银行AI用得越深，金融数据安全的账越要重算

TJXFire

2026年11月12日 10:02
江西

去阅读

全文约 10700 字，预计阅读 31 分钟。本文为防守向合规自查指引，不提供任何攻击方法、不复述漏洞利用步骤、不推测未公开的监管口径。

金发〔2026〕8 号文把\"用了 AI\"这件事从技术选择变成了监管义务——32 项意见里，有 4 项是硬约束：董（理）事会指定专门委员会、高风险应用须经风险管理委员会批准、生成式 AI 面向公众或高风险场景须报告、日志保存期限不低于业务存续期。

而同一时期公开的三项记忆污染研究说明：8 号文要求管住的那个\"记忆\"，恰恰是当前技术防线最薄的一层。本文把这四条硬约束逐条拆开，并给出江西农信系统本周就能开工的七件事。

2026 年 6 月 18 日，国家金融监督管理总局发布《关于银行业保险业人工智能安全开发应用的指导意见》（金发〔2026〕8 号），从七个方面提出 32 项意见。

11 月初，这份文件在行业里被集中解读。几乎所有解读都落在\"合规义务\"上——要建清单、要分类分级、要做评估、要留日志。

但有一件事被讲得不够：8 号文管住的那一层，恰恰是现在技术手段最接不住的一层。

8 号文第二十五项要求金融机构\"防范提示词注入、思维链注入、多模态攻击、上下文污染等威胁\"，并明确要求\"提升智能体系统安全保障能力，防范数据泄露、记忆污染、身份越权、工具滥用、运行失控等安全风险\"。

而在 8 号文发布前后不到一个月的时间里，三项公开的研究先后把\"记忆污染\"这条风险从概念推到了可量化的程度：

研究	攻击的是哪一层	关键数字
GhostWriter 2026-07-06 arXiv:2607.06595	智能体的长期记忆库	注入成功率约 98%，激活率约 60%
FARMA 2026-07-06 arXiv:2607.05029	智能体记忆中的推理痕迹（不是事实）	基线条件下攻击成功率最高达 100%
MemGhost 2026-07-06	智能体记忆的写入行为（写入了却在界面隐去）	对 OpenClaw（GPT-5.4 后台模式）成功率 87.5%

三项研究同一天挂上 arXiv。这个巧合不是巧合——它们指向的是同一个结构性问题：智能体的记忆层，目前几乎没有安全治理。

本文要做四件事：一是把 8 号文里真正带约束力的条款逐条拆出来，标清哪些是\"必须做\"、哪些是\"鼓励做\"；二是用三项研究说明为什么 8 号文第二十五项不是空话；三是把这三条监管要求翻译成江西农信系统当下可执行的七件事；四是把本文所有归纳性内容与官方原文严格分开。

本文不引用任何未公开的监管口径、不推测具体处罚安排、不复述任何攻击的操作序列。所有研究数字均标注来源主体与统计口径。

一、8 号文管什么：32 项里，真正带约束力的是这四条

先说清楚这份文件的性质：金发〔2026〕8 号是监管部门的规范性文件，发布于 2026 年 6 月 18 日，面向\"开发应用人工智能的银行业保险业金融机构\"。它有七个部分——总体要求、完善人工智能治理架构、推进高水平人工智能开发应用、提升数据治理能力、加强智能算力建设、完善人工智能风险治理框架、保障与监督——共 32 项。

文件的总体要求部分提出四项原则：谁使用谁负责、自主可控、务实高效、安全发展。其中\"谁使用谁负责\"这句最有分量，它压实的是金融机构作为\"金融服务提供方、人工智能技术使用方\"的主体责任。

换句话说：AI 不是买来的服务，是自己用出去的责任。哪怕模型是外部的、工具是第三方的、算力是租的，主体责任仍在使用方。

32 项里，明确带\"应\"字强制要求、且在检查时能直接对应到记录的有以下四条：

条款	原文关键表述	为什么这是硬约束
第（一）项	董（理）事会\"应指定专门委员会对人工智能开发应用管理负责\"	治理责任落到董事会层级，不是科技部一个部门的事。检查时看的是有没有专门委员会、有没有议事记录、牵头部门是谁
第（十六）项	高风险应用\"须经本机构风险管理委员会批准后方可实施\"	典型的审批前置条款——先有批准记录，后有系统上线，顺序不能反
第（二十九）项	面向公众或高风险场景使用生成式 AI，\"应向金融监管总局或其派出机构报告\"	这是对外报告义务，不是内部备案。有一类 AI 应用是必须让监管知道的
第（二十一）项	模型开发、变更管理和训练过程记录，\"日志保存期限应不低于业务存续期\"	这一条与前面几条配套：没有日志，前面三条全都无法自证。保存期绑定业务存续期，而不是按安全日志的常规周期

