两份材料：委托方、样本与各自的利益位置
读调研之前先要确认样本与委托方，因为这两份材料的立场都不中立，但方向不同。
| 项目 | 银行 AI 风险调研 | 智能体安全调研 |
|---|---|---|
| 发布方 | FT Longitude、SAS，Microsoft 为战略合作方 | IRONSCALES |
| 报告名 | Why AI at Scale Needs Governance at Speed | 2026 年智能体 AI 安全报告 |
| 样本 | 300 位银行高管，31 个国家 | 501 位美国 IT 与网络安全从业者 |
| 组织规模 | 66% 来自资产超 500 亿美元的银行 | 1000 至 10000 人 |
| 采集时间 | 2026 年 6 月至 7 月 | 过去 12 个月回溯，2026 年发布 |
| 身份构成 | 20% 为 C 级别 | IT 与网络安全职能 |
| 立场提示 | SAS 销售模型风险与治理软件，结论指向治理投入的必要性 | IRONSCALES 销售邮件与智能体安全产品，结论指向邮箱侧防护 |
两份材料都不是中立方，但都不必因此被否定：样本定义、采集时间与问题措辞都写得清楚，读者可以自己判断适用范围。需要避免的是把两份百分比合并成一个数字——国家不同、职能不同、组织类型不同，合并出来的结果没有意义。本文只做交叉印证与结构对照，不做数值合并。
银行侧：76% 与 18% 之间隔着什么
银行是智能体落地场景里监管最重、也最需要可解释性的一类。这份调研给出的画面是：采用已经接近普及，自治还在早期，治理明显落后。
| 指标 | 读数 | 含义 |
|---|---|---|
| 已在用生成式 AI 参与决策 | 82% | 生成式 AI 已进入决策链路 |
| 已在用智能体 AI | 41% | 智能体形态尚在扩散中期 |
| 在信贷与风险决策中使用 AI | 299 家（共 300 家） | 叠加传统预测式 AI 后接近全覆盖 |
| 今天 AI 已大规模自主做信贷或风险决策 | 10% | 自治尚未成规模 |
| 预计五年内大规模自治决策 | 76% | 预期与现实之间存在明显落差 |
| 预计两年内大规模自治决策 | 25% | 四分之一的组织时间表更激进 |
| 已部分或广泛把 AI 嵌入决策流程 | 59% | 嵌入程度已不低 |
| AI 至少每月影响部门决策 | 53% | 影响是持续的而非偶发 |
| AI 部分或广泛用于信用风险流程 | 63% | 信贷风险是嵌入最深的场景 |
| AI 部分或广泛用于资产负债管理与风险引导 | 55% | 资金与风险端同样已深入 |
把「10% 今天在自治」与「76% 五年内要自治」放在一起，中间是 66 个百分点的距离和五年时间。这五年要补齐的不只是模型能力，更是下面这组控制项。
如果瓶颈在模型能力，那么缺口会表现为「想自治但做不到」；而调研显示的是「已经在用、也打算自治，但控制项没跟上」。从 10% 到 76% 的跨越，制约因素更可能是治理能否通过内审与监管，而不是模型能不能给出更好的判断。这也解释了为什么监管方会直接喊话——欧洲银行管理局创新、行为与消费者部门总监 Marilin Pikaro 的表述是，雄心应当与能力匹配，即便再有价值的应用场景，也不应推进得快过机构管理相关风险的能力。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。
控制项盘点：19% 漂移监控、42% 无熔断、36% 持续重训练
治理的抽象概念落到工程上，就是一组可以逐项打勾的控制项。这份调研难得之处在于它把四项具体控制都给了数。
| 控制项 | 就绪比例 | 缺口 | 工程含义 |
|---|---|---|---|
