负荷与质量。

6.4 可视性：连日志自己出问题都要管

7-1 要求以工作阶段 ID、应用场景 ID、代理 ID、事件 ID 和时间戳串联同一任务的记录。第 5.7 节同时提醒：集中监控原则上只留关联信息，不重复保存完整提示、输出或敏感资料，以免监控系统本身成为新的敏感资料集中点。7-4 要求日志中断、字段缺漏或关联失败时告警，7-6 要求监控结果回馈到风险分级、白名单和覆核门槛。

七、附录：从威胁到检核表

附录 A 把 OWASP《Top 10 for Agentic Applications for 2026》的十项风险（ASI01–ASI10）配上金融案例，例如：客服代理读取含隐藏指令的补件文件后改查他人资料（目标劫持）；授信审查代理通过委派或缓存凭证越权查询他人征信（身分与权限滥用）；贷款定价代理把错误利率写入记忆后反复引用（记忆污染）；代理以高信心摘要影响覆核者，使其未查证即核准 AML 处置或付款（人机信任剥削）。

附录 C 给出五个场景的分级示例：

附录 D 提供 20 个字段的场景治理检核表（示例场景为“客服贷款补件正式工单与受控通知代理”，定为 L3）、13 条 SOC 监控规则（如 MON-01 跨客户异常查询、MON-05 异常工具链、MON-10 HITL 覆核质量异常、MON-13 权杖重放）、例外管理模板，以及 AIBOM／SBOM 供应链补充字段。其中 MON-10 会在“覆核时间异常短、同一覆核者连续大量通过、退回率异常偏低”时触发，把“人在回路”本身也纳入监控。

八、与 FSB、香港 ART、新加坡 MAS 对照（本文分析）

各地方向一致：给代理身分、按权限分级、保留人工、能随时停下。台湾文件的不同在于把这些原则翻译成了资安团队能直接对照的控制项，并把 harness engineering、MCP、技能供应链这些工程概念写进监管语言。

九、对银行的启示（本文分析）

本节全部为本文分析。

1. 先用“能否动手”做第一道分流。 盘点全行 AI 工具，把有写入、外送、触发能力的代理单列台账，这一步成本低、收益高，也是各地监管共同的起点。
2. 把三轴分级直接搬进立项表。 资料敏感度、动作影响、能力边界三项分别打分，取最高；“固有等级”和“控制成熟度”分两个字段，前者决定控制深度，后者决定能否放开自动化。
3. 代理身分走 IAM，不走个人帐号。 为每个代理建立独立服务身分，禁止继承登录用户的完整权限，委派链要能追溯，离职和下线时连带回收 Token。这是最容易出事、也最容易补的一环。
4. 在代理与核心系统之间放一个政策闸道。 写入、外送、交易类调用一律先过闸道检查；闸道故障时默认拒绝。没有闸道之前，只开放只读、草稿和预览。
5. 规划与执行分离。 代理生成的 SQL、脚本和交易参数先落成“待执行单”，由既有流程或人工放行，而不是让模型输出直接驱动核心系统。
6. 监控覆核质量，而不只是覆核是否发生。 参照 MON-10 统计覆核时长、通过率和退回率，用数据证明人工监督有效。
7. 借咨询期提意见。 金管会明确欢迎附应用场景、风险等级、实务限制和可验证控制效果的意见；在台湾有业务的银行宜利用 30 天窗口反馈实施成本与替代做法。

十、待观察

第一，本文件是咨询文件，最终是否形成指引、何时发布、是否具约束力尚未确定。第二，L1–L4 是示意分级，各机构可调整，行业间口径是否统一有待观察。第三，59 项控制对中小机构负担不轻，咨询结果是否会进一步分层值得关注。

事实来源

1. 金管会新闻稿（2026-10-13）（来源1，官方）：发布时间；三大面向；征询 30 天；不取代现行法令与内控。
2. 《金融业运用代理AI安全咨询文件》全文（来源2，官方，45 页）：适用范围、六项基准原则、第一至第六章、附录 A 至 D 的全部条文与编号。
3. 金管会新闻稿（2026-10-15）（来源3，官方）：383 家受访、164 家导入 AI、本地银行 87%、33 家使用代理式 AI；人工智能基本法 2026 年 1 月施行。
4. 中央社报道（经济日报转载，2026-10-13）（来源4）：林裕泰“数字员工”“钥匙与门”的说明；未来朝指引方向推进但尚无时间表。
5. 经济日报报道（2026-10-14）（来源5）：多在试验阶段的说明；L1–L4 与客服案例的解释。

本文推论部分（非来源表述）：各节“本文分析”段落、第六节表格中“代表性要求”的选取、第八节对照表、第九节全部内容、第十节第二、第三点。“第一份把 harness engineering 写进正文的金融监管文件”为作者在本站已解读文件范围内的判断。

本文不构成监管要求、合规意见或法律意见。

（内容由AI生成，仅供参考）