Marico's space

2026年10月13日，金融监管机构开始加强对自主AI Agent的审查。

一个让人不太舒服的教训其实很简单：一个拥有生产环境权限但没有可执行权限边界的Agent，不是"智能自动化"。

它只是一个拥有凭证的无边界身份。

为什么AI治理框架必须控制行为，而不仅仅是模型

传统的AI治理关心的是模型是否准确、公平、隐私合规。生产环境中的Agent则带来了更难的问题：这个系统此刻被允许做什么？

一个有效的AI治理框架因此必须治理执行过程，而不仅仅是提示词和输出。这意味着要绑定每个Agent的身份、限制工具和数据、在危险行为执行前进行拦截、记录证据，以及将特定决策上报给人工审批。

什么是生产环境中的AI Agent治理？ AI Agent治理是一套运行时系统，包括身份、权限、策略执行、审批门控、审计证据和关闭控制，用于约束自主Agent。一个可用于生产的AI治理框架不仅要定义Agent可以访问什么，还要定义它可以执行哪些操作、在谁的授权下、在何种风险级别下、以及需要什么样的人工监督。

NIST的AI RMF（AI风险管理框架）将风险工作组织为治理、映射、测量和管理四个环节。ISO/IEC 42001则增加了组织级AI管理系统。对于Agent来说，这些原则必须变成代码路径，而不是PDF文档。

生产控制平面：六个关键控制项

一个实用的AI治理框架可以作为Agent运行时与企业系统之间的控制平面来实现：

用户/工作流 → Agent身份 → 策略引擎 → 审批门控 → 工具/API → 审计账本

这就是AI Agent安全与治理的核心：模型可以提议一个操作，但由独立的控制层来决定该操作是否可以执行。

权限：让Agent权限小于其能力

一个能力强大的Agent不应自动获得强大的凭证。AI Agent身份与访问管理（IAM）应将Agent视为具有独立生命周期的第一类非人类身份。

使用四级权限体系

AI治理框架还应发放短期凭证、限制交易金额、限制数据分类等级，并保留从人到Agent再到工具的委托链。

不要让Agent继承开发者的宽泛OAuth令牌。这会破坏归属并在出问题时有更大的爆炸半径。

审计：记录决策，而非仅记录API调用

传统的应用日志回答"哪个接口被调用了？"。AI审计必须回答"哪个Agent执行了操作、代表谁、为什么被允许、以及发生了什么变化？"

AI Agent审计日志应该记录什么？ AI Agent审计日志应该记录Agent身份和版本、发起主体、运行ID、请求的操作、目标资源、工具输入、策略决策、审批状态、审批人身份、执行结果、时间戳以及相关的模型或提示词版本。日志应该是防篡改的、可搜索的、隐私敏感的，并且足以在事件响应或AI合规审查时重建委托链和决策链。

最小审计事件

{ "agent_id": "refund-agent-v4", "principal": "support_case_4821", "action": "issue_refund", "amount_usd": 850, "policy": "approval_required", "approver": "finance_manager_17", "result": "executed", "run_id": "run_91af"
}

对于AI合规来说，要将策略版本与事件一起存储。否则审计人员可以看到发生了什么，但无法证明是哪条规则授权的。

人工审批：按后果而非不确定性设置门控

人工介入设计在每个操作都需要审查时会失败；审查者会变成橡皮图章。更好的AI治理框架使用基于后果的上报机制。

什么时候必须要求人工审批？ 在AI Agent执行具有实质性财务、法律、安全、隐私、客户或生产影响的操作之前，特别是当该操作不可逆或超过定义的阈值时，应要求人工审批。低风险、可逆的工作可以保持自主。审批策略应在模型外部强制执行，这样Agent就无法绕过、重新解释或通过提示词工程破解自己的治理控制。

工程师实际能落地的审批规则引擎

当操作符合以下条件时需要审批：

• 转移超过阈值的资金；
• 发送外部或受监管的通讯；
• 变更生产基础设施或访问权限；
• 暴露受限数据；
• 删除或不可逆地修改记录；
• 创建新的Agent、凭证、工具或策略例外。

对于三级操作，使用双重审批或完全阻止自动化。

将AI治理框架映射到NIST和ISO，但不要把合规与安全混为一谈

NIST AI RMF是自愿性风险指导；ISO/IEC 42001是管理系统标准。两者都不能替代运行时授权。

把它们作为治理脚手架来使用：

• 治理：指定责任人、Agent清单、策略所有权。
• 映射：系统、工具、数据、委托路径、爆炸半径。
• 测量：评估、拒绝操作率、审批延迟、事件。
• 管理：撤销访问、回滚操作、调整策略、退役Agent。

这将AI治理转化为可衡量的运营工作，也让AI审计证据更容易产出。

给Agent真正权限前的生产检查清单

只有当你能够对以下问题回答"是"时，你的AI Agent治理框架才算准备就绪：

• 每个Agent是否有所有者和唯一身份？
• 权限是否遵循最小权限原则、短期有效且可撤销？
• 策略是否能在工具调用执行前将其阻止？
• 高影响操作是否有审批门控？
• AI Agent审计日志能否重建完整的委托链？
• 安全团队能否在不关闭整个平台的情况下停止单个Agent？
• 你能否证明每个操作是由哪个策略版本授权的？
• 你是否测试过终止、回滚、超时和审批过期路径？

企业级的最佳模式不是"最大自主权"，而是有边界的自主权加上可验证的授权。

先把权限体系搭好。把审批做明确。把审计链路当作产品功能来对待。然后只有当证据表明Agent已经值得更高的自主权时，再逐步放开。