面向智能体的模型风险管理

照字面读那道豁免，因为审查官会。

SR 11-7 统治美国银行业的模型风险管理长达十五年，到 2024 年，多数大型机构已经把它掰弯到能罩住机器学习。SR 26-2 取代了它，把传统机器学习牢牢留在适用范围内，却拒绝把这个范围延伸到生成式与智能体式系统——监管方的立场是：这类系统需要一套属于自己的框架，而不是一套被拉伸过的。英国 PRA 的 SS1/23 自 2024 年 5 月 17 日生效，其起草对象也是同一类物件：一个有输入、有输出、方法论可被界定的模型。

• 不在适用范围内，不等于不在监管边界内。一个替信贷员归纳借款人材料的智能体并没有逃出 ECOA；一个给制裁名单命中做分流的智能体也没有逃出 BSA。那个决定由它自己的法条管着，于是监管问题变成了"这东西归你哪套框架管？"——而这个问题有一个错误答案，叫"哪套都不归"。
• 这道缺口是管辖权上的，不是实质上的。豁免条文里没有任何一句说智能体式系统风险低。它说的是：既有的那套模型风险管理机器——独立验证、有效挑战、模型清单——当初不是为它们写的，而监管方宁愿另写一套，也不愿看着机构假装这身衣服很合体。
• "我们在等新指引"才是真正的失效模式。这也是最常见的姿态，因为它在审查官开口问你"这段时间跑的补偿性控制是什么"之前都是免费的。承诺中的后续指引，并不妨碍一家机构现在就把既有的操作风险与第三方风险框架套上去，而这两套框架每家机构都已经有了。
• 换个地方，答案早已写好。欧盟 AI 法案并没有把智能体从高风险分类里挖出去，于是一家跨国机构的同一批智能体，在法兰克福身处一套有约束力的制度之中，在夏洛特却身处一道缺口之中。按更严的那一套来设计——见面向智能体的欧盟 AI 法案。

风险对象是动作集合，不是模型。

模型风险管理验证的是一个函数：给定这些输入，该方法论产出这个输出，风险在于输出错了或被误用。智能体不是函数。它是一个在环境中选择动作的策略；同一套权重换一份工具清单，就是另一个系统，风险画像完全不同。

• 跑在同一个模型上的两个智能体不是同一个模型。一个只有只读检索，一个握着支付工具——它们共享每一个参数，却几乎不共享任何风险。任何以模型 ID 为主键的清单都会把它们记成一条，并且对两者都记错。
• 危险的失效是：输出正确，却据此采取了错误的动作。经典模型风险问的是那个数对不对。智能体风险问的是接下来发生了什么——一个校准良好的相关性分数，喂进一个会关闭账户的工具，就是一次任何输出准确率测试都发现不了的控制失效。
• 风险随可达性放大，不随模型规模放大。按"能够到什么、有多难撤回"给你的智能体排序：只读、生成草稿交人、需审批写入、无人值守写入。这个排序对事故严重度的预测力，远胜参数量或跑分，也正是该写进分级政策里的那个排序。
• 环境本身是受验证系统的一部分。第三方提供的工具描述，是你并不拥有、且能在没有任何发版的情况下改变的 prompt 文本——见第三方工具漂移。一次只检视了你自己 prompt 的验证，只验证了半个系统。

把有效挑战重新对准轨迹。

独立验证的三个组成部分——概念健全性、持续监控、结果分析——原封不动地活过了这次迁移。变的是每一项所接受的证据。

• 概念健全性变成对循环的设计评审。不是"这个架构对这批数据合不合适"，而是：这个智能体能做什么、什么能拦住它、当一个工具返回带敌意的内容时会发生什么、人站在哪里、单次最坏动作的爆炸半径有多大。厂商的模型卡片对以上没有一条能作答，因为没有一条是模型的属性。
• 持续监控就是轨迹监控。盯步数、工具调用分布、上报率、人工推翻率与弃权率，并对它们的漂移告警，而不只是对输出分布告警。工具组合的变化，是"行为已经改变"最早可得的信号，而且它比结果早到几周。见结果评估 vs 轨迹评估。
• 结果分析需要一份长期存在的人工抽样基准。智能体没有回测，因为那些动作改变了下一次观测所来自的那个世界。替代方案是：一份按固定节奏、由具备资格的评审人裁定的运行抽样，并把它当作长期运营成本入账，而不是上线成本。
• 独立性在这里必须被刻意造出来。验证方不能是写 prompt 的那支团队。落到实处，第二道防线需要自己的评测集、自己的执行环境，以及在不向建设方要权限的前提下把智能体跑在留出用例上的能力——否则"有效挑战"就等于读一份 PPT。
• 非确定性是一条验证发现，不是一句托辞。能固定的随机种子与版本都固定下来；固定不了的，就把方差报出来：同一个用例跑 n 次，记录所采取动作的离散程度。一个通过一次、每二十次失败一次的控制，是一个你根本没测过的控制。

