30 天徵詢意見，討論可自主執行任務的 AI 安全防護
台灣金融監督管理委員會（FSC）於 2026 年 10 月 13 日啟動為期 30 天的公開諮詢，提出適用於可連接、操作或觸發金融機構營運系統的人工智慧代理之安全防護措施。提案將風險分為 L1 至 L4 四個級別，並要求最高風險的操作必須具備必要的授權、審查或停止執行機制。
目錄
這份名為《金融業安全使用代理式 AI 諮詢文件》的文件，發布時間早於相關技術普遍部署之前。金管會資訊管理處處長林裕泰表示，多數金融機構仍處於試驗或在受控環境中進行小規模測試的階段。他說，尚未聽聞有機構將這類代理投入實際營運。
金管會關注的核心，是 AI 從產出資訊轉向採取行動所帶來的變化。能整理客戶申訴的助理，與可調閱機密紀錄、變更系統資訊或直接回覆客戶的助理，面臨的安全問題並不相同。
因此，諮詢聚焦於權限與責任歸屬，而不只是模型準確度。機構必須判定代理可存取哪些資訊、可使用哪些工具、可執行哪些操作，以及發生問題時，員工如何停止代理或接手處理。
這份文件並非新法規或正式指引，也不取代現行法律、監理要求、委外規範或內部控制。金管會希望諮詢能為後續指引奠定基礎，但尚未訂定相關時程。
為何系統操作權限會改變風險
代理式 AI 能規劃步驟、呼叫軟體工具，並跨系統調取資訊以完成任務。這與主要功能是產生答案、再由人員判斷的對話式應用有所不同。當錯誤答案可能直接轉化為營運操作時，安全問題便更加迫切。
林裕泰指出四項主要風險：代理偏離預定目標、誤用工具或超越權限、洩露敏感資訊，以及錯誤在一連串操作中擴大。這些風險可能彼此交織。代理可能調取不應使用的資訊，將其放入訊息中，接著把訊息傳送到機構外部。
AI 幻覺，也就是看似合理但實際錯誤的輸出，仍是值得關注的問題。林裕泰舉例說，代理可能將個人資料放進不應包含這類內容的外部電子郵件。這是對可能失誤情境的說明，並非金融機構已發生的事件。
速度也會影響潛在影響範圍。林裕泰以一名員工每小時處理約一件案件，對比代理可能每小時處理 100 件。這個例子表示處理量可能相差 100 倍，並非經測量得出的生產力結果。他要強調的是，員工介入前，自動化錯誤可能已擴及大量案件。
管理任務，而不只是管理技術
諮詢文件圍繞三個面向提出建議：安全治理、風險分類與安全控制。文件主張以應用情境作為管理單位，也就是機構希望代理執行的特定任務，而非孤立地看待某項 AI 產品。
針對每個情境，機構應訂定業務目的、負責人員、允許使用的資料、可用工具及允許執行的操作。也應確認輸出可能被傳送或寫入哪些位置，以及代理行為異常時的處置方式。
採用這種做法，同一套軟體會依其用途受到不同控制。只分析安全資訊、不採取行動的代理，與獲准修改營運系統的代理並不相同。因此，權限變更可能與底層模型變更同樣重要。
治理不應止於初次核准。提案要求依風險採取審查、監控、檢查、能力降級、暫停及復原機制。風險分類應作為核准門檻、試驗條件、部署決策及後續監督的依據，並在應用變更時重新評估。
四級風險分類，依三個面向評估
提案中的 L1 至 L4 分級，依據三個面向評估：資料敏感度、操作影響，以及能力界限或影響擴散的可能性。評估結果採用較高的風險級別，不會以較低風險的特徵抵銷較危險的部分。
資料敏感度關乎代理能看到什麼。存取公開資訊，與存取個人紀錄或營業秘密有所不同。操作影響則關乎代理能如何運用這些資訊，從讀取資料到變更紀錄或對機構外部傳訊。
第三個面向考量活動的範圍與影響力。只能執行單一任務的代理，與可批次處理、全天候持續運作或逐步完成多項相連任務的代理有所不同。小錯誤可能演變成更大營運問題的風險，也納入此項評估。
對於 L4 應用，提案要求在缺乏必要授權、審查或阻止執行的機制時，不得自動執行高風險操作。較低風險的應用則保留試驗空間。金管會表示，其做法以風險、比例原則及技術中立為基礎，並參考國際安全框架。
客戶服務案例說明權限的重要性
林裕泰以客戶服務為例，說明實際應用上的差異。負責彙整申訴並製作摘要的代理，風險屬於低至中度；若代理還能向客戶發送回覆，他則將其列為中度至高度風險，因為代理能對機構外部採取行動。
兩種應用的差異，不只是是否使用 AI。第一種情況下，員工可先審閱摘要，再決定是否採取會影響客戶的行動；第二種情況下，代理能將自身解讀直接轉化為對外訊息。發送訊息的權限會改變錯誤所造成的後果。
寫入資訊的權限則形成另一道界線。僅能讀取的代理無法透過這項權限修改原始紀錄。一旦允許寫入，錯誤就可能變更或刪除資訊。因此，控制措施必須同時考量輸出品質，以及所接觸系統的完整性。