| 完整运转且嵌入流程的 AI 治理 | 18% | 82% 不具备 | 多数机构有政策但无流程 |
| 实时 AI 模型漂移监控 | 19% | 81% 不具备 | 模型表现下滑无法被及时发现 |
| 定义清晰的熔断开关 | 58% | 42% 缺少 | 模型越界时没有一键停用手段 |
| 持续重训练或更新模型 | 36% | 64% 不具备 | 模型随时间退化却无人维护 |
| 专门的 AI 模型风险政策 | 74% | 26% 没有 | 四分之一机构连基本制度都缺 |
四项里面最刺眼的是熔断开关。它是成本最低、实现最简单的一项——不需要复杂的监控体系，只需要一个能快速停掉模型的开关与配套的责任人。42% 的机构没有它，说明问题不是技术难度，而是没有人被明确要求去做。这和第二份报告里安全团队只握有 6% 审批权是同一类症状：责任没有落到具体职能上。
黑盒交易：63% 换性能，92% 已有模型在治理框架外
这份调研里最值得管理层讨论的一组数字，是关于可解释性的取舍。
近三分之二（63%）的银行高管表示，如果一个黑盒模型——即决策透明度很低甚至没有——能带来更好的性能、回报或流动性，他们愿意使用它。同时，92% 的受访者报告其机构内至少有一个大模型是在正式治理框架之外开发或运行的。
这两个数字要放在一起读。前者是意愿，后者是现状；后者说明前者不是假设性问题，而是已经在发生。Microsoft 全球支付与 AI 战略负责人 Tyler Pichach 的提醒是：黑盒模型带来的短期性能提升看似诱人，但其缺乏可见性、可复现性与可解释性，在监管与风险视角下会制造麻烦。SAS 风险、欺诈与合规解决方案副总裁 Anselmo Marmonti 的表述更直接：当 AI 判断出错，后果会落到银行的客户、社区以及财务表现与声誉上。
这条数据的问法决定了它的含义：它统计的是「机构内是否至少存在一个在治理框架外的大模型」，而不是「有多大比例的模型在治理框架外」。一个拥有数百个模型、其中三个来自业务部门自行引入的机构，与一个只有五个模型、三个失控的机构，在这条数据上的答案相同。本文认为这条数字的价值在于说明治理盲区普遍存在，而不在于量化盲区的规模。要真正评估风险，需要的是「模型总数与在管数量的比值」，而这份报告没有给出。
事件侧：77% 出过事，57% 是确认案例
第二份报告从安全从业者视角给出的是后果侧的数据。77% 的组织在过去 12 个月内经历过智能体 AI 相关安全事件；其中 57% 为确认案例。报告对事件的定义是：发现某个 AI 智能体或工具依据了事后被证明为恶意、误导或未获授权的内容或指令而采取了行动。
| 事件类型 | 占比 | 说明 |
|---|---|---|
| AI 工具总结或依据了恶意邮件或消息并采取行动 | 42% | 不可信内容直接进入智能体的处理链路 |
| 攻击者在钓鱼或社会工程中使用 AI 工具 | 41% | AI 被用在攻击侧而非防守侧 |
| 任何形式的智能体相关事件 | 77% | 含疑似 |
| 确认成立的事件 | 57% | 排除疑似后的口径 |
IRONSCALES 首席执行官 Eyal Benishti 的表述点出了这类事件的机制变化：过去一封钓鱼邮件的目标是骗过一个人，今天它只需要骗过坐在人和收件箱之间的那个智能体。
权限版图：96% 在用、49% 进邮箱、30% 碰支付
事件的根源是权限。这份报告把智能体能触及的系统拆开统计，是目前公开材料里比较细的一份。
| 可触及范围 | 占比 |
|---|---|
| 使用能代表员工行动的智能体 | 96% |
| 给智能体访问内部系统的权限（约五分之四） | 约 80% |
| 工单与服务台工具 | 67% |
| 云存储 | 56% |
| 邮箱与消息平台 | 49% |
| 内部文件库 | 49% |