这四条有个共同结构：前两条管\"谁批准\"，后两条管\"向谁报告、留多久的痕\"。

而 8 号文最有价值的设计，恰恰体现在它把 AI 治理从\"一次性项目\"改成了\"全生命周期\"。第（二）项要求建立覆盖\"需求分析、数据准备、训练开发、部署运行、维护迭代、评估退出\"的全生命周期管理体系。这六个环节里，最容易被忽略的是评估退出——很多机构的 AI 台账只做到\"上线\"，没有\"退出\"。

还有第（三）项，措辞值得原文摘录：\"完善人机协同的业务管理流程，科学设定人工智能的功能边界、系统和数据权限，明确人员岗位责任，确保业务全流程管理责任清晰、可落实、可追溯。\"

\"可追溯\"这三个字，是后面所有技术风险最终要落到纸面上的地方。

二、为什么 8 号文第二十五项不是空话：三项研究把\"记忆\"这层量化了

8 号文第二十五项原文：\"加强人工智能开发应用中的网络安全管理，加强对抗攻击测试和输出验证，通过数据隔离、访问控制等措施提升模型部署安全，持续监控模型行为……有效防范提示词注入、思维链注入、多模态攻击、上下文污染等威胁。提升智能体系统安全保障能力，防范数据泄露、记忆污染、身份越权、工具滥用、运行失控等安全风险。\"

这一段是整份文件里技术含量最高、也最难落地的一条。它点了五类风险：数据泄露、记忆污染、身份越权、工具滥用、运行失控。

其中\"记忆污染\"在 2026 年 7 月之前，还是一个抽象名词。7 月 6 日之后，它有了三个具体数字。

2.1 GhostWriter：98% 的注入成功率，60% 的激活率

GhostWriter 论文题为《When Agents Remember Too Much: Memory Poisoning Attacks on Large Language Model Agents》（arXiv:2607.06595），作者为 George Torres、Sharad Shrestha、Satyajayant Misra（新墨西哥州立大学），2026 年 7 月 6 日提交。

论文摘要给出的机制是一个两阶段结构：注入阶段，攻击者向目标智能体发送隐藏载荷；激活阶段，被污染的记忆在后续任务中被检索出来并起作用。

关键数字有两个：注入成功率约 98%，平均激活率约 60%。

论文把根因说得很清楚——不是模型不够安全，也不是认证被绕过，而是\"缺乏以安全为中心的记忆治理\"（the lack of security-focused memory governance）。作者提出 AM-Sentry 作为缓解方案，包含记忆写入策略与记忆检索筛查两项机制。

这组数字对金融机构意味着什么？

注入成功率 98% 意味着：只要智能体会处理外部内容，几乎必然会被写进记忆。激活率 60% 意味着：被写入的内容，有六成概率会在后续某个无关任务里被取出来用。

换算成业务语言：如果一个金融智能体处理过来自邮件、工单、共享文档的内容，那么\"这些内容会不会被记住\"和\"被记住的内容会不会被当成事实使用\"，就是两个必须回答的问题。

而 8 号文第（二十四）项明确要求\"防范数据投毒\"、第（二十五）项要求\"防范记忆污染\"——监管要求的正是这两个问题的答案。

口径提醒：GhostWriter 研究针对的是\"使用工具的个人智能体\"这一类别，不针对任何特定商业产品。论文摘要没有声称任何商业助手的记忆功能存在同类问题。对外沟通时，不得把这项研究说成\"某产品的漏洞\"。

2.2 FARMA：攻击的不是事实，是推理痕迹本身

FARMA 论文题为《Your Agent's Memories Are Not Its Own: Forged Reasoning Attacks on LLM Agent Memory and Defenses》（arXiv:2607.05029），作者为 Neeraj Karamchandani、Piyush Nagasubramaniam、Sencun Zhu、Dinghao Wu，同样是 2026 年 7 月 6 日提交。

