先看证据
能力增长与决策权不是一回事
2026 年 10 月的 AI Engineer New York 大会上，OpenAI 金融服务负责人 Joseph Kim、Two Sigma 架构负责人 John Feminella，以及 Anthropic 和 Bloomberg 的演讲者，都在讨论金融智能体如何获得行动能力，同时避免越过安全边界。OpenAI 把问题描述为“有用性阈值”：模型足够可靠、能为用户节省时间之后，才值得委派更多工作。
这场讨论的关键变化，不是金融机构已经准备把交易交给模型，而是“能不能做”开始被拆成“哪些任务可以自动做、哪些必须交人、哪些只能提出建议”。Kim 预测，到 2027 年智能体可能参与投资想法生成乃至交易，但会议报道没有给出支撑这一预测的评测数据。它应被视为对未来的判断，而不是当前产品已经具备自主交易能力的证明。
金融工作流先要能解释数字从哪里来
在金融场景里，答案看起来合理并不够。分析师还要知道一个数字来自哪份材料、处于什么上下文，才能复核计算、判断时效，并决定是否把结果用于后续工作。Kim 因此把可追溯性视为把模型能力变成可用产品的一部分，而不是模型之外的附加说明。
这会影响智能体的产品设计：如果系统只给出结论，用户就得自行重建推理和来源，节省时间的价值会被复核成本抵消。OpenAI 的金融服务产品背景涉及研究、财务建模和客户材料，但这些用途不能直接推导出系统可以替用户作出投资建议或决策。对技术团队而言，交付的不只是生成结果，还包括让用户看见依据、理解上下文并在关键步骤保留控制权的界面与流程。
把人工审查从逐项批准改成风险分流
Two Sigma 的做法把控制看成可组合的护栏，而不是对模型能力的一概限制。Feminella 特别提醒，要求人批准每一个动作不一定更安全：反复审批会造成“审批疲劳”，审查者可能逐渐不再认真看每一项请求。安全设计因此不能只问有没有人在环，还要问这个人何时介入、介入的事项是否值得其注意。
会议报道具体提到两种分流方式：边界清楚的情形适合用确定性规则处理；存在歧义、或可能产生重要影响的请求，则可由自动模式分类器判断是否交给人审。报道说 Two Sigma 实施了五项控制，但只具体说明了分类器和确定性规则，完整清单及运行细节没有公开。可以确认的是它所表达的设计原则：让常规请求少打扰人，把有限的人工注意力留给更可能改变结果的事项。
提议与执行之间，必须有一道权限边界
Anthropic 把金融工作流中的信任拆成三个层次：先明确身份与权限，再通过沙箱和审批限制操作，最后检查环境或变量变化后这些控制是否仍然有效。这套思路不是简单地让用户“相信模型”，而是把信任落实为系统能做什么、能接触什么，以及条件变化时是否需要重新审视。
交易差异调查是一个具体例子：智能体可以提出修改订单的建议，但不直接改动订单数据。这样的边界把分析与执行分开，让模型能参与排查，却不因此自动获得改变交易记录的权限。Bloomberg 的分享则补充了模型之外的确定性控制，包括限定身份和凭证、限制工具调用与外发流量、保留审计记录、设置预算和停止开关。报道还提到，市场平台评论中的恶意指令曾被智能体误解为补货要求，但没有说明是否造成实际损失。
先验证控制是否有效，再扩大自动化范围
这些分享给技术负责人的启发，不是照搬某一家机构的护栏清单，而是把工作流拆成风险不同的动作，并逐项标明权限：哪些可以自动完成，哪些只能生成建议，哪些必须由人批准。订单修改一类高影响操作尤其适合先保留在“提议而不执行”的边界内，同时留下可追溯记录和紧急停止手段。这样才能在不要求人盯住每一步的情况下，逐步扩大可委派任务的范围。
但现有材料没有提供误操作率、审批拦截率、提示注入防护效果或部署后损失变化，也没有给出“有用性阈值”的统一评测方法。没有这些数据，就无法判断某项控制在真实业务中究竟降低了多少风险，也无法证明模型已经普遍适合接管金融决策。合理的工程判断是先设定可观测的风险指标和明确的越权边界，再扩大自动执行范围；“模型更可靠”不能代替对工作流本身的验证。