AI 金融代理的执行权、责任边界与可验证风控
上一篇文章《AI 不能替代它所依赖的东西》讨论了一个底层逻辑问题：AI 可以替代越来越多人的工作，可以进入越来越多执行环节，但它不能替代外部事实、责任归属、价值共识和合法性结构。这一点用于解释《从复式记账到可验证金融学》所建立的理论基础——可验证金融的事实基础不可动摇。
沿着这个问题继续往下走，金融领域马上会出现另一个更现实的问题：如果 AI 不只是回答问题，而是开始替人执行金融行为，它应当如何被授权？这个问题看似属于技术或产品设计，实际是 AI 时代金融制度的核心问题。因为 AI 一旦成为金融代理，就不再只是一个信息工具，而是可能参与付款、交易、调仓、赎回、清算、风控、审批、合同执行和资产管理。此时重要的问题，不是 AI 能不能做，而是它凭什么做、能做到哪里、做错以后谁负责。
一、AI 编程追求确定性，AI 代理带来不确定性
今天很多人谈 AI Agent，容易把它和传统软件混在一起。实际上需要区分两种情况。
一种是用 AI 编程。AI 帮人写代码，最终产物仍然是一个 APP、一个接口、一个流程或一个工具。这个过程虽然借助 AI，但目标仍然是确定性：输入确定，规则确定，输出尽量确定。AI 在这里主要是开发工具，最后运行的是程序。
另一种是 AI 代理。AI 不是只帮助开发程序，而是直接替用户执行任务。它根据用户目标调用工具、访问账户、判断情况、选择路径、生成结果。当前许多 AI 代理还比较像功能型 APP，例如订票代理、邮件代理、客服代理、日程代理、交易助手。它们功能相对单一，边界相对清楚，只是界面从按钮变成了对话。
但如果 AI 代理继续发展，问题就会变化。它会越来越像人类代理：不只是执行固定功能，而是根据目标调整路径，在过程中比较方案、修改策略、调用新工具，甚至进行自我迭代。这个时候，它的不确定性会显著上升。
人类代理可以在执行过程中灵活调整，是因为人处在责任体系中。人会承担法律责任、财产责任、职业责任、声誉责任和关系责任。AI 代理如果也具备这种灵活执行能力，却没有相应责任结构，就不能继续沿用人类代理的授权模式。
二、人可以充分授权，AI 不能充分授权
传统社会讲责、权、利对等。一个人获得某种代理权或经营权，通常也要承担相应责任，并享有相应利益。企业家有经营权，也承担亏损和破产风险；基金经理有投资决策权，也承担信义责任和职业责任；法官有裁决权，也承担制度责任；代理人获得授权，也要受法律和合同约束。
AI 不一样。
AI 可以被赋予执行权，但它不是完整的权利主体，也不是最终责任主体。它不拥有真正的财产利益，不承担最终赔偿责任，不会破产，不会坐牢，不会像人一样失去职业声誉和社会关系。它可以执行，却不能最终承担；可以操作，却不能消化后果；可以在局部能力上超过人，却没有与人相同的责、权、利结构。
因此，不能说 AI “有权”。更准确的说法是：人或法人拥有权利，人或法人作出授权，AI 被赋予执行权。AI 获得的是执行权，不是责任主体地位。
这一区分非常关键。
人类代理在某些情况下可以被充分授权，是因为他能够承担后果。AI 金融代理则不同。AI 可以被赋予执行权，但不能被赋予无边界执行权。它不承担最终责任，也不享有最终利益，因此不能按照人类代理人的方式充分授权。
所以 AI 金融代理的基本原则应当是：AI 可以执行，但不能全权执行；AI 可以被授权，但不能模糊授权；AI 可以自动操作，但不能自动扩权；AI 可以辅助决策，但责任必须回到人或法人。
三、授权必须有限、清楚、可撤销
如果 AI 代理进入金融系统，授权就不能停留在一句“我同意”或“帮我管理好资产”。这种模糊授权对人类代理已经有风险，对 AI 代理风险更大。因为 AI 执行速度更快，覆盖范围更广，一旦越权或错误，损失可能在很短时间内放大。
AI 金融代理的授权必须是有限授权，而不是充分授权。
它至少要明确几个问题：谁授权；授权给哪个 AI 或哪个系统；允许操作哪些账户和资产；允许做什么；禁止做什么；单笔额度是多少；每日或周期额度是多少；授权期限多久；是否允许交易、转账、赎回、调仓；是否允许调用外部工具；是否允许调用其他 AI 或子代理；是否允许自动迭代；什么情况必须暂停；什么情况必须重新确认；出错以后责任归谁。