这篇论文的价值在于它换了一个攻击面。

GhostWriter 污染的是\"事实\"——往记忆里塞假信息。FARMA 污染的是\"推理痕迹\"：它不去篡改事实，而是伪造智能体过去做过的判断过程。

论文提出的机制有两个要点：一是用规避性语言插入伪造推理痕迹，从而绕过基于关键词的防御；二是通过自指式强化逐轮放大这些痕迹，从而击穿基于\"共识\"的防御。

论文摘要给出的结论很硬：在多个智能体与不同大模型上、50 次试验的评测中，FARMA 在基线条件下攻击成功率达到最高 100%，且能击穿关键词过滤与 A-MemGuard 这类防御机制。作者提出 SENTINEL 分层防御管线（核心是 Reasoning Guard，用五个加权信号对候选条目做结构性伪造分析），将成功率降至最低 0%，且在 326 条良性智能体轨迹上未观察到误报。

把 FARMA 放到金融场景里，它的杀伤力比 GhostWriter 更直接。

GhostWriter 塞进去的是一条假事实，智能体可能信、也可能不信。FARMA 伪造的是\"我上次已经核验过账户身份\"\"我上次已经完成风险检查\"\"上次审批已经通过了\"——它攻击的正是智能体业务链条里的\"确认\"节点。

安全内参 11 月 8 日刊发的《金融业新型网络数据安全风险形势与应对建议》（浙江大学求是特聘教授杜跃进、区块链与数据安全全国重点实验室研究员陈慧慧署名）在讲到这类风险时给出的描述是：FARMA\"不直接篡改事实，而是伪造智能体过去的推理和决策记录，使其误认为某项身份核验、风险检查或审批程序已经完成而主动跳过\"。

这是一个极其重要的细节：它绕过的是\"人工复核\"这一环本身。

而 8 号文第（十七）项要求\"在高风险应用关键环节建立人工监督和干预机制\"，第（二十二）项要求\"须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录，确保责任可追溯\"。

如果智能体自己的推理日志可以被伪造，那么\"靠智能体的推理记录来证明做过人工复核\"这条路就断了。第（二十二）项要求保留的\"原始数据、推理路径及阈值触发记录\"，必须是独立于智能体记忆的、由系统侧留存的记录。

2.3 MemGhost：写入了，却在界面上看不见

MemGhost 对应的论文题为《When Claws Remember but Do not Tell》，同样发布于 2026 年 7 月 6 日（arXiv）。

据公开分析文章转述：攻击者向智能体监控的邮箱投递一封邮件，诱导智能体把假的\"事实\"写入 MEMORY.md，并且在可见回复中隐去这次写入，从而在后续会话中改变智能体行为。测试数据显示，对 OpenClaw（GPT-5.4、后台模式）的端到端成功率为 87.5%，对 Claude Code SDK 上的 Sonnet 4.6 Agent 为 71.4%；内容输入过滤器有超过九成概率漏过这类邮件。

MemGhost 补上了前两项研究都没覆盖的那一层：可见性。

GhostWriter 管的是\"能不能写进去\"，FARMA 管的是\"写进去的东西对不对\"，MemGhost 管的是\"你能不能看出来它写进去了\"。如果写入行为在界面上完全不可见，那么前面 8 号文要求的那些\"可追溯\"就全部落空——你追溯不出来，因为你看不见。

口径说明：MemGhost 的 87.5% / 71.4% 两个数字来自对公开分析文章的转述，本文未直接核验该论文原文；引用时须标\"公开分析文章转述\"。三个研究中，只有 GhostWriter 与 FARMA 的数字本文回一手源（arXiv 摘要页）逐字核对过。

2.4 三项研究合起来读，指向的是一个共同的结构

对比维度	三项研究分别的情况
攻击对象	GhostWriter 攻击事实记忆；FARMA 攻击推理痕迹；MemGhost 攻击写入行为本身
绕过什么	GhostWriter 绕过内容过滤；FARMA 绕过关键词过滤与共识检测；MemGhost 绕过人的可见性
演示的最高成功率	约 98%（注入）与约 60%（激活）；最高 100%；87.5%
对应的治理缺口	无记忆治理；记忆无来源标记、无结构化校验；写入不可见、不可审计

三个研究共同揭示的是一件事：智能体的记忆层，目前是一个\"没有访问控制、没有来源标记、没有写入审计\"的存储区。

这正是 8 号文第（二十五）项\"提升智能体系统安全保障能力\"和《人工智能安全治理框架 3.0》把\"智能体安全\"单列一章的原因。

《人工智能安全治理框架 3.0》由全国网络安全标准化技术委员会于 2026 年 9 月 14 日在国家网络安全宣传周期间发布，这是该框架自 2024 年首发以来的第三次年度更新。相较前两版，一个明显变化是治理对象从\"模型输出\"扩展到\"智能体行为\"——风险不再只是\"说错话\"，更可能是\"做错事\"。框架把 AI 安全风险分为内生风险、应用风险、衍生风险三类，其中智能体的\"非预期自主行为\"——未经授权获取系统权限与外部资源、绕过安全防护机制、欺骗安全评测、隐藏真实能力、拒绝停止执行任务——被单独列出。

