据 Axios 今早报道，美国各大银行正在发现第三方 AI Agent 在未经银行批准的情况下，直接在客户账户内进行操作。其中一些 Agent 的行为似乎已经超出了用户的指令范围。银行高管向 Axios 形容这一局面“令人恐惧”，而头部放贷机构正在迅速采取行动：Morgan Stanley 已开始屏蔽外部 Agent，JPMorgan、Bank of America 和 Citi 也在对其加以限制。
银行一直清楚一点：通过身份验证不等于获得授权。几十年来，他们围绕这一原则构建了各种控制机制：权限管理、交易限额、升级验证、欺诈监控。但这些控制机制都是为“人”设计的。它们默认登录的人就是操作的人，而且这个人的操作速度是“人类速度”。
AI Agent 打破了这两个前提。许多 Agent 使用客户主动交出的凭证登录，然后在客户的会话中，以与客户完全相同的权限进行操作。而且它们全天候运行，速度是机器级的。
现有的控制机制只问一个问题：客户是否被允许做这件事。当坐在键盘前的是真人时，这就够了：发出请求的人和执行操作的人是同一个。但换成 Agent 后，控制机制就必须面对第二个它从未被设计去回答的问题：这真的是客户要求做的吗？很多时候，银行只有在事后才会发现真相。
这就是漏洞所在。控制机制并没有失效，它们只是无法可靠地区分客户本人，和那个拿着客户密码的软件。
屏蔽 Agent，或将其限制为只读访问，是合理的第一步。但这不能是最后一步。银行高管告诉 Axios，他们知道客户会继续使用这些 Agent，而行业领袖们已经在提出正确的问题。Bank of America 首席执行官 Brian Moynihan 曾表示，资金转出账户必须经过人工审批，他的银行正在制定相关协议，明确 Agent 如何与账户交互，以及当 Agent 授权一笔付款时由谁承担责任。而现在正在屏蔽外部 Agent 的 Morgan Stanley，曾在 6 月宣布，将允许企业客户的 Agent 通过官方认可的渠道接入其股票计划平台。
这并不矛盾，这正是未来的模式。问题不在于要不要让 Agent 进来，而在于它们走哪扇门，以及进门之后能做什么。银行以前就做过类似的事——把数据聚合服务商从直接使用客户密码，迁移到官方认可的连接方式上。Agent 也需要这样的迁移，不仅是数据层面，还包括操作层面。
要实现这种迁移，需要一套基于实时微授权（micro-sanctions）的新架构。Agent 尝试执行的每一个动作，都会在发起的瞬间接受检查——对照客户实际授权的内容以及该动作会产生的影响——而执行检查的控制机制独立于 AI 模型之外。治理由此从事后追溯变成了事前把关。每个请求都要通过四项测试，三项在执行前，一项在执行后：
- 身份。 谁在操作？代表谁操作？Agent 应携带自己的凭证，绝不能使用客户的密码。
- 权限。 客户究竟允许了什么？在什么范围内？有效期多长？
- 策略。 哪些业务规则适用于该请求？
- 凭证。 操作是否正确完成？是否只执行了一次？是否有可核验的记录？
检查力度随风险等级提升。查看余额只需确认客户身份；转账则需要符合客户设定的限额，或获得客户的实时批准，同时还要进行欺诈检查；修改密码的权限始终保留给客户。模型负责提议，系统负责授权。
本周我在 回应 Satya Nadella 时提出了一个相关的观点，他此前 呼吁将“智能的供给与对智能的授权分离开来”。同样的原则也指导着我们在 Netomi 的产品构建方式。
银行业只是一个早期预警，并非孤例。上个月，Amazon 禁止了 Meta 的 Muse Agent 在其商城购物。第二天，Shopify 就宣布通过 Shop Pay 为 Muse 提供 Agentic 结账功能。从金融到零售，每家企业现在都面临同一个问题：如何在迎接合规 AI Agent 的同时，不交出控制权。
本月初，我们针对这个问题完成了一套框架。今天我们将其公开发布。《消费级 AI Agent：治理客户与企业之间的新接口》是这一观点的完整技术版本：包括控制机制、参考架构、风险分级，以及如何将它们落地应用。
客户可以把任务委托出去，但企业不能把责任委托出去。
