代理 AI 卡關的不是模型，是授權：企業要先寫清楚它能做什麼

金管會在10月13日發布「金融業運用代理AI安全諮詢文件」，公開徵詢意見。所謂代理 AI，是能自己規劃步驟、呼叫工具並跨系統存取資料的 AI 系統；金管會點名的風險，包括目標偏離、工具誤用或越權、敏感資料外洩，以及錯誤在多步流程中一路擴大。

文件的風險分級用三個軸：資料敏感度、動作影響、能力邊界與可擴散性，任一軸偏高，就以最高的那一軸定級。分級共 4 級，交易或付款、調整額度或權限、不可逆的動作，都列在最高一級的例子裡。

轉折在第二個軸。過去談生成式 AI 的風險，問的是它會不會說錯話；動作影響這個軸問的是，它會不會做錯事。

FDE AI認為，這個轉向會改變導入專案的順序。常見的做法是先選模型、再談資料，風險評估排在專案後段；按這份文件的寫法，評估單位是「應用場景」，必須先講清楚可取用哪些資料、可呼叫哪些工具、可執行哪些動作、結果寫到哪裡，以及異常時怎麼停用與追溯。這些問題的答案不在模型裡，在企業自己的流程與權限表裡。

金管會把代理 AI 視為具行動能力的非人類身分，參照零信任原則管理。文件草案提出的控管包括：授權以任務為範圍並設時限，代理不得繼承觸發它的使用者的完整權限；高風險、不可逆的動作不得由代理單獨執行，執行前要有逐筆政策檢查、人工確認或雙人覆核。

日誌與停用也列入草案。各類紀錄要以共同識別碼串接，日誌有缺口的流程不宜自動化；代理要能停用、撤銷授權與權杖，並回復到安全狀態。

這不是台灣獨有的寫法。日本數位廳9月29日會議上提出、適用於行政機關的生成 AI 指引檢討事項案指出，授予代理的權限以業務必要範圍為原則，匯款、對外傳送資料這類不可逆任務，要有人判斷，或有可隨時停止的監控。美國國家標準暨技術研究院（NIST）旗下的國家網路安全卓越中心，已成立代理 AI 身分與授權專案，先前的概念文件收到逾 600 則回應。

日本走的是另一條路，方向剛好相反。內閣府、數位廳與經產省10月19日起募集阻礙 AI 落地應用的法規與制度，明列代理 AI 與實體 AI，政府表示會把結果作為「規制改革推進會議」審議與 AI 基本計畫修訂的參考。台灣先問代理要守哪些新規則，日本這次問的是哪些舊規則擋住了 AI。FDE AI認為，無論走哪一條路，想讓代理上線的企業，最後都得交出同一份說明：它能做什麼。

三地文件用語不同，指向的工作相近：替每一個代理畫一張授權地圖，列出它能動哪些資料、能按哪些鍵、哪一格要停下來等人。FDE AI 觀察，模型、帳號與流程常分屬三方：模型廠商管模型，資安團隊管帳號，業務單位只想流程變快，授權範圍往往沒有人明確負責。

經濟部引用的調查顯示，台灣製造業 AI 普及率從2024年的 12.3% 升到2026年的 38.5%，服務業從 27.0% 升到 38.7%，政策目標是2028年達到 50%。

依經濟部數字推算，製造業普及率兩年內成長到原本的 3 倍有餘；FDE AI認為，企業接上代理的時點可能比預期更早。下一步若接上代理，第一道關不會是模型夠不夠聰明，而是公司內部有沒有一張說得清「誰能授權什麼」的表。FDE AI 觀察，不少企業的權限設定是跟著人走的：誰的帳號開了什麼，就能做什麼。代理一旦借用某位員工的帳號執行，那位員工能做的事，代理也都做得到，這正是金管會草案要求代理不得繼承觸發者完整權限的原因。FDE AI 預期，這份文件雖然只針對金融業，和銀行、保險業者串接代理流程的非金融企業，遲早會被往來對象要求拿出同一套說法。