很多團隊評估代理 AI（Agentic AI，能規劃步驟、呼叫工具並跨系統執行任務的人工智慧）時，第一個問題常是模型夠不夠準；金融業更需要先釐清代理能接觸哪些資料、能採取什麼動作，以及行動出錯時由誰介入。金管會於 2026 年 10 月 13 日公布「金融業運用代理 AI 安全諮詢文件」，就安全治理、風險分級與安全控管徵詢各界意見。這是諮詢文件，現階段提供後續政策討論參考，內容仍可能依意見調整，不能當成新生效的強制規範。金管會諮詢資訊、iThome 報導
代理 AI 與只生成文字的聊天工具，在安全設計上的差異來自「能做事」。當它可讀取客戶資料、呼叫內部 API、建立或修改交易資料，錯誤就可能沿著多個步驟擴散。評估重點因此要從模型表現延伸到場景、身分、權限、覆核與復原；各項措施仍要依業務影響、資料敏感程度和既有控制調整。
一、諮詢文件談安全治理，現階段先看清定位
它是金管會徵詢意見的政策文件，提出安全治理、風險分級與安全控管方向，尚非新生效的法規要求。金融機構可用它檢視既有設計並提出意見，同時仍須分開確認現行法令、監理要求與內部控制的適用情形。
這次文件處理的是代理系統的行動能力與風險管理。依金管會對外說明，代理能拆解任務、選用工具並跨系統取得資料；管理建議則以應用場景為單位，釐清目的、責任、資料、工具、動作與輸出位置，並按風險配置覆核、監控、降級、停用和復原機制。文件也以風險導向、比例原則與技術中立作為討論方向，並非指定單一模型或產品。諮詢文件發布資訊
文件定位要和既有「金融業運用人工智慧（AI）指引」並讀。該指引在 2024 年發布，說明 AI 系統生命週期、治理問責、隱私與客戶權益、系統穩健性與安全性等原則。它本身屬行政指導性質，並提醒業者依具體使用情境評估風險與控制方式。新諮詢文件聚焦代理的自主行動、權限及工具使用，兩者的政策階段與涵蓋焦點不同，不應把新文件中的建議直接描述成新義務，也不能因為已有一般 AI 指引，就省略對代理行為的檢視。金融業運用 AI 指引 PDF
「宜以『應用場景』為管理單位，先釐清其業務目的、責任分工、可取用資料、可呼叫工具、可執行動作。」— 金融監督管理委員會諮詢文件發布說明
實務上，先把諮詢文件轉成內部盤點問題，比直接抄成一份通用規章更容易落地。哪一條業務流程打算使用代理？代理服務由誰負責？哪些控制已由現有存取管理或委外流程涵蓋？哪些行動新增了風險？答案要能回到具體系統與負責角色。
二、從應用場景與權限盤點代理風險
先以一個明確的業務場景為單位，列出代理的目的、責任人、資料範圍、工具、可執行動作與資料去向。只列模型名稱或供應商名稱，無法判斷它實際能造成哪些影響。
「協助客服」仍然太籠統。若代理只能搜尋已核准的產品說明並草擬回覆，任務通常停在讀取和文字建議；若它還能查詢個別客戶資料、更新聯絡資訊、送出通知或承諾服務內容，權限、客戶權益與覆核要求就會不同。評估時應把流程拆成觸發條件、輸入資料、代理可呼叫的工具、每個工具的操作權限、輸出對象，以及出錯後可採取的處置。
此處也要區分「模型可以回答什麼」和「代理身分被授權做什麼」。模型權限不等於員工帳號權限。應依實際服務身分與工作負載建立存取控制，避免代理沿用人員的廣泛帳號或共用憑證；憑證如何發放、輪替、撤銷，哪些系統可驗證代理身分，都要納入設計。代理不應因為某位員工能登入某系統，就自動取得相同權限。
金融業的風險會在多步操作中累積。代理可能先讀取資料，再根據回覆選擇工具，最後把結果寫入另一系統。某一步的資料錯誤、工具選錯或條件判讀偏差，可能使後續動作建立在錯誤前提上。這也是為什麼只測試單輪問答或模型正確率不足以代表整體安全：評估要涵蓋代理實際可用的工具組合、上下游資料流，以及失敗如何被發現和中止。