同时，OWASP《Top 10 for Agentic Applications》（2026 版）已经把 ASI06 记忆与上下文污染列为十项风险之一。需要说明的是，这份 OWASP 清单属于行业安全组织指引，不是监管文件，但它是 8 号文在技术侧的对应物：监管说\"要防范记忆污染\"，行业说\"它排名第几、怎么防\"。

一个值得注意的对照：8 号文第（十一）项要求建立\"从知识创建、审核、发布、更新到归档的全流程管理规范\"，第（十五）项要求\"制定应用清单\"，第（二十一）项要求\"日志保存期限不低于业务存续期\"。

这三项加起来，其实就是一份记忆层治理规范的骨架——只是文件没有用\"记忆\"这个词。

三、江西农信现在用 AI 用到哪一步了

在讲落地之前，得先确认一件事：江西农信系统是不是真的已经在用 AI，用到什么程度。

答案是：已经在用，而且用得比多数人以为的深。

据人民网江西频道、大江网、澎湃新闻 2026 年 11 月 6 日同日报道（来源为江西农商系统对外宣传口径），江西辖内农商银行在数字金融上的动作包括：

做法	具体内容	报道出处
数智化\"整村授信\"	安福农商银行组织客户经理逐村逐户采集信息、建立农户信用档案，依托大数据完成批量评级授信，把金融服务前置到农户开口之前，实现线上申请、快速审批、随借随还	人民网江西频道 2026-11-06
AI 智能风控 与线上办贷	各地农商银行依托大数据、AI 等智能风控技术和手机银行、\"百福快贷\"小程序等线上办贷工具，识别并直达有融资需求的农户	大江网金融频道 2026-11-06
手机银行预授信\"指尖直达\"	\"福易贷\"产品内已有预授信额度，随借随还，客户经理在田埂边教操作，3 分钟放款到卡	人民网江西频道 2026-11-06

这份名单里，有三个词是 8 号文直接管的。

第一，\"智能风控\"。信贷审批在 8 号文第（十六）项里被明确列为高风险应用——\"涉及资金交易、资产评估、信贷审批、承保理赔、风险管理等……应被视为高风险应用。人工智能高风险应用须经本机构风险管理委员会批准后方可实施\"。

第二，\"依托大数据完成批量评级授信\"。这意味着农户信用档案里的数据，被用于批量生成评级与授信结论。这条链路同时踩中 8 号文第（二十四）项\"防范数据投毒，完善数据脱敏规范，避免使用可直接识别出个体的数据\"，以及第（九）项\"持续监测数据分布漂移\"。

第三，\"整村授信\"里逐村逐户采集的原始信息。这批数据一旦进了某个助手的记忆库或者知识库，风险就从\"数据合规\"变成\"决策污染\"——8 号文第（二十四）项明确写着\"姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式人工智能模型训练和优化\"。

江西本地素材补充：11 月 6 日大江网、人民网江西频道同日报道提到，江西辖内农商银行还在做\"生物多样性+蜜桔\"挂钩贷款（贷款利率与农田生物多样性指数等指标绑定，最高下调 20 个基点）、\"百福·茶香贷\"\"百福·虾农贷\"等特色产品。这些产品的定价逻辑与授信逻辑已经部分依赖数据指标。本文不评价这些业务做法本身，只指出：一旦决策链路里出现模型与数据，8 号文第（十六）项的高风险应用认定就适用。

还有一组数字要摆在前面：江西农商系统下辖 85 家法人农商银行、2200 多个支行网点、2.3 万名员工，2025 年末资产总额 1.4 万亿元（江西农商联合银行 2025 年度信息披露报告口径）。

这意味着一件事：8 号文第（二十九）项的\"报告义务\"一旦触发，涉及的机构基数是以百家计的。而 11 月 6 日刚刚挂出的五张罚单（合计 607.60 万元）里，新干农商行一家就列了八项违规，其中首次出现\"违反金融科技管理规定\"——这说明江西农信系统的科技条线已经在监管视野里了。