先把清单的登记单元定对，其余再说。

每一套模型风险管理制度都锚在一份完整清单上，而智能体缺口最先咬人的就是这里：机构有模型清单，却没有地方安放智能体。两个极端都失败——只登记基础模型，会把不同的系统压成一行；把每次 prompt 修订都登记，会造出一份没人维护的清单。

• 登记配置，不是登记检查点。单元是这个四元组：模型版本、系统提示版本、工具与权限集合、策略配置。是这个四元组决定行为，也该由它触发变更管理——与灰度发布与版本化是同一个版本化对象。
• 从运行时生成它。手工维护的表格不出一个迭代周期就过期。让登记表由部署配置生成，使"上线一个未登记的智能体"在机制上不可能——做法见智能体清单与登记册。
• 每条记录都要有业务责任人和验证人。不是团队，是具体的人。这里的问责映射比经典模型风险管理更要紧，因为智能体是在两次复核之间行动的，而不是只在打分那一刻——见问责与角色。
• 把工具当作有主的依赖登记下来。一件落在智能体动作集合里的第三方工具，就是一件嵌在决策流程里的供应商依赖，它同时属于第三方与供应商风险和模型清单。

把智能体归到操作风险名下，别再等了。

模型风险管理框架不认领它，就必须有别的框架认领。可行的归宿是既有的三道防线结构：把智能体当作"带自动化的流程"处理，借用模型风险的词汇，但不假装智能体是模型。

• 第一道防线拥有控制。不可逆动作上的审批闸门、花费与步数上限、最小权限凭证，以及"怎么把它关掉"的操作手册。这些是操作性控制，也可以按操作性控制来测试——人在回路与急停开关是审查官最先问的两项。
• 第二道防线负责挑战与分级。如上所述的独立验证，加上决定这套东西要套用多少的风险分级判定。按第 2 步的可达性与可逆性来分级。
• 第三道防线审计流程本身，包括那份判定备忘录。内审要问的是框架归属是否经过刻意判断并被复核过，而不是这个智能体准不准。
• 合规负责法定叠加层。不利决定的具体理由、披露、记录留存与面向消费者的措辞，都不因技术而改变；如果智能体的输出喂进一次不利决定，那么"必须给出具体理由"的要求就适用于产出它的那个东西。
• 别让厂商的保证替代验证。一份 SOC 2 报告和一张跑分卡片描述的是供应商的控制与供应商的评测，两者都不构成关于"你的动作集合作用在你的数据上"的证据，而后者才是受审对象。

什么能过检查，以及这个季度该建什么。

这道缺口终会补上：监管方已经说了后续指引在路上，而那时手里已有产物的机构做的是映射，不是从头建。四件交付物承担了几乎全部分量。

• 一份由运行时生成的完整智能体清单，以配置四元组为主键，每条记录带责任人、验证人、风险等级与动作集合。
• 每个智能体一份书面的框架归属判定，签名并注明日期，写清归哪套制度管、为什么，以及复核触发条件。
• 每次运行一份可回放的记录，覆盖工具调用、参数、审批以及产出它们的配置版本——保存期取"你的模型文档留存表"与"底层决定的法定留存期"中较长的那个，见留存与法律保全。
• 一份长期存在的验证抽样，配套裁定流程、由总体规模而非方便程度推出的目标样本量，以及抽样不通过时的书面上报路径。

相关：面向智能体的 NIST AI RMF——一套并未把智能体排除在外的自愿性框架；审计追踪——记录层；治理落地——运行节奏；以及金融智能体——同一问题的建设面。