盤點工具時，不妨把權限按行為拆開：查詢、草擬、建立待審項目、修改資料、對外送出、付款或交易。每一種都應標明代理能否執行、是否需要核准、核准者看到哪些資訊、拒絕後如何停止、操作完成後如何追溯。若代理的輸出會寫到外部服務，也要記錄目的地與資料種類，確認第三方模型、工具及外部服務的資料流向、委外責任、稽核能力與服務中斷情境。
三、風險分級同時看資料、動作和能力邊界
依資料敏感度、動作可能造成的影響，以及代理能力邊界或錯誤擴散範圍綜合評估；若多個面向的風險不同，應採較高風險面向配置控制。評估結果要連結上線審查、持續監督和重大變更後的重新檢視。
資料面要問代理接觸的是公開資訊、內部文件、客戶個人資料，還是足以影響帳戶或交易的敏感資料；也要確認資料是否會傳給外部模型或工具。動作面要看它只做搜尋和摘要，還是會改動帳戶、對客戶發訊息、提交申請、執行付款或觸發交易。能力邊界則包括工具能否跨系統、是否可自行串接多個步驟，以及一次錯誤可能影響多少人、多少筆紀錄或哪些核心流程。
諮詢文件以 L1 至 L4 作為示意性風險分級，從查詢、摘要、草稿輔助等低影響用途，延伸至可能影響核心金融業務、交易、付款或重大客戶權益的操作。這些例子可幫助團隊討論控制強度，但不宜只靠任務名稱替所有機構做固定分類。同一個「摘要」代理若能讀取大量客戶資料、將內容送到外部服務，資料與外洩風險就可能提高；同一個「付款」流程若只在隔離測試環境產生草稿，實際風險又與直接執行付款不同。分級應根據真實權限與部署方式，而非功能標籤。
2024 年金融業運用 AI 指引也要求從個別使用情境評估風險，並考量客戶服務或營運影響、個人資料使用程度、自主決策程度、系統複雜性、利害關係人影響及救濟選項等因素。這些考量可與代理 AI 的資料、動作及可擴散性檢視互補。風險分級的用途是決定控制要多深，而非替系統貼上標籤後就不再檢查。金融業運用 AI 指引 PDF
「金融機構運用 AI 系統時，宜就個別使用情境所涉相關風險進行評估，並宜多分配資源於高風險的 AI 系統。」— 金融監督管理委員會《金融業運用人工智慧（AI）指引》
分級還要跟著生命週期走。更換模型、加入新工具、擴大資料來源、將草稿功能改成自動送出，或改變服務對象，都可能讓原先評估失效。上線前應完成測試與核准；上線後持續觀察代理是否偏離預期、是否出現異常呼叫或未授權資料流；重大變更時重新評估。低影響整理任務可能只需抽樣覆核與操作紀錄；涉及客戶權益或不可逆動作的場景，通常需要更嚴格的授權、政策檢查、人工覆核和復原安排。具體做法仍須依機構的業務與控制環境決定。
| 場景例子 | 主要風險考量 | 可評估的控制方向 |
|---|---|---|
| 內部查詢、摘要與草稿整理 | 資料是否含客戶個資、摘要是否會流向外部服務、輸出是否只供內部參考 | 限定資料來源與讀取範圍，保留操作紀錄，依用途抽樣覆核 |
| 修改客戶資料、付款或交易 | 資金與客戶權益影響、動作能否撤回、錯誤是否會連鎖執行 | 獨立授權、執行前人工核准、政策檢查、即時阻斷與復原演練 |
表中的做法是評估方向，不是替所有機構劃定固定級別。若低影響任務使用大量敏感資料，或高影響任務僅產生待審草稿，仍要依實際資料流與可執行權限重新判斷。
四、把權限、安全控管與人工核准放進流程
優先在人身權益影響大、涉及資金或敏感資料、難以撤回，或超出代理核准範圍的動作前設置核准與阻斷點。核准設計須讓負責者看見足以判斷的資訊，並保留拒絕、撤回、追溯和異常復原方式。
身分與最小權限是第一層控制。代理應使用可識別、可撤銷的服務身分，按任務取得最低必要權限；讀取客戶資料、修改紀錄、呼叫支付工具應分開授權。工具接口也應限制可操作的資源、欄位、金額或對象，避免只靠提示文字要求模型「不要越權」。限制需由系統政策執行，且代理無法自行改寫或繞過。