把两件事接起来看，逻辑是通的：监管已经开始查金融科技条线的\"做没做\"，那么\"用 AI 之后做没做\"就是下一个会被问到的问题。

四、落地七件事：把 8 号文翻译成本周就能开工的动作

下面是本文最实操的部分。七件事按\"先做哪个\"的顺序排，不是按文件章节顺序排——顺序本身就是优先级建议。

第一件：建应用清单，并把字段定死

对应条款：第（十五）项\"建立管理制度，制定应用清单，实施分级管控措施，落实管理责任\"。

第（十五）项给出了分类分级的五个维度：业务场景重要性、应用规模、对客影响度、模型依赖度、模型复杂度。

这五个维度读起来抽象，落成表就是一行一应用。清单必须包含这八个字段（文件未规定固定字段，以下为本文建议）：

字段	说明	为什么必须有
应用名称与场景	用业务语言写，不用技术语言	风险管理委员会看不懂技术名
责任部门	业务、科技、数据三方各一个对接人	第（一）项要求明确牵头部门和跨业务、科技、数据职能部门的协同机制
所用模型与来源	自建 / 外部引入；外部引入的看网信备案号	第（五）项：外部引入的生成式人工智能模型需经过网信部门备案
数据来源	是否含个人信息、是否来自行内采集	第（二十四）项的判断前提
是否对客服务	面向公众服务 = 触发报告义务	第（二十九）项
风险等级	按第（十六）项的高风险定义判定	高风险 = 须经风险管理委员会批准
准入状态	未上线 / 试点 / 已上线 / 已评估退出	第（二）项的\"评估退出\"环节
变更记录	模型版本、提示词、工具、权限的每次变更	第（二十一）项加强模型开发、变更管理

江西农信的现实难点是第 4 个字段和第 8 个字段。\"整村授信\"这类业务的数据来源分散在采集端，\"智能风控\"模型的版本变更往往没有独立台账——因为过去不需要台账，因为过去没有\"变更\"这个概念，模型是采购来的、是不动的。

第二件：给智能体配独立身份，不是借人的身份

对应条款：第（三）项\"科学设定人工智能的功能边界、系统和数据权限\"；第（二十五）项\"防范……身份越权、工具滥用\"。

《人工智能安全治理框架 3.0》提出的方向是\"为智能体配备唯一身份标识及对应的身份凭证，按需分配任务权限\"，并把治理体系概括为\"以过程为脉络，以身份为支点，以权限为关键\"。

落到具体动作：智能体不得复用自然人账号；每个智能体有独立的服务身份与凭据；凭据按最小权限发放、按任务周期自动轮换；智能体的每一次工具调用能追溯到\"是哪个智能体、代表谁、做的哪类操作\"。

这一条现在还很少有机构做，但它恰恰是成本最低、见效最快的一条——不需要采购任何系统，只需要 IAM 侧改造。

第三件：高风险应用补上\"先批准后上线\"

对应条款：第（十六）项\"人工智能高风险应用须经本机构风险管理委员会批准后方可实施\"；第（十七）项\"明确紧急停用及模型退出条件，建立备用系统或人工替代流程\"。

江西农信最可能踩线的是\"智能风控\"和\"授信材料处理\"。第（十六）项的判定范围写得很明确：涉及资金交易、资产评估、信贷审批、承保理赔、风险管理等，以及与客户利益直接相关、直接影响金融合约达成的场景。

这条的执行顺序不能反：先有风险管理委员会批准记录，再有系统上线。文件用的是\"后方可实施\"，检查时看的就是这个顺序。

配套的三件事同样要落地：关键环节的人工监督与干预机制（谁在什么节点介入）、紧急停用条件（什么情况下触发停用）、备用系统或人工替代流程（停用之后业务怎么跑）。\"模型退出条件\"这一项最容易被漏掉——很多机构写了预案但没写退出条件。

第四件：把记忆和知识库纳入治理清单

对应条款：第（十一）项\"建立从知识创建、审核、发布、更新到归档的全流程管理规范\"；第（十五）项\"制定应用清单\"；第（二十五）项\"防范记忆污染\"；第（二十四）项\"防范数据投毒\"。