| 安全工具与日志 | 47% |
| 财务、计费或支付系统 | 30% |
| 仅限公开网页、无任何内部访问 | 19% |
本文交叉：授权与事件的矩阵，以及风险密度最高的交汇点
把两份报告放到一张表上，可以看清一个结构：一边是权限的扩张，一边是事件的类型，两者在邮箱这个位置交汇。
| 系统 | 被授权比例 | 内容是否来自外部不可信方 | 智能体是否有写权限 | 本文判断的风险密度 |
|---|---|---|---|---|
| 邮箱与消息平台 | 49% | 是，外部邮件天然不可信 | 是，可回复、转发、触发流程 | 最高 |
| 工单与服务台 | 67% | 部分是，工单描述来自外部提交 | 是 | 高 |
| 云存储 | 56% | 部分 | 是 | 中高 |
| 内部文件库 | 49% | 否 | 是 | 中 |
| 安全工具与日志 | 47% | 否 | 部分是 | 中 |
| 财务、计费或支付 | 30% | 否 | 是，且直接涉及资金 | 高 |
支付系统虽然后果严重，但它的输入通常来自内部流程，攻击面相对可控；文件库虽可写，但输入多为内部内容。邮箱的特殊性在于：内容是外部任何人都可以投递的，而智能体一旦被授权读取并据此行动，就等于把一封邮件变成了可执行的指令。这与事件类型分布互相印证——「AI 工具依据恶意邮件采取行动」以 42% 位居事件类型首位，而授权邮箱的比例恰好是 49%。本文据此判断，邮箱是智能体权限清单里单位风险密度最高的一项，应当被单独拿出来做内容隔离与动作白名单，而不是与其它内部系统同等对待。需要说明的是，上述矩阵中的「内容来源」与「写权限」两列为本文依据系统类型做出的定性判断，两份报告均未直接给出这两项的统计数据。
谁在批：IT 78% 对安全 6% 的因果链
审批权的归属是这份报告里信息量最大的一条。IT 是智能体、插件与连接器的主要审批方的比例为 78%，安全部门承担这一角色的比例只有 6%。而在发生过智能体相关事件的组织中，39% 表示曾有员工授予了某个 AI 工具一项安全部门不会批准的访问。
把三条数据串起来，可以得到一条相当完整的因果链：审批权在 IT 手里，而 IT 的首要目标是让业务跑起来；安全部门既不在审批位上，也就无法在权限被授予之前施加影响；结果是权限边界实际由业务便利性决定；等到事件发生，39% 的组织才发现存在安全部门本不会批准的授权。
把审批权整体移交给安全部门既不现实也不合理——安全部门通常不具备评估业务价值的上下文。更有效的最小改动是保留 IT 作为审批主体，但要求任何涉及外部不可信输入源或资金相关系统的授权，必须附带安全部门的会签记录。这样做的好处是责任明确、流程不拖沓，且事后可审计。报告本身给出的建议方向也类似：在智能体获批时就把安全请进会议室，并像保护人类用户的收件箱一样保护智能体的收件箱。
准备度悖论：93%、93%、84% 对 52%
这份报告还记录了一组典型的自我评估落差：93% 称其事件响应计划覆盖了 AI 智能体，93% 称培训覆盖了安全使用 AI，84% 有信心识别出一次 AI 驱动的事件；但只有 52% 同时具备正式的政策、控制与事件响应流程。
报告自己把这个现象称为「准备度悖论」，并指出上一年围绕深度伪造也出现过同样的落差。这个类比很有价值，因为深度伪造那一组恰好有年度对照数据，可以检验「先出事再补课」这条路到底有没有用。
对照组：深度伪造这笔账说明补课是有效的
| 指标 | 2025 年 | 2026 年 | 变化 |
|---|---|---|---|
| 积极投入深度伪造防御的组织比例 | 37% | 48% | 提升 11 个百分点 |
| 发生资金损失的组织的平均损失 | 约 28 万美元 | 约 22.5 万美元 | 下降约 20% |
