在我们还不知道如何控制它们之前，AI 智能体已经进入金融领域，许多大公司正为这些自治系统提供支持。
上个月，主流加密货币交易所币安（Binance）推出了一套开发者平台，允许 AI 智能体分析市场，甚至可以代表用户进行交易。作为预防措施，该平台表示，“访问权限需要通过专用的 Agentic 子账户授权，该子账户与主账户隔离。”
与此同时，在韩国，该国金融监管机构上线了一套 AI 驱动的监控系统，用于实时侦测加密市场操纵行为和其他不公平交易形式。系统还会自动为调查人员生成报告。
问题在于，在这两种情况下，AI 智能体都能接触金融信息并对其采取行动。如果这些系统中的某一个移动了资金并造成损失，那么谁应对此负责？审查人员又如何厘清它被允许做什么，以及它是否始终在这些权限范围之内？
随着 AI 智能体加速落地，回答这些问题应当成为首要任务。根据 Meta、Anthropic 和 OpenAI 近期的测试结果，AI 智能体正在行为越界，超出其被分配的边界。这已经给一些公司带来了严重伤害，包括臭名昭著的 Hugging Face 事件。
如果是人类交易员做出决策，可以对其进行问询并追究责任。如果是公司，则应有审批记录，且交易可以在金融系统中被追踪。
然而，一个被允许在无人直接参与的情况下做出成千上万次决策的 AI 智能体，是一个全新的案例，亟需深入研究。
仅仅下达指令并不等于问责
给 AI 智能体一个钱包和一套指令，并不会让它具备责任能力。它需要被持续监控，以确保在预先设定的限制范围内运作，并且还应对自己的行为留存记录。
现有工具，如审计、交易所记录以及受监管的数据提供方，也能帮助厘清在决策时可获得哪些信息，以及决策是如何做出的。不过，视系统而定，其依赖的信息可能还需要与独立来源进行交叉核对，或纳入既有的金融控制之下，因为无论智能体的推理多么严谨，一旦输入有误或被篡改，得到的决策必然错误。
当一个智能体被允许做出金融决策时，对审计轨迹的需求会显著提升。因为审计轨迹可以让审查人员或第三方厘清：智能体被指示做什么、接收了哪些数据、做出了什么决定、在何时做出，以及随之发生了什么交易。
被操纵的风险
另一项主要担忧在于，AI 智能体正越来越多地接入外部系统。这意味着，它们有时必须依赖外部生成的信息来做决策，外部因素也会影响其执行任务的方式。
因此，智能体所依赖的数据在传输过程中被修改或操纵的风险始终存在。换句话说，AI 智能体从其他来源接收到的信息，到真正被它使用时，可能已经不是原样。
例如，被操纵的价格数据源或遭到入侵的预言机，可能会让自动化金融系统基于错误信息做出决定。而当信息本身价值越高，篡改该信息的动机也会越强。
AI 能以极高速度处理海量信息，但接收到信息并不意味着这些信息真实或可靠。金融系统已经在使用一系列控制措施来评估关键数据的可靠性，不过，随着 AI 智能体承担越来越多决策责任，这些控制很可能需要进行调整和扩展。
为了让 AI 智能体能够做出稳健的决策，它们在必要时应能明确：自己使用了哪些数据，这些数据的来源是什么，何时生成，以及其间是否被更改。具体如何实现，会因系统架构和所涉金融活动的不同而有所差异。
我们需要能证明“发生了什么”的证据
多年来，金融体系已经为个人与机构建立并实施了大量控制措施。有监管者负责确认，金融机构“拥有足够的内部控制框架，以建立并维持一个有效受控且经过测试的运营环境来开展其业务”。
当然，这一框架并不完美，也有其自身的不足。但更关键的是，这一框架是建立在“决策主体是个人或组织”这一前提之上的。
AI 智能体改变了这一点。这些系统不需要睡眠，也不会在节假日关闭——它们可以持续运行。它们也能在无需每一步都等待人工批准的情况下，与其他软件交互，并在数秒内执行上千笔例行交易，而这些交易可能具有极大的影响力。
这给金融基础设施带来了全新的难题。要解决这一点，行业需要能回答四个关键问题：
- AI 智能体被允许做什么？
- 它使用了哪些信息？
- 它实际做了什么？
- 这些记录是否可以被独立验证？
最后一个问题很可能是最重要的。不能把智能体自己的日志视作判断其是否遵守预定限制的唯一“真相来源”。日志可能不完整，系统可能故障，记录也可能被篡改。
有几种可行路径。受监管的审计日志会正式记录系统活动，供日后审查。WORM 存储（write once, read many，即“写一次，多次读”）以一种保存后无法编辑的形式存放数据。第三方证明（attestation）则由外部机构出面，确认某事确实如声称的那样发生。它们各有所长，但大多记录的是系统自身报告的活动，因此，如果系统被攻破，或一开始获取的输入就是错误的，那么记录可能会“准确地记录错误的事情”。
另一种做法，是将智能体行为记录保存在与产生这些行为的系统相分离的地方，这样，对“发生了什么”的叙述就不再依赖该系统对自身活动的自我报告。究竟采用哪一种，或哪几种的组合，将取决于具体机构及其应用场景。