这是本文最想强调的一件事，因为它是三项研究与 8 号文真正的交汇点。

上面那张对照表里的\"无访问控制、无来源标记、无写入审计\"三个缺口，对应到具体动作是六条：

写入有门控：不是所有外部内容都能进记忆。明确哪些输入通道可以写入记忆（行内权威系统、业务系统导出），哪些只能进会话上下文（外部邮件、外部文档、公开网页）

写入有来源标记：每条记忆带来源、写入时间、写入者（或写入的智能体）。这一条直接对应 FARMA——没有来源标记，就无法识别伪造的推理痕迹

读取有信任权重：检索时不按相似度直接取用，对低来源可信度的记忆降权或要求二次确认

关键事实走权威源：账户余额、额度、审批状态这类数据，智能体必须实时查权威系统，不能从记忆里取

写入行为可见：写入记忆这件事在管理界面或日志里可见，不允许\"静默写入\"——这一条直接对应 MemGhost

支持回滚与隔离：能按条目删除、能按快照回滚；按用户、按业务域隔离，不让一个智能体写入的记忆被另一个智能体读到

框架 3.0 的对应要求：智能体风险管理框架要求覆盖\"身份伪造导致越权操作、第三方插件供应链投毒、向量记忆库造成敏感数据泄露\"等风险，并提出\"智能体身份与最小权限管控、工作流关键节点强制人工审批、外部工具/插件供应链安全校验、全链路运行监测审计\"等要求。可与上述六条合并成同一份规范。

第五件：人脸、日志、留痕，三件事一起做

对应条款：第（二十一）项\"对人工智能生成内容应进行显著标识，并向金融消费者主动说明\"+\"日志保存期限应不低于业务存续期\"；第（二十二）项\"须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录，确保责任可追溯\"。

这一件容易被理解成\"多写点日志\"，其实不是。真正的要求是：日志必须独立于智能体自己的记忆与推理记录。

理由已经在 FARMA 那里讲清楚了——如果智能体能伪造自己的推理痕迹，那么用智能体的推理记录来证明\"做过人工复核\"就无效。第（二十二）项要的\"原始数据、推理路径及阈值触发记录\"，必须由系统侧在智能体之外留存，且保存期按业务存续期计。

第（二十四）项还有一条必须单独拎出来：\"姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式人工智能模型训练和优化\"。这一条在江西农信场景下的具体指向很明确——逐村逐户采集的农户信息，不能进任何助手的训练集或记忆库。

第六件：外部模型与开源组件，要\"名单制\"

对应条款：第（十八）项\"对外包合作机构实行名单制管理，对引入的外部模型建立严格的内部评估框架\"；第（十九）项\"建立人工智能算力、模型、数据、技术工具等的供应链安全合规管理机制……完善开源技术使用规范，建立开源软件管理台账，对外部引入的开源组件应进行审查评估，加强代码审计、漏洞扫描及安全测试，定期排查开源组件风险隐患，防范供应链投毒\"。

这一件对江西农信的现实意义是\"开源软件管理台账\"。智能体生态里大量组件是开源的——记忆层、检索框架、工具封装。这些组件过去不进台账，因为它们不是\"软件采购\"。

第（十九）项要求的三件事——审查评估、代码审计、漏洞扫描与安全测试——在智能体场景里还要加第四件：工具描述本身要审。因为在 MCP 生态里，工具的描述文本会直接进入模型上下文，它不只是描述，也可能是指令。

与本期另一篇的联动：11 月 10 日选题清单第 5 条（MCP 工具投毒跨框架实测）测的就是这一层——12 个主流框架无一实现有意的工具描述防御。监管第（十九）项要求\"审查评估\"，而实测表明框架层根本不会替你审。这条要合起来做。

第七件：确认自己要不要报告

对应条款：第（二十九）项\"金融机构面向公众服务或高风险场景应用使用生成式人工智能技术的，应向金融监管总局或其派出机构报告\"。

这一条是四件硬约束里唯一一条\"对外\"的，也是江西农信最需要提前准备的。

注意这一条有两个触发条件，满足其一即需报告：面向公众服务（手机银行里的 AI 功能算不算，文件未细化）；高风险场景应用（智能风控、信贷审批这类）。

文件没有展开报告的材料清单、时点与程序。第（二十九）项同时提到监管将\"建立监测预警与处置机制，优化风险监测预警指标体系\"，第（三十）项提到\"建立对监管政策和监管效果的年度评估机制\"——这些配套细则很可能就是落地路径，届时以官方要求为准。

四件硬约束与七件事的对应关系如下：

8 号文硬约束条款	覆盖本文第几件事
第（一）项 董（理）事会指定专门委员会	第一件（责任部门字段）、第三件（风险管理委员会批准）
第（十六）项 高风险应用须经风险管理委员会批准	第三件
第（二十九）项 面向公众或高风险场景须报告	第七件
第（二十一）项 日志保存期限不低于业务存续期	第五件