这里最重要的是，AI 的执行权不能自我扩张。AI 不能因为发现“更优方案”，就自动扩大资产范围、提高交易额度、接入新平台、改变风险等级或修改授权边界。
授权还必须包括撤销机制。尤其在高速交易、自动清算、稳定币赎回和资产调仓场景中，普通撤销可能已经太慢。因此，高风险 AI 金融代理应当具备紧急停止机制或断路器机制：一旦触发越权、异常交易、风险超限、数据冲突或授权主体撤销指令，系统应立即暂停相关操作，而不是等事后追责。
一句话说：AI 可以自动执行，但不能自动扩权；AI 可以快速执行，但必须能够被及时停止。
四、执行授权不等于迭代授权
在 AI 代理问题中，还必须区分执行授权和迭代授权。
用户授权 AI 执行某项金融任务，并不意味着授权 AI 修改自己。比如用户授权 AI 管理一笔低风险资产，这只能构成执行授权，不应自动包括模型迭代、策略迭代、代码迭代、接口迭代、权限迭代和子代理调用。
AI 的自动迭代会改变执行系统本身，因此应当被视为更高风险行为。
策略迭代可能改变投资方向；代码迭代可能改变执行逻辑；模型迭代可能改变判断方式；接口迭代可能接入新平台；权限迭代可能扩大操作范围；子代理调用可能引入新的责任链。
这些变化都不能默默发生。
所以，AI 迭代必须留痕。重大迭代还必须重新确认，至少必须可验证。小迭代可以内部记录，中等迭代应审计可查，重大迭代必须形成版本事实，必要时重新授权。
版本事实至少应包括：旧版本、新版本、变更内容、触发原因、风险影响、授权继承说明、生效时间、回滚机制和责任主体。
子代理问题也应有基本原则。主代理如果被允许调用子代理，必须在原授权范围内调用，并对调用结果形成记录。原则上，授权方或主代理运营方不能以“行为由子代理完成”为由切断责任链；如果子代理提供方存在隐瞒风险、系统缺陷、明知过错或违反接口约定，也应承担相应责任。换言之，子代理可以分工，责任链不能断裂。
也就是说：执行可以自动化，但迭代必须版本化；策略可以优化，但边界不能无痕改变；AI 可以升级，但升级后的 AI 不能默认继承全部授权。
五、验证从审计手段上升为风控手段
传统金融中的验证，常常被理解为事后审计。事情发生以后，审计机构、监管机构、法院或客户再去查账、查记录、查责任。但 AI 金融代理改变了这一点。
AI 的速度太快，自动化程度太高。如果只在事后验证，风险可能已经放大。因此，在 AI 金融代理中，验证不应只是审计手段，而应上升为风控手段。
风控不再只是设定规则，也不只是事后检查，而应当变成授权验证、执行验证、回复验证、异常验证、迭代验证和责任验证。
AI 每一次高风险金融操作之前，都应先验证授权是否存在、是否有效、是否过期、是否被撤销、是否超过额度、是否触发风险边界。操作过程中，应实时监测是否越权、是否接入未授权平台、是否改变策略、是否调用子代理、是否出现异常。操作完成后，应生成可验证回执。
这与可验证金融中对主体事实、授权事实、交易事实、交付事实、责任事实和核算事实的要求是一脉相承的。AI 代理出现以后，还需要增加代理事实、版本事实和异常事实。金融事实不仅要事后可审计，更要在执行过程中成为风控条件。
这意味着 AI 金融代理的核心风控不是盯住 AI 的每一行代码，而是让 AI 不能越过验证结构。
代码可以复杂，授权必须清楚；策略可以变化，边界必须可验证；执行可以自动，责任不能消失。
六、AI 代理必须有实时报告机制
人类代理执行任务时，很多过程并不完整留痕。一个人帮你订票，通常不会记录他看过哪些页面、比较过哪些航班、排除过哪些方案。人类执行常常只看结果。
但 AI 不同。机器天然可以留痕，也天然可以生成报告。正因为如此，AI 金融代理不能只给结果，而必须在关键节点进行实时报告。
这里的报告不是普通聊天回复，而是操作层面的可验证回执。
它至少包括几类：授权检查报告，说明当前授权是否有效，是否在额度和期限内；执行前报告，说明准备执行什么操作，涉及什么账户、金额、对象和风险；执行后报告，说明实际执行了什么，结果如何，交易或操作记录是什么；异常报告，说明是否出现越权、失败、数据冲突、风险超限或系统异常；迭代报告，说明模型、策略、接口、代码或子代理是否发生重大变化；责任报告，说明本次操作后果应回到哪个授权主体、服务主体或责任主体。
