金融领域的代理式人工智能安全：基于文件的风险藏身何处

主要收获

• 代理式人工智能已在金融领域得到应用：合规审查、交易监控、审计准备、监管报告等，且代理系统默认情况下无需人工检查文件即可运行。

• 财务代理与支付处理商、ERP系统、受监管的数据存储库以及审计门户相连。每条连接都构成一个信任边界；一个受感染的文件就可能危及所有这些连接。

• 传统恶意软件（Emotet、Carbanak、FIN7）和新兴威胁（提示注入）以机器级速度利用代理信任机制；在此过程中，人类尚无法及时介入。

• DORA、PCI DSS、美国证券交易委员会（SEC）的网络安全披露规则以及FINRA/FFIEC均要求对代理工作流实施治理，且一旦代理人员处理文件不当，即须履行事件报告义务。

• 在代理程序加载文件之前对文件进行检查，是当前关键的缺失控制措施。MetaDefender™Cloud 会在代理程序接触文件之前拦截每一个文件：凭借 20 多个引擎、Deep CDR™ 技术以及Adaptive Sandbox ；。

至少可以说，2026年7月对具有自主行为能力的人工智能安全领域而言，是一个颇具看点的月份。Anthropic和OpenAI两家公司都因重大新闻事件登上了头条；这两家公司均卷入了智能体突破沙箱环境并入侵原本安全的服务器事件。

这一消息并未让任何人感到意外。早在2026年2月，就有研究开始浮出水面，记录了代理在无人监管时容易失控的现象。其中一项名为《混沌代理》的研究揭示，代理能够：

• 遵守非业主的指示

• 泄露敏感数据

• 执行破坏性的系统级操作

• 在彼此之间传播不安全的做法

简而言之，就目前而言，代理式人工智能尚不具备完全接管日常任务的能力。这一点在金融领域的AI代理攻击面中表现得最为明显——在那里，自主性已经超越了监管能力。

本月，您的合规专员处理了大约300份文件，从存储环境的各个角落调取了申报文件、发票、供应商对账单和审计文件。在这个过程中，它在哪个环节检查过这些文件是否真的安全？

如果你无法自信地回答：

1. 你并不孤单；大多数金融机构也是如此。
2. 回答这个问题应该成为你的头等大事。

Gartner的调查显示，2025年，59%的财务负责人已在财务职能中部署了人工智能。虽然2026年的数据尚未公布，但我们可以推测其采用率有所提升。人工智能代理被用于合规审查、交易监控、审计准备或监管报告。

以典型的月度合规审查工作流程为例。一名专员：

1. 从 SharePoint、Box 或 Amazon S3 中检索文档
2. 分析并提取数据，并根据相关证明文件对其进行验证
3. 查询 Salesforce 或 Stripe 以核对付款差异
4. 创建 Jira 工单，并将其转交至财务或法务部门
5. 通过 Teams 或电子邮件通知相关团队
6. 编制合规报告，并将其导出给外部利益相关方

这涉及六个步骤、多个系统，且完全不进行文件检查。进入处理流程的每份文档都被视为可信。这既是设计初衷，也是问题所在。

除了“黑客行动主义者”或受国家支持的攻击者外，大多数攻击者主要会瞄准回报丰厚的行业，背后并无其他动机。去年，成为攻击目标的行业包括制造业、医疗保健、金融和政府部门——这些行业既拥有丰富的数据集，又面临巨大的损失风险。

在直接盗窃的情况下，黑客会将目标锁定在支付网络、银行账户和区块链基础设施上，以直接挪用资金。金融机构同样成为攻击目标，因为它们面临着维持运营、遵守合规要求以及维护公众信任的巨大压力，这使得它们更倾向于支付赎金以恢复系统。

行业特有的业务流程也会产生影响。Agentic 工作流可与支付处理商、ERP 系统、监管门户、云存储以及审计门户对接。这些连接中的每一个都是一个信任边界，而每个信任边界都可能成为潜在的单点故障。

由于其具备机器级执行速度，以及随之而来的生产力提升前景，代理式人工智能正日益受到关注。但正是这种速度，也暗藏着危险。

过去，能发现恶意发票或受感染审计报告的唯一方法，就是让人在打开文件前稍作停顿。Agentic AI 彻底消除了这一检查点。一个原本会在某人的收件箱里滞留一天的受感染文件，现在只需几秒钟就能被系统接收、读取并处理。

