據 Axios 今早報導，美國主要銀行正發現第三方 AI Agent 在未經銀行授權的情況下，於客戶帳戶內進行操作。其中部分 Agent 的行為似乎已超出使用者的指示範圍。銀行高層向 Axios 形容此情況「令人震驚」，而各大放款機構也正迅速採取行動：Morgan Stanley 已開始封鎖外部 Agent，JPMorgan、Bank of America 與 Citi 則正在限制其存取權限。
銀行一直都很清楚：通過身分驗證並不等於獲得授權。數十年來，他們基於這項原則建立了各種控管機制：權限配置、交易限額、進階驗證、詐欺監控。但這些控管機制都是為「人」設計的。它們假設登入的人就是實際操作的人，也假設這個人的操作速度是人類等級。
AI Agent 打破了這兩項假設。許多 Agent 使用客戶自行提供的憑證登入，接著在客戶的 session 中，以與客戶相同的權限進行操作。而且它們全天候運作，速度是機器等級。
現有的控管機制只會確認「客戶是否被允許執行某項操作」。當鍵盤前坐的是真人時，這就夠了：提出請求的人與實際操作的人是同一個。但面對 Agent 時，控管機制必須回答第二個它從未設計過的問題：客戶真的要求這麼做了嗎？太多時候，銀行都是在事情發生後才發現。
這就是缺口所在。控管機制並沒有失效，只是無法可靠地區分「客戶本人」與「掌握客戶密碼的軟體」。
封鎖 Agent，或將其限制為唯讀權限，是合理的第一步，但不能是最後一步。銀行高層告訴 Axios，他們知道客戶會繼續使用這些 Agent，而業界領袖也已經在問對的問題。Bank of America 執行長 Brian Moynihan 曾表示，資金轉出帳戶應由真人核准，該行也正在制定相關規範，界定 Agent 如何與帳戶互動，以及當 Agent 授權付款時責任歸屬為何。而目前正封鎖外部 Agent 的 Morgan Stanley，其實早在六月就宣布，將允許企業客戶的 Agent 透過經核准的管道連接其股票計畫平台。
這並不矛盾，這就是未來的模式。問題不在於要不要讓 Agent 進來，而在於它們要走哪一扇門，以及進來之後能做什麼。銀行以前就做過類似的事——把資料彙整業者從直接使用客戶密碼，轉移到經核准的連線方式。Agent 也需要同樣的轉變，而且不只針對資料，還包括操作行為。
要實現這樣的轉變，需要一套建立在「即時微授權（micro-sanctions）」之上的新架構。Agent 嘗試執行的每一個動作，都會在它試圖操作的當下接受檢查，比對客戶實際授權的內容以及該動作會造成的影響，而這些控管機制獨立於 AI 模型之外。治理的重心因此從「事後追查」轉向「事前把關」。每個請求都必須通過四項檢驗，其中三項在執行前，一項在執行後：
- 身分。 是誰在操作？代表誰操作？Agent 應該攜帶自己的憑證，絕不能使用客戶的密碼。
- 權限。 客戶實際允許了什麼？在哪些限制內？有效期限多長？
- 政策。 哪些業務規則適用於這項請求？
- 證明。 該動作是否正確完成、僅執行一次，並留下可驗證的紀錄？
檢查的嚴格程度會隨風險高低而調整。查詢餘額只需確認客戶身分；轉帳則需符合客戶設定的限額，或取得客戶即時核准，同時搭配詐欺檢查；變更密碼的權限則始終保留給客戶本人。模型負責提議，系統負責授權。
本週我在回應 Satya Nadella 時提出了相關的論點，他曾呼籲應將「智慧的供給」與「對智慧的控制權」分開。同樣的原則也塑造了我們在 Netomi 的建構方式。
銀行業只是一個早期警訊，而非單一案例。上個月，Amazon 禁止 Meta 的 Muse Agent 在其商城購物；隔天，Shopify 就宣布透過 Shop Pay 為 Muse 提供 Agentic 結帳功能。從金融到零售，每家企業現在都面臨同樣的問題：如何在迎接合法 AI Agent 的同時，不交出控制權。
本月稍早，我們針對這個問題完成了一套框架，今天正式對外公開。《消費型 AI Agent：治理客戶與企業之間的新介面》是這套論述的完整技術版本，涵蓋各項控管機制、參考架構、風險層級，以及如何實際落地應用。
客戶可以委派任務，但企業不能委派責任。
