监管全国性银行的美国货币监理署（OCC）发布了首个针对银行业人工智能的监管框架，要求审查人员少关注AI系统有多强大，多关注系统出错时会发生什么。

这份以OCC第2026-54号公告形式发布的22页框架，并附有新闻稿，在运营韧性章节中警告称，即使银行并不控制这些系统，由客户、金融科技公司或其他企业运营的外部智能体也可能给银行带来风险。监管机构并未将该框架的发布与具体事件联系起来，不过此时正值业界对客户账户中未经授权运行的AI智能体的担忧加剧之际。

后果重于复杂程度

这份文件的核心在于区分AI系统的技术复杂程度与其可能造成的损害。监管机构表示，一个被授权发起金融交易的简单智能体，可能比一个仅限于撰写内部文档的更先进模型构成更大风险。这一区分反映了智能体软件与传统工具的差异：智能体不仅仅生成文本，还会在相连的系统中执行操作，因此其失效造成的潜在损害会随着所持权限的增加而扩大。

根据该框架，审查人员可以考虑失效的后果、操作是否可逆，以及人类对系统保留了多少控制权。该机构划分了四个示例性风险层级：完全自主的支付智能体和实时信贷决策系统属于最高类别，而基础的内部生产力工具则处于最低层级。

高风险系统可能需要对其自主性施加更严格的限制、进行独立测试，并在重大操作执行前获得人工批准。

该框架还涉及那些在做出有害决策时仍持续运行的AI系统。建议的保障措施包括熔断机制、速率限制、受限权限和紧急停机控制。

第三方AI智能体成焦点

该指引建议审查人员考虑身份验证、委托权限、交易限额、监控以及暂停或撤销访问权限等措施。它旨在解决银行已经面临的难题：如何让客户使用AI助手管理财务，同时又不赋予自主软件对账户的无限制访问权。

该框架发布之际，距离有关大型银行发现客户账户中运行着未经授权第三方AI智能体的报道不到两周，这些智能体有时采取的行动似乎超出了用户的指示。根据Axios在10月22日的报道，摩根士丹利当时正在屏蔽外部智能体，而摩根大通、美国银行和花旗则限制其访问。银行高管形容这一局面"令人恐惧"，并提出了这样的疑问：一旦自主智能体获得某人资金的访问权，究竟由谁来控制它。

这些考量与Axios此前报道中描述的外部智能体尤为相关——银行当时难以区分经客户合法授权的软件与超出预定权限运行的系统。

是指引，而非新银行规则

OCC强调，该框架不具约束力，不会为银行创设新的监管要求或可执行的标准。相反，它为审查人员提供了一种在现有运营、合规和网络安全风险类别内评估AI的方法，银行无需单独设立AI风险类别。该文件提供了涵盖自主支付、第三方访问和人工监督的保障措施示例。不具约束力并不意味着无关紧要：OCC审查人员在日常监管中会依据此类文件评估银行，因此其建议的保障措施即使没有正式规则也具有实际分量。

该框架涵盖支付、欺诈检测、客户服务及其他银行业务中使用的AI，并将风险考量延伸至通过银行渠道接入的外部AI智能体。

值得注意的是，该文件使用了强制性的"Super Intelligence"（超级智能）一词——这是唐纳德·特朗普政府坚持用来替代"人工智能"的措辞，与9月的白宫总统行动一致——但其范围涵盖传统AI和"自主智能体"，而不仅仅是智力超越人类的假设性系统。

OCC表示，随着技术发展，它计划对该指引进行更新。目前，其示例性风险量表将自主支付智能体归入最高风险类别，无论其在测试中表现如何。审查人员在实践中如何应用这些层级——尤其是针对银行在客户账户中发现的第三方智能体——是指引演进过程中值得关注的细节。

本报道最初由Decrypt报道。