金融智能体必须说明决策过程

审计的产品是审计意见，而意见的质量取决于支撑它的依据。我是 Fieldguide 首席安全工程师 Anirudh Veeraragavan。问题是，当智能体承担部分工作时，决策过程应当是什么样子。

以银行对账为例。审计人员将客户账簿上的现金与银行余额比较，并解释在途存款、未兑现支票等差异。目的是检验客户报告的财务状况是否与证据相符。

可以给智能体提供账簿、对账项目清单、支持性证据、审计方法和上年度样本，再用以前审阅过的审计项目建立评估集，最后让人签字。这是自动处理繁琐、大批量工作的合理方法。

假设评估结果出色、用户满意、产品也上线了。随后检查人员问，为什么某一项具体审计程序和某一份证据足以支持结论。总体分数无法回答智能体如何做出这项决策。

金融欺诈说明错误的后果可能有多严重。Veeraragavan 说，在 Peregrine Financial Group 案中，声称的银行余额超过 2 亿美元，实际却只有约 500 万美元。他用这个例子说明，财务决策需要有日后可以解释和辩护的依据。

审计行业提供了一个标准：没有参与工作的有经验审计人员，应当能够理解测试、证据和决策。应用到智能体，就是另一名审计人员应能跟随智能体的工作过程。

Veeraragavan 将必要措施分为授权、执行控制、证据来源和评估完整性。它们都依赖于知道智能体何时应停止、交由人决策。他用一家虚构货运公司的 2026 年银行对账说明这些措施。

在这个虚构案例中，银行记录约为 290 万美元，客户账簿约为 270 万美元，差额由 41 个对账项目解释。接下来的例子跟踪其中两张支票和两笔存款在智能体工作流中的处理过程。

首先，审阅人将一张支票标记为异常并签字。几天后，新信息触发智能体，把项目改成“无异常”。即使新答案正确，签名现在也出现在审阅人没有看过的内容上。

因此，授权不仅取决于工具调用是否获准，还取决于对象、其状态和操作时间。智能体可以在未审阅项目上起草建议，但不应悄然覆盖人已经审阅的工作。

第二项控制是执行过程。假设一两年后重新运行相同工作，得到不同结果。仅记录智能体获取了证据、进行了推理并给出答案，仍不足以找出两次运行从哪里开始产生差异。

应把一次运行记录为一串可识别的步骤，每步都保存输入和输出。区分获取或匹配等确定性操作与提取字段、得出结论等模型步骤。这样就能单独重跑某一步，并与原始结果比较。

在示例中，比较步骤后发现原始运行正确，后来的运行出错。重点不只是得到正确答案：记录让审阅人能够展示推导路径，并调查为什么另一次运行不同。

第三项控制是证据来源。一个智能体引用“1 月银行对账单第 2 页”，但结论来自错误的账户。在大型审计项目中，多份文档可能同名；即使名字唯一，也无法说明使用了哪个版本或由谁提供。

引用应当标识具体文档、版本和内容哈希。一旦结论关联到明确的来源，系统就可以执行证据规则，例如要求使用直接从银行取得的对账单，而不是客户上传的文件。

第四，要评估评估数据本身。去年审阅过的审计项目，今天未必仍是正确的参考答案。它可能已被后续结论取代、依据了质量不佳的证据，或采用了已经改变的方法。

在示例评估中，97% 的分数掩盖了不同类型的错误。9 个表面上的错误中，有 4 个来自参考答案错误，说明智能体在这些例子上表现更好。另有 12 个按旧规则算作正确的项目现在应标为异常，意味着分数也掩盖了真正的遗漏。

当智能体试图更改已签署的工作、新旧运行结果不一致，或证据不符合适用规则时，它需要停止并请求人工处理。审阅人应当看到出了什么问题，以及需要从哪里调查。

提交的异常应当易于核实，却不一定容易批准。如果系统不断打断人，自动化偏见可能让审查变成习惯性接受。应突出异常情况并提供充分上下文，让人做出有意义的决定，即使审查需要时间。

这些控制措施需要共同发挥作用。没有授权控制，已签署的答案可能在审阅人不知情时改变。没有执行记录，正确答案也无法重建。没有证据来源，错误答案的出处可能不明。没有可靠的评估数据，总体分数可能产生误导。

同样的问题也适用于审计之外。放贷机构应能检查贷款为什么获批或被拒；反洗钱团队应能检查关闭或升级警报所依据的证据。对于影响重大的金融决策，“模型是这么说的”不足以作为解释。