把前沿技术装配成一座可审计的银行智能体平台

所有模型调用经推理层路由、所有工具调用经工具网关——否则成本、权限与留痕都会失控。

这既是读写不对称的架构落法（C10），也让审计锚点唯一化。

按客户经理权限、数据分类分级标签过滤候选集，而不是生成后再屏蔽（呼应 C5）。

安全护栏与审批中心的拦截优先级高于业务逻辑，且拦截动作本身必须留痕。

由渠道统一生成（建议 UUID 且长度充足），与客户号、渠道号、员工号绑定并全链路透传，作为可观测与审计的主键。

代码执行与浏览器沙箱须禁用出网或走白名单代理；严禁将 shell、文件系统、浏览器、邮件工具置于同一无约束流程（C16）。

审批等待、外部接口超时、跨营业日三类断点必须落检查点；恢复时须校验业务状态是否已被他人变更。

按峰值话务与并发上限做容量规划；触顶时优先保障对客渠道，内部批量任务自动降级排队。

隔离粒度、会话时长、空闲超时三个硬约束决定了业务流程的切分方式——设计业务时就要按这三条来划分步骤，而不是等实现时再迁就。

是否每会话独立微虚拟机？会话结束是否擦除内存与文件？最长时长与空闲超时是否可配？会话亲和如何实现？并发与新建速率上限是多少？

上下文利用率达到约 70% 即触发压缩，避免逼近上限时被动截断。

会话历史 3:1–5:1；工具输出 10:1–20:1；优先清理已消费的工具结果（最安全的轻量形态）。

合规红线区、当前任务目标、未决问题清单、已获授权范围——四类内容永不进入压缩范围。

每次压缩记录事件标记、压缩前后 token 数与被丢弃内容摘要，纳入可观测与审计（呼应判断六：压缩会抹除安全约束）。

若各应用自行拼装上下文，红线区就会被遗漏、缓存前缀就会各不相同、压缩策略也无法审计——这三件事任何一件出问题，都是生产事故级别。

按客户号导出全部记忆条目及其来源会话、生成时间、生成方式；提供客户侧可读视图。

删除请求级联到原文记录 → 派生摘要 → 向量索引 → 图谱节点 → 缓存；向量索引缺乏可证明删除时，以“逻辑失效 + 检索屏蔽 + 定期重建”兜底并出具删除凭证。

每条记忆携带溯源链（来源会话、工具、原始记录标识、生成模型版本）；无溯源的记忆不得进入决策链路。

记忆写入须校验来源可信度；对外部来源内容标记不可信，禁止其直接影响决策；定期做投毒检测（少量恶意文档即可显著污染检索结果）。

把命名空间直接作为鉴权条件，让“谁能读写哪些记忆”由身份系统裁决，而非应用代码判断——这是多租户隔离能否通过审计的关键。

若先全量检索再在生成阶段屏蔽，模型已经“看到”了越权内容，其推理与措辞都可能泄露信息——事后屏蔽是伪安全。

监管检查、审贷会质询、投诉处理都需要穿透到原始依据。无出处的结论，在银行等同于无效结论。

当结论出错时，必须能区分是“资料没找到”还是“找到了但用错了”——这两类问题的整改方向完全不同。

制度条款变更须触发对应向量与图谱的定向重建，并对高频引用条款设置版本校验，避免智能体持续引用已废止的规定。

网关不得把上游令牌原样转给下游，必须做令牌交换并绑定受众，否则权限边界形同虚设。

工具描述是模型行为的一部分，描述被改等于行为被改——这是最容易被忽略的攻击面（见 C16 事故清单）。

禁止应用绕过网关直连业务系统；绕过即意味着无限流、无留痕、无分级管控。

审批等级作为工具元数据由网关强制执行，不依赖提示词自觉——提示词可被绕过，元数据不能。

智能体按岗位授予最小权限；岗位调整时，旧权限须从活跃实例中即时抹除，避免权限沉积。

智能体每扩展一级可执行的动作（例如从“提示”级扩展到“审批”级、再到“双控”级），都必须提交 pass^k 达标报告、影子运行比对结果与红队报告三份材料。

一道防线在业务流程内嵌护栏与审批闸门；二道防线负责红队演练、策略引擎与风险计量；三道防线核查行为日志完整性与控制项有效性——智能体安全不是新体系，而是既有体系的新对象。

上线后再补埋点，意味着历史数据不可追溯；追踪结构应与审计字段一次性对齐设计。

提示与输出原文属敏感内容，须按合规单独开关并脱敏——可观测不等于全量留存原文。

监管检查与投诉处理需要还原“当时智能体看到了什么、依据什么、谁批准的”，而不只是结果。

金发〔2026〕8 号要求完整记录智能体每一次工具调用的输入、决策依据和执行结果；《人工智能生成合成内容标识办法》（2025-09-01 施行）要求对外生成内容添加显式与隐式标识——两项要求都必须在埋点设计阶段落实，而不是上线后补做。

如果监管来问“这笔业务智能体为什么这么判”，能在五分钟内完整还原它当时看到的资料、依据的规则、经过的审批——做得到就合格，做不到就不能上生产。

100 条样本、80% 通过率的置信区间约为 72%–88%——小样本无法支撑“提升了几个点”的结论。

采用配对设计（同一批样本前后对比），可把样本需求降低约一个数量级。

按查询类型分层报告，避免整体指标掩盖某一类场景的显著劣化。

评测集是与代码同等重要的资产——分场景建设、版本化管理、专人维护，并在每次模型或脚手架变更后强制回归。

智能体的行为由模型、脚手架、提示、工具、知识五者共同决定，改任何一个都等于换了一个系统——所以凡“必测”变更，未通过离线评测与影子运行不得进入灰度。

人工修正与退回理由必须以结构化标签采集，而不是自由文本备注。这一个动作决定了整个持续改进体系是“数据驱动”还是“感觉驱动”。

① 低置信或意图不明 → 转人工坐席，并计入“人工升级率”指标；② 高风险产品推介 → 强制转人工，不得由智能体完成适当性匹配；③ 对外输出 → 按规定添加生成内容显式与隐式标识。

① 会话标识贯穿全链，作为审计主键；② 每次模型调用记录 token 与缓存读取量，用于成本核算；③ 每次工具调用记录调用标识与下游回执；④ 压缩事件单独打标，用于排查“规则被总结掉”类问题。

金色格子不是为了降低效率，而是为了让这条链路能够上生产、过审计。

让客户经理在执行前一次性审核“查什么、查到什么程度”，比事后返工便宜得多。

五个子智能体只读不写，报告由唯一写入者生成，审计锚点唯一。

交叉验证的价值在于暴露分歧，裁决权仍在审查人手里。

授信审批属最高风险等级，智能体只提供依据与草稿。

尽职调查须现场与非现场相结合并形成书面报告；贷审分离、分级审批；高风险应用关键环节须有人工监督干预——三项要求分别落在计划确认、单点写入与终审签批三个节点上，对应《流动资金贷款管理办法》（金融监管总局令 2024 年第 2 号）与金发〔2026〕8 号的要求。