| 损失达七位数的组织比例 | 6% | 3% | 接近减半 |
| 事件总体发生率 | 未给出 | 84% | 仍在高位 |
| 把深度伪造防御列为最优先事项的比例 | 71% | 60% | 下降 11 个百分点 |
这组数据的读法很重要：事件率仍高达 84%，说明投入并没有阻止事件发生；但平均损失下降约 20%、七位数损失接近减半，说明投入显著降低了单次事件的后果。本文据此给出一个对智能体治理直接可用的判断——治理的目标不应设定为「零事故」，而应设定为「单位事故的后果可控且可追溯」。用零事故做目标会导致两个后果：一是永远达不到，二是为了达标而隐瞒事件。报告里另一个数字支持这个判断：约三分之一的组织表示，若发生重大智能体事故，他们不会对外披露。把治理目标从「不出事」改为「出事时能叫停、能追责、能赔付得起」，才是可执行的路径。同时也要注意到，把深度伪造防御列为最优先事项的比例从 71% 降到 60%，说明注意力正在被智能体议题分走——新老风险之间也存在资源竞争。
两份报告共同缺的那组数据
本文在交叉两份报告时发现，最能指导行动的一组数据恰恰没人采集。
| 缺失的交集 | 为什么重要 |
|---|---|
| 「期望五年内自治决策」与「缺少熔断开关」两个集合的交集规模 | 如果这两类银行高度重合，那么未来三年银行侧的智能体事故率会明显上升；报告只给了各自的边缘比例，无法交叉 |
| 「发生了智能体事件」与「具备完整治理流程」的交叉 | 目前无法回答「治理到底降低了多少事故率」这个最核心的问题，两组数据分属不同样本 |
| 模型总数与在管模型数的比值 | 92% 的「至少一个在治理外」缺乏分母，无法量化盲区规模 |
| 智能体事故的绝对数量与平均损失 | 两份报告都只给了发生率，没有给频次与金额，无法与深度伪造那笔账做同口径比较 |
六步落地清单
| 步骤 | 动作 | 优先级 |
|---|---|---|
| 建智能体与模型注册表 | 先知道在跑什么、谁负责、能碰什么，否则撤销与熔断都无从执行 | P0 |
| 补齐熔断开关 | 为每个生产中的智能体配置可一键停用的开关与明确的责任人 | P0 |
| 把邮箱单独分级 | 对可读取外部内容的智能体做内容隔离与动作白名单，禁止依据邮件内容直接触发写操作 | P0 |
| 安全会签关键授权 | 涉及外部不可信输入源或资金系统的授权必须留有安全部门会签记录 | P1 |
| 建立漂移与效果的持续监控 | 至少做到模型表现下滑可发现，而非等到业务指标恶化 | P1 |
| 把事故后果显性化 | 记录每次事件的处置时长、影响范围与损失，用后果而非事故数作为治理 KPI | P1 |
冷静判断：这些数字能信到什么程度
能信的部分是结构与方向。两份报告独立采集、样本不同、立场不同，却指向同一个结论：授权在扩张，治理与可见性没跟上，而后果已经开始出现。这种来自不同方向的相互印证，比任何单份报告的具体百分比都更有说服力。尤其是邮箱这个交汇点，是由两份报告的权限数据与事件类型数据共同指出的，不是任何一方的叙事。
需要打折的部分有三处。其一，两份报告的委托方都销售相关产品，问题设置的倾向性无法排除，具体百分比应按上限或下限方向的提示来读，而不是当作基准值。其二，样本都不含中国机构：银行侧为 31 个国家但未披露国别构成，安全侧为纯美国样本，对中国企业的直接参考价值有限，能迁移的是结构而不是数值。其三，智能体事件的频次与损失金额两份报告都未给出，这使得智能体风险与其它已量化的风险无法比较优先级，企业在分配预算时实际上仍缺少一把尺。
还有一点值得单独提醒：银行调研的采集时间是 2026 年 6 月至 7 月，而发布在 10 月，中间隔了一个季度。考虑到智能体领域的迭代速度，这组读数描述的是夏季的状态而非当前状态。用它做趋势判断可以，做现状判断要打折。