AI 可以自动操作，但不能无声操作。尤其在金融中，沉默执行就是风险。高风险操作必须报告，中风险操作应确认，异常操作应暂停，重大变化应重新授权。
因此，AI 金融代理的运行机制不应是简单的“授权—执行—结果”，而应是：授权—执行—报告—再授权—留痕—验证—追责。
七、过程不必全部公开，但关键事实必须可验证
AI 代理的执行过程是否全部留痕、全部公开，是另一个重要问题。如果要求所有过程全部保存、全部披露，系统会变得过于复杂，成本过高，也可能暴露商业秘密、客户隐私和安全漏洞。
因此，合理原则不是全量公开，而是分级留痕、分级披露。
原始执行细节可以属于机构内控；关键状态必须对用户可见；完整资料应对审计和监管可查；重大事故应对市场披露；关键记录应生成证明，防止事后篡改。
正常低风险操作可以摘要留痕；高风险金融操作应完整留痕；异常操作和重大迭代必须全量留痕；关键哈希证明可以长期保存；原始数据可以按期限保存。
可验证金融并不是把一切暴露给所有人，而是让关键事实不能被隐藏、篡改或事后重写。对于 AI 金融代理而言，真正需要保留的不是 AI 每一步“想了什么”，而是足以回答这些问题的关键事实：谁授权；AI 做了什么；是否越权；是否报告；是否发生迭代；是否触发异常；责任归谁。
八、AI 代理的优势不是一次性授权，而是互动式授权
传统 APP 的授权方式通常是一次性许可。用户同意协议、打开权限、输入密码，系统就按预设程序运行。中间过程很难对话，也很难实时调整边界。
AI 代理不同。AI 可以在执行过程中与授权方互动。它可以报告、请示、确认、解释、暂停，也可以根据授权方的新要求调整执行边界。
这使 AI 金融代理不必采用一次性全额授权。相反，它更适合采用持续互动授权。
低风险操作可以自动完成并报告结果；中风险操作可以先报告再等待确认；高风险操作必须重新授权；超出原授权的操作必须暂停并请求追加授权；市场、账户、价格、风险条件发生变化时，AI 应主动报告。
这正是 AI 代理不同于传统 APP 的地方。传统 APP 像机械按钮，AI 代理更像可以沟通的执行系统。既然它可以沟通，就不应给它无边界授权，而应让它在执行中持续接受边界管理。
九、最小可行闭环
这个制度不能一开始设计得过于复杂，否则很难落地。AI 金融代理的规则应当从最小可行闭环开始。
第一，AI 代理必须有身份。第二，高风险操作必须有明确授权。第三，授权必须设定范围、额度、期限和风险边界。第四，执行前必须检查授权。第五，执行后必须生成报告。第六，异常必须暂停。第七，重大迭代必须留痕。第八，关键记录必须可验证。第九，责任必须回到人或法人。
这已经足以构成第一阶段的可验证金融代理框架。它不要求所有过程公开，也不要求所有代码可读，更不要求人类逐行理解 AI 的全部操作。它只要求一个最低限度：AI 的高风险金融行为不能无授权、无报告、无留痕、无验证、无责任归属。
十、结语：AI 越强，授权越不能模糊
AI 时代的金融风险，不只是 AI 能力不足，也可能是 AI 能力太强而授权不足、验证不足、责任不足。AI 越接近人类代理，越不能沿用传统 APP 的一次性授权模式；AI 越能自动执行，越需要有限授权、实时报告、迭代留痕和可验证风控。
人可以被充分授权，是因为人可以承担后果。AI 不能被充分授权，是因为 AI 当前不承担最终责任，也不享有最终利益。AI 被赋予的是执行权，不是责任主体地位。
因此，AI 金融代理的基本原则应当是：AI 可以被赋予执行权，但不能被赋予无边界执行权。
未来 AI 金融的关键问题，不是 AI 能不能执行，而是它依据什么授权执行；不是 AI 能不能优化策略，而是它是否可以自动扩权；不是 AI 能不能生成结果，而是结果背后的授权、过程、异常、迭代和责任能否被验证。
可验证金融在这里不只是审计工具，而是 AI 金融代理的风控基础。正如前文已经指出的，AI 不能替代它所依赖的外部事实；而在金融执行层，AI 也不能脱离有限授权与实时验证。AI 越强，越需要清楚边界；执行越自动，越需要实时报告；代理越智能，越不能脱离可验证授权。
