代理 AI 與只回答問題的聊天式 AI 不同：它可能規劃步驟、讀取企業資料、呼叫工具，甚至把結果寫回系統。因此，安全治理不能只靠 Prompt 約束，而要以「應用場景」為單位，明確限制 Agent 能讀什麼、能用哪些工具、能執行哪些動作，以及何時必須由人接手。
代理 AI 與聊天式 AI，風險差在哪裡？
聊天式 AI 回答錯誤時，主要風險通常停留在內容層；代理 AI 若取得工具與系統權限，錯誤可能沿著多步工作流擴散。例如，錯誤解讀會員狀態不只會產生一段不準確的文字，還可能建立錯誤名單、觸發通知，或改寫訂單與客服狀態。
這也是為什麼「要求模型不要做危險的事」不足以形成安全控制。真正的授權必須落在身份與權限管理、API Gateway、Tool 規格、參數驗證、核准流程與執行環境，而不是只寫在自然語言指令裡。
可摘錄定義：代理 AI 安全治理，是針對 Agent 可接觸的資料、工具、動作與輸出目的地建立風險分級、最小權限、人工覆核、監控、停用與追溯機制。
金融業安全諮詢文件提出了哪些治理重點？
台灣金融監理機關近期提出金融業運用代理 AI 的安全諮詢文件，顯示治理焦點正從「模型會不會答錯」擴大到「Agent 能不能替人採取行動」。需要特別說明的是：該文件屬於諮詢性質，不應寫成已普遍生效的新法規，也不能直接推論所有產業都負有相同義務。
對一般企業仍有參考價值的，是它採用的治理思路：以具體應用場景為單位，先釐清業務目的、責任人、資料、工具、可執行動作、輸出目的地與異常處理，再依風險配置相稱的控制。這與「先買模型，再補治理」的順序正好相反。
代理 AI 風險如何分級？先看三個軸
企業可先用三個軸判斷控制深度。下表是實務評估框架，不是監理機關公布的正式分級表。
| 評估軸 | 要問的問題 | 風險升高的訊號 |
|---|---|---|
| 資料敏感度 | Agent 會讀取哪些資料？ | 個資、交易、財務、健康或機密資料 |
| 動作影響 | Agent 能否改變外部或 Production 狀態？ | 付款、發送、刪除、改價、寫回訂單或帳戶 |
| 能力邊界 | 它可呼叫多少工具、連走多少步？ | 跨系統、多步自主執行、可自行選擇目的地 |
例如，「只讀取去識別化會員彙總並產生分析」通常比「建立待審核促銷名單」低風險；而「直接發送訊息、修改訂單或啟動付款」則需要更嚴格的權限與核准。即使資料敏感度不高，只要動作難以復原或影響大量對象，風險等級仍應提高。
不同風險等級，控制深度應該怎麼配？
- 較低風險：限制為唯讀、使用去識別資料、限縮資料集、記錄查詢與輸出。
- 中度風險：加入參數白名單、結果覆核、短效憑證、執行上限與異常告警。
- 較高風險：要求雙重核准、交易或批次限額、執行前預覽、Kill Switch、完整稽核與復原方案。
關鍵不在替每個 Agent 貼上一個永久標籤，而是看「哪個場景、哪組資料、哪個工具與哪種動作」的組合。場景、模型、資料來源或工具一旦改變，就應重新評估。
企業落地代理 AI 治理的六個步驟
- 建立 Use Case 與責任人：定義它解決什麼問題、誰核准、誰承擔營運結果。
- 畫出執行邊界：列出資料來源、Tool、參數、動作、寫入目的地與下游影響。
- 完成風險分級：依資料敏感度、動作影響與自主範圍訂出允許、需核准與禁止事項。
- 把權限落到系統：使用獨立身份、最小權限與短效憑證；不要讓 Agent 共用管理者帳號。
- 設計人工接管：定義何時覆核、降級、停止、回復，以及失敗後由誰處理。
- 保存可追溯紀錄：記錄輸入、政策判斷、工具呼叫、參數、結果、核准者與版本。
若企業還沒建立這些基礎，可以先從低風險、唯讀、可回復的情境開始。先證明治理閉環能運作，再逐步提高自主程度，比一次開放多個高權限工具更可控。
LINKY AI 如何承接資料、工具、權限與治理？
以解決方案架構來看，LINKY CONNECT 可用來規劃企業資料與系統的接入；LINKY REASON 則可承接 Agent、Tool、Permission、Boundary、Evaluation 與 Execution Log 等治理設計。實際可用能力、串接範圍與控制深度，仍需依企業現有 IAM、API、資料架構及個別專案確認，不應解讀為現成法遵套件或完整監理保證。
若你正在評估第一個代理 AI 場景，可先盤點四件事：它要讀什麼、能用什麼工具、能改變什麼，以及哪一步一定要有人核准。這四題答不清楚，就不適合直接進入高自主執行。
結論：自主化必須建立在可停止、可追溯與可接管之上
代理 AI 的價值不是讓系統「什麼都能做」，而是在清楚邊界內完成更多工作。好的治理會讓 Agent 擁有完成任務所需的最小能力，同時保留人工覆核、異常停止與責任追溯。當企業能回答「誰授權、依什麼規則、做了什麼、如何復原」，代理 AI 才有條件從展示走向正式營運。
常見問題 FAQ
代理 AI 一定需要人工核准嗎？
不一定。低風險、唯讀且可回復的任務，可依政策自動執行；涉及個資、金流、外部發送、刪除或高影響寫入時，通常應保留明確的人工或政策核准。
只讀 Agent 是否一定屬於低風險？
不一定。若可讀取大量敏感資料、跨資料域聚合，或輸出會驅動高影響決策，即使沒有寫入權限，仍可能是中高風險。
風險分級多久要重評一次？
不只看固定週期。模型、資料來源、Tool、權限、使用人數、輸出目的地或法規要求改變時，都應觸發重評。
金融業諮詢文件是否適用所有產業？
其直接適用範圍與法律效果應以主管機關最終文件為準。其他產業可以參考其風險導向方法，但不應把它直接寫成全產業的強制義務。
參考資料與延伸閱讀
- 公共政策網路參與平臺｜金融業運用代理 AI 安全相關諮詢資料：本文用於整理場景治理與風險導向思路；文件狀態須與正式法規區分。
- 國家科學及技術委員會｜人工智慧基本法：人類自主、隱私、資安、透明與問責等原則。
- 數位發展部｜人工智慧風險分類框架：與金融業代理 AI 諮詢文件分開引用。
- NIST｜Least Privilege：最小權限定義。
- OWASP｜Excessive Agency：功能、權限與自主性過大的風險。