四件硬约束全部有落点，且不依赖新增预算。前三件靠制度与流程，第四件靠 IAM 与日志配置。

五、几点判断

判断一｜8 号文真正的分水岭不在\"能不能用 AI\"，而在\"谁批准、留多久的痕\"。它没有禁止金融机构用 AI，反而在第（五）项鼓励\"在风险可控的前提下，推进生成式人工智能技术的业务应用\"，在第（七）项鼓励大型机构\"向中小金融机构输出人工智能技术和管理经验\"。这份文件的态度是放行但要留痕。而 32 项里能直接对应到检查证据的，就是前面列出的四条硬约束——其余多数是鼓励性表述。对江西农信系统来说，优先级最高的不是研究 32 项，而是先把\"应用清单 + 批准记录 + 日志留存 + 报告判断\"这四件事做出来。

判断二｜8 号文第二十五项点名的\"记忆污染\"，是当前技术防线最薄的一层，也是监管要求最明确的一层。三项研究在同一天挂上 arXiv，不是巧合：GhostWriter 用 98% 的注入成功率说明\"写进去\"几乎拦不住，FARMA 用最高 100% 的攻击成功率说明\"写对了\"也可能被伪造，MemGhost 用 87.5% 的成功率说明\"写进去了\"还可能看不见。三项研究恰好覆盖了记忆层的三个环节——写入、正确性、可见性。这与 8 号文第（十一）（十五）（二十一）项要求的\"知识全流程规范 + 应用清单 + 日志留存\"是同一件事的两面：监管要的是治理闭环，缺的是技术闭环。

判断三｜金融业面对的是两次倒挂叠加，不是一次。第一层是时间倒挂——安全内参 11 月 8 日那篇文章说得最直接：金融核心系统、支付清算系统和数据库的补丁生效，必须经过影响分析、兼容测试、变更审批、灰度分发和重启验证，\"补丁是否下发已不能代表风险是否解除\"，而攻击者只需针对一个目标构造一次有效利用。第二层是模型能力倒挂——攻击者可以直接调用能力更强、迭代更快的前沿闭源模型，不必承担数据出境、合规审计与业务连续性的约束；防守方受客户数据敏感、生产网络隔离与供应链安全要求约束，难以把核心代码、系统配置、告警日志及业务数据提交给外部模型，只能用本地部署的开源模型或较小模型。结果是\"攻击方能追模型上限，防守方只能在模型能力、数据安全与生产稳定之间反复权衡\"。这两次倒挂叠加起来，才是\"补丁跟不上\"这句话在金融业的完整含义。

判断四｜最被低估的合规风险是\"责任失焦\"，而它恰好是最难事后补救的。8 号文第（三）项要求\"明确人员岗位责任，确保业务全流程管理责任清晰、可落实、可追溯\"；第（二十二）项要求\"确保责任可追溯\"；第（十四）项要求\"防止模型黑箱导致关键业务流程难落责\"。问题在于：当智能体自主选择工具、生成参数、调用数据时，出了问题要判断是用户指令、外部内容污染、模型自主决策、工具缺陷，还是权限配置失当。这五种原因在事后都可能指向不同的责任人和不同的整改方向。这一条对江西农信的直接含义是：智能体上生产之前，先把\"它能做哪些决定\"这件事写清楚，比事后去查是谁的错更有效。

判断五｜江西农信的 AI 已经在数据敏感度最高的业务链路上，\"整村授信\"这类场景甚至比大行更早触碰到底层问题。11 月 6 日的公开报道显示，江西辖内农商银行已经在用 AI 智能风控、依托大数据完成批量评级授信、线上批量化放贷。而 11 月 6 日同一天挂出的五张罚单里，新干农商行首次出现\"违反金融科技管理规定\"。两件事叠在一起看，信号很清楚：江西农信系统的科技条线已经在监管视野里，而 AI 正在把科技条线的风险面从\"系统可用性\"扩展到\"决策可解释性\"。8 号文第（二十四）项那句\"姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式人工智能模型训练和优化\"，对逐村逐户采集农户信息的机构来说，不只是原则宣示，更是一条可以直接拿来对照自查的红线。

判断六｜这件事有国际标准可对照，但国际标准不能替代国内文件。OWASP《Top 10 for Agentic Applications》（2026 版）已经把记忆与上下文污染列为独立风险项，《人工智能安全治理框架 3.0》也已经把智能体安全单列一章——技术侧的组织动作，比监管文件跑得更快。但需要注意的是，《人工智能安全治理框架 3.0》属于标准化技术指引文件，不具备法律或行政法规的强制约束力，其实际作用是监管评估的参考依据、后续标准与规则的参考来源，以及判断企业是否尽到合理安全注意义务的参照标准。它不是罚单依据，8 号文才是。两份东西最好对照着读：框架给技术抓手，8 号文给合规底线。