各组织还面临着员工在受管控渠道之外使用人工智能工具，或向人工智能系统共享未经授权数据的难题。2023年，三星的工程师将专有源代码和内部会议记录上传到了ChatGPT。去年夏天，美国网络安全与基础设施安全局（CISA）时任代理局长将敏感政府文件上传到一个公开的ChatGPT会话中。

如果缺乏监管的聊天工具会带来如此大的风险，那么能够直接访问支付系统和监管数据的、缺乏监管的自动化工作流，其风险程度则要高得多。

大多数金融监管框架已将代理型人工智能纳入其合规规则，要求各机构将代理行为纳入与其他工作流程相同的控制措施之中。因此，代理型人工智能是一个监管问题，也是监管机构当前界定金融服务领域人工智能风险的核心所在。

• DORA 将人工智能代理视为信息通信技术（ICT）系统。该法案自2025年1月17日起生效，欧盟金融机构必须将代理故障纳入与其他所有系统相同的ICT风险管理、事件报告及韧性测试框架之中。德国联邦金融监管局（BaFin）在2026年1月的指导意见中直接确认了这一点：代理和大型语言模型（LLMs）不享有单独的监管制度，必须纳入现有的DORA治理和测试框架之中。 根据《DORA》，代理处理不当的文件与其他任何事件一样，均属于ICT事件。

• PCI DSS 适用于任何存储、处理或传输持卡人数据，或可能影响该数据安全的系统；PCI安全标准委员会明确指出，这包括能够访问受保护支付信息的人工智能系统。代理处理的发票或对账单与人工操作系统一样，均属于PCI的适用范围，这意味着无论是否由代理处理，都应适用相同的控制措施。

• 美国证券交易委员会（SEC）网络安全信息披露规则 要求上市公司在确定事件具有重大性后的四个工作日内披露重大网络安全事件。该规则并未区分由人为错误引发的事件与由自主代理程序引发的事件。如果代理程序处理的文件最终导致重大数据泄露，则披露时限的起算方式与其他任何数据泄露事件相同。

• FINRA和FFIEC已将人工智能治理作为审查的核心。FINRA的《2026年度监管监督报告》专门开辟了首个章节，探讨生成式人工智能和代理式人工智能，并对人工智能驱动活动的测试、监控、人工审核及记录保存提出了相关要求。

归根结底：一种基于文件且由人工智能传播的感染，可能会触发《DORA》下的ICT安全事件、PCI DSS下的范围违规、SEC规则下的重大性判定，以及被FINRA或FFIEC检查员指出的监管漏洞。

正如前文所述，代理式人工智能的控制始于文件层面；也就是说，一切都始于一个问题：该代理即将处理的文件中包含什么内容？

根据这一答案，可以总结出一套最佳实践（这些实践应成为习惯）：

1. 将所有输入视为不可信，包括来自可信内部来源的文件，并在代理程序接触这些输入之前，先将其通过专用的扫描层进行处理。
2. 基于“零信任”原则，结合多层安全防护和检查策略，判断文件是否遭到入侵。
3. 在具有自主性的AI背景下，先明确“破坏性行为”的含义，然后制定明确的策略定义。
4. 验证并严格管控代理所涉及的各系统之间的数据流向：存储系统、CRM、支付处理系统、票务系统以及通信工具。
5. 通过事件驱动的扫描来保护 SharePoint 和 S3 等存储环境，确保文件一经上传即刻接受检查，而非等到代理程序已对其采取操作之后才进行检查。

如果没有MetaDefender Cloud ，代理工作流将处于“盲运行”状态；文件会被直接导入 AI 工作流，且在整个路径中没有任何扫描环节，因此恶意软件、恶意宏和提示符注入都会在未被检测的情况下通过。 在下游系统出现故障之前，没有人能够洞悉文件内容或其中的嵌入式威胁。鉴于代理程序同步、共享和执行操作的速度之快，一份恶意文档可能在几分钟内演变为影响整个组织的事件。而当监管机构最终要求提供事件发生时间及经过的证据时，却没有任何审计轨迹可供提交。

借助这一机制，同一份文件会在代理程序看到它之前就触发了检查点。其核心思路在于调整检查点的位置。将其移至代理程序之前，代理程序的速度就不再成为负担。这就是“代理式人工智能安全”正确实现的全部前提。