第二層是限制執行環境與資料流。可依場景隔離測試與正式環境，管控網路出口、工具白名單、資料寫入位置與外部服務使用；對機敏資料採取必要的遮蔽或最小化。若使用第三方模型或委外工具，契約與作業安排應說清資料如何處理、誰負責安全事件、能提供何種稽核紀錄、服務中斷時如何切換，以及終止合作後資料如何處置。這些條件會影響機構實際可監督風險的程度，不能只看模型供應商的安全承諾。
人工核准不應只是畫面上多一個「確認」按鈕。設計時需定義誰能核准、核准者看到哪些資料與代理理由、待執行動作的範圍、拒絕或撤回如何運作，以及代理已執行後由誰負責追查和補救。對付款、交易、客戶權益重大變更等高影響或難以復原的操作，可在執行前要求授權、政策檢查與覆核；若系統無法阻止或復原異常動作，就不適合讓代理自行完成整段流程。
第三層是可見性與異常處置。紀錄至少要能串起代理身分、請求來源、使用的資料與工具、核准者、實際執行結果和時間；監控則需辨識異常工具呼叫、權限拒絕、敏感資料外傳或任務偏離。發現問題時，要能即時阻斷後續步驟、降級為只讀或草稿模式、停用代理憑證，並依程序復原受影響資料或服務。測試不能只看「正常時能不能完成」，也要演練模型輸出錯誤、工具故障、第三方服務中斷和人工核准逾時時，系統會停在哪裡。
導入前可用以下清單檢查一個具體場景：
- 寫明業務目的、服務對象、流程負責人與代理維運責任人。
- 列出代理可讀取的資料、可呼叫的工具、可執行的動作及資料輸出目的地。
- 分別判斷資料敏感度、動作影響、能力邊界與錯誤擴散範圍，依高風險面向配置控制。
- 指定哪些動作須先核准、核准者可見資訊、拒絕或撤回方式，以及操作後的責任歸屬。
- 驗證監控、阻斷、降級、停用、復原與稽核紀錄，並在工具、資料或能力改變時重新評估。
五、後續觀察諮詢意見與既有內控銜接
追蹤諮詢意見如何影響文件修訂與後續政策溝通，並逐項比對既有法令、監理要求和內控流程。在正式政策方向明確前，企業可先做場景盤點與風險差距檢查，將建議性內容和現行義務分開管理。
對金融機構而言，實際工作在於讓控制與風險相稱，並能說明判定依據。可以先選一個預計上線的場景，找業務、資訊、資安、法遵、風控、稽核與委外管理等角色共同確認：原有控制涵蓋什麼、新增能力帶來什麼變化、由誰接受剩餘風險。若涉及第三方服務，還要確認外部供應商能否提供必要紀錄和事件協助。
金管會既有 AI 指引已涵蓋生命週期治理、風險評估、第三方監督與持續監控；代理 AI 諮詢文件再把「能採取行動的軟體身分」及工具使用納入焦點。企業應逐項確認兩者與資訊安全、個資保護、委外管理及業務流程控制如何銜接，避免把同一責任切散到各部門後無人承接。諮詢文件中的 L1 至 L4 也屬示意分類，不能替代機構依場景作成的風險判斷。
真正可操作的起點，是為一個場景留下可檢查的紀錄：代理以什麼服務身分執行、資料從哪裡來、工具能做哪些事、哪些行動需要人工核准、異常如何中止、事後如何追溯。之後再依場景風險和政策更新調整控制深度。這樣的盤點能讓團隊看出安全缺口，也能在諮詢文件修訂或應用能力改變時，明確判斷哪些流程需要重新審視。
常見問題
Q1：金管會的代理 AI 安全諮詢文件已經是金融業強制規定嗎？
目前它是公開徵詢意見的諮詢文件，供後續政策研議與溝通參考。金融機構仍應依現行法令、監理要求與內部控制處理既有義務。
Q2：所有金融業代理 AI 都要使用相同的風險等級嗎？
不宜只按產品名稱或任務標籤統一分級。應依每個場景的資料敏感度、動作影響、能力邊界和可能擴散範圍評估，並按風險配置控制。
Q3：人工核准放在流程哪個位置比較合適？
可優先檢視涉及資金、敏感資料、重大客戶權益或難以撤回的動作，評估是否在執行前設授權、政策檢查與覆核。核准者須能看見判斷所需資訊，並有拒絕或撤回方式。
Q4：金融機構已採用一般 AI 指引，還需要檢查代理 AI 嗎？
需要確認原控制是否涵蓋代理新增的工具呼叫、跨系統存取與多步執行能力。既有治理可以作為基礎，並需檢視服務身分、權限邊界、異常阻斷和操作追溯。