這個例子也說明，若只為機構整體 AI 計畫貼上單一風險標籤，並不足夠。同一代理的兩種用途，可能需要不同的核准條件、監控方式及復原安排，因為它們的資料存取範圍與允許執行的操作各不相同。
數位員工仍需要人類主管
林裕泰將 AI 代理稱為數位員工，因為它能主動推進任務。這個比喻不只是為代理指定角色：機構還必須決定代理可執行哪些工作、部署前如何測試、如何監督其活動，以及如何停止其作業。
談到部署責任時，林裕泰明確表示，把任務交給代理並不會免除人類的責任。以下為他的英文談話翻譯：
AI 只能擔任助理；人類才是最終的監督者。
這項原則要求人員界定代理的權限，並在發生故障時採取應對措施。不能只因為牽涉 AI 代理，就繞過既有安全控制。機構既需要負責的人類決策者，也需要能落實其核准限制的技術手段。
金管會的關注範圍，並非所有員工使用 AI 的情況。個人助理若在使用者既有權限範圍內運作，可透過現行內部控制與安全措施管理。但若要將代理連接至金融機構營運系統，就必須重新評估風險與資訊安全。
身分與存取控制也適用於代理
安全提案將代理視為非人類身分及軟體工作負載。實務上，機構必須確認目前是哪個代理在執行操作，以及適用哪些權限。代理的活動不應與無關使用者或其他自動化程序混為一談。
這種做法參照零信任原則：系統不會只因位於組織內部，就被假定為安全。必須驗證身分與權限，將存取範圍限制在任務所需之內，並確保操作可追溯。
控制措施涵蓋身分、裝置與執行環境、網路、應用程式與工作負載，以及資料保護。提案納入基本與進階安全要求及控制目標，也將行為控制、可視性與分析列為整體做法的一部分。
林裕泰提出幾項具體措施：代理應在適當隔離的環境中執行；網路連線應依任務需求加以限制；可用工具則應限於核准清單。資料存取應遵循最小必要原則。這些措施分別應對代理可能超出預定角色的不同途徑，而不是只依賴提供給模型的指示。
測試必須涵蓋整個工作流程中的失誤
對於能推進工作流程的應用，諮詢文件要求部署前測試其面對提示注入、工具誤用、繼承權限及記憶污染時的反應。這些測試旨在檢視代理遇到可能使其偏離核准任務的資訊、工具或權限時，會如何行動。
提示注入是指代理讀取的資料中藏有指令，試圖改變其行為。工具誤用是指不當使用連接的軟體。繼承權限可能使代理取得沿用自其他帳戶或程序的存取權；記憶污染則是儲存的資訊以非預期方式影響後續活動。
營運目標不只在於防止故障。系統還應具備可觀測性、限制或停止能力、復原能力及可追溯性。員工必須看得到代理正在做什麼、能中斷有害活動，並在可能的情況下恢復受影響的營運。
代理活動紀錄應能支援調查與稽核。若代理已寫入錯誤資訊或觸發後續操作，只將其停止可能不足以排除故障。因此，提案將中斷作業與復原措施及事件紀錄一併納入。
這是諮詢文件，並非最終部署規定
金管會已在台灣公共政策網路參與平台的公共討論區發布文件。金管會表示，諮詢有助於納入實務經驗，並為政策研議、可能的指引及監理討論奠定基礎。
林裕泰表示，技術快速變化是暫不立即發布固定指引的原因之一。金管會也無法假設已掌握所有相關風險。因此，研擬指引的意向仍須視回饋與後續發展而定，並非承諾在指定日期發布最終文件。
金管會說明的時程如下：
- 2026 年 7 月：金管會提出因應 AI 攻擊的策略，林裕泰稱這是目前工作的前導。
- 2026 年 10 月 13 日：金管會發布代理式 AI 安全諮詢文件。
- 發布後：開放為期 30 天的公開徵詢期，蒐集對提案做法的意見。
- 諮詢結束後：是否發布正式指引，將視回饋與技術發展而定；目前尚未公布發布時程。
目前的試驗狀況有助於理解這項工作的時機。林裕泰表示，許多試驗都在資安領域進行，例如分析安全情報，但不直接採取營運操作。金管會希望在代理進一步用於行政及業務流程之前，先備妥安全防護措施。下一項具體工作是進行諮詢；至於最終指引的內容與定位，仍未定案。
重點整理
- 台灣金管會於 2026 年 10 月 13 日啟動為期 30 天的諮詢，討論金融業安全使用代理式 AI。
- 諮詢聚焦於可連接、操作或觸發金融機構營運系統的代理。
- 提案依資料敏感度、操作影響及能力界限，將風險分為四級。
- 最高風險的操作須具備必要的授權、審查或阻止執行的機制。
- 機構應限制代理權限、留存活動紀錄，並具備停止代理及從故障中復原的能力。
- 即使由 AI 代理執行任務，人類仍須承擔責任。
- 多數應用仍處於試驗階段。這份文件並非正式指引，也尚未訂定指引發布時程。