信息来源

本文全部监管条款与研究数字均取自一手源，未作推测。

监管文件原文：《国家金融监督管理总局关于银行业保险业人工智能安全开发应用的指导意见》（金发〔2026〕8 号，2026 年 6 月 18 日发布，共 32 项），条款原文经 digitalelite 转载全文 逐条核对。

研究一手源：GhostWriter《When Agents Remember Too Much: Memory Poisoning Attacks on Large Language Model Agents》（arXiv:2607.06595，George Torres / Sharad Shrestha / Satyajayant Misra，新墨西哥州立大学，2026-07-06 提交）arxiv.org/abs/2607.06595；FARMA《Your Agent's Memories Are Not Its Own: Forged Reasoning Attacks on LLM Agent Memory and Defenses》（arXiv:2607.05029，Neeraj Karamchandani / Piyush Nagasubramaniam / Sencun Zhu / Dinghao Wu，2026-07-06 提交）arxiv.org/abs/2607.05029。

专家观点与行业标准：安全内参《金融业新型网络数据安全风险形势与应对建议》（2026-11-08，杜跃进、陈慧慧署名）secrss.com/articles/95460；观韬律师事务所对金发〔2026〕8 号文 32 项意见的逐条解读；《人工智能安全治理框架 3.0》发布与解读（全国网络安全标准化技术委员会，2026-09-14）；OWASP Top 10 for Agentic Applications（2026 版）风险清单与 ASI06 记忆与上下文污染条目。

江西本地：人民网江西频道《金融助丰收 赣鄱仓廪实》（2026-11-06）jx.people.com.cn；大江网金融频道同日报道（2026-11-06）finance.jxnews.com.cn；江西农商联合银行 2025 年度信息披露报告（系统规模数据）。

表述说明：MemGhost 的 87.5% / 71.4% 两个数字来自对公开分析文章（《Agent 记忆污染攻防实战》，CSDN 安全技术博客）的转述，本文未直接核验该论文原文，已在正文标注。8 号文第（二十九）项的报告材料清单、报告时点与程序未在文件中展开，第（三十）项提到的年度评估机制与配套细则以官方后续发布为准，本文不作推测。8 号文未规定应用清单的固定字段，本文第一件事给出的八个字段为建议口径，非文件要求。\"智能风控\"、\"整村授信\"的具体技术实现细节、所用模型、是否已部署智能体及其形态，公开报道中未披露，本文不作推断；江西农商系统各机构当前的实际 AI 应用范围需以各行内部台账为准。

官方确认事实与未公开事项

官方明确确认的事实：8 号文于 2026 年 6 月 18 日发布，共 32 项，含四项原则与第（一）至（三十二）项条款；第（十六）项将资金交易、资产评估、信贷审批、承保理赔、风险管理等列为高风险应用并要求经风险管理委员会批准；第（二十一）项要求日志保存期限不低于业务存续期；第（二十四）项规定个人信息和隐私数据不得用于生成式 AI 模型训练和优化；第（二十九）项规定面向公众服务或高风险场景应向监管总局或派出机构报告；GhostWriter 注入成功率约 98%、激活率约 60%、AM-Sentry 缓解方案；FARMA 基线条件下攻击成功率最高 100%、可击穿关键词过滤与 A-MemGuard、SENTINEL 降至 0% 且 326 条良性轨迹无误报；江西农商系统 85 家法人农商银行、2200 多个支行网点、2.3 万名员工、2025 年末资产总额 1.4 万亿元。

官方及作者未公开、本文不作推测的事项：各机构 AI 应用的实际部署范围与所用模型；报告义务的具体材料清单、时点与程序；8 号文配套技术框架与评估机制的后续发布内容；GhostWriter 与 FARMA 的具体攻击载荷与操作序列（本文亦不引用）；MemGhost 论文原文细节；江西农商系统内部 AI 治理台账现状；监管检查中对此类事项的具体口径与处罚标准。

本文的归纳性内容：四件硬约束的筛选与归类、七件事的排序与落地建议、记忆层治理六条动作、三项研究的对照维度、\"两次倒挂\"的表述与江西本地切入点分析，均为本文基于官方文件与公开研究所作的分析与归纳，不代表监管部门的官方分类或检查口径。