2026年10月22日，美国网络安全和基础设施安全局（CISA）联合加拿大网络安全中心及盟友机构，发布《管理 AI 代币消耗以保障运营韧性》联合指南。同一周，摩根大通、花旗、美国银行、嘉信理财相继明确：未经授权的第三方 AI 代理，不得登录客户账户或动用资金。两件事指向同一个合规现实——AI 的"按量付费"和"替你操作"，正在变成企业必须管起来的风险敞口。
指南管什么：新型攻击与三层优先级
指南由加拿大网络安全中心挂网发布（编号 ITSM.00.125），面向采用第三方"超智能"服务的组织，重点是关键基础设施运营方和网络防御者。它点名的风险里，最值得注意的是两类新型攻击：拒绝代币和拒绝钱包攻击。
"拒绝钱包"打的不是系统，是账单。攻击者利用 AI 按量计费的定价模型，用超复杂输入、AI 自我循环（把输出再喂回输入）等手段恶意烧掉受害组织的配额或预算，配额烧光后合法业务跟着停摆。
治理框架是"三层分级"：第一层"使命关键"（网络防御、事件响应、威胁情报）优先级最高；第二层"运营"（合规活动、政策分析）持续监控、控制成本；第三层"生产力"（写邮件、会议纪要）高峰时可被限流。配套动作包括提示词精简、缓存复用、按任务选型（小任务用小模型或本地模型）、建立跨部门 AI 治理小组、把代币遥测接入安全运营中心，以及允许 AI 代理自主运行前先做风险评估。
同一周，银行先动了手：封禁 AI 代理动账
10月14日，摩根大通 CEO 杰米·戴蒙在财报电话会上表态，不会允许外部 AI 代理进入客户账户，理由是防范"失控代理"。随后《金融时报》报道，花旗不允许第三方 AI 代理或助手登录客户账户、在数字银行平台内直接交易；美国银行 CEO 布莱恩·莫伊尼汉在 CNBC 采访中称，资金离开账户必须经过"人回路"审批，银行还在厘清"AI 批准的支付到底算谁的责任"。
嘉信理财 CEO 里克·沃斯特透露，公司每周拦截数十次未授权代理的尝试。10月22日路透社援引 Axios 报道，多家银行正在清除潜伏在客户账户内的未授权第三方 AI 代理，其中一些曾尝试执行用户从未要求的操作。四家政策的共同点：查余额等只读功能保留，动钱不行。
连起来看：影响谁、该怎么做
两件事是同一条逻辑的两端：指南管"AI 花钱"，银行管"AI 动钱"。受影响的主要是三类——核心业务跑在第三方大模型 API 上的团队、让 AI 代理接触客户资金或敏感数据的金融与电商场景、关键基础设施运营方。
可执行的动作照指南清单来：给 AI 用量分层，关键职能的配额单独保障；给代理划授权边界，只读和动账走不同审批，动账保留人工确认；把代币消耗纳入安全监控，异常飙升按"疑似数据外泄"同等对待；供应商合同写清配额、限流与降级保障。银行的"只读保留、动账封禁"是个现成参照——不是不用代理，而是不让代理拿着你的密码替你签字。
适用边界：这是美国的规则，别当全球通用
CISA 指南是美国联邦机构联合加拿大、澳大利亚、英国、新西兰等盟友网络安全机构发布的，约束对象是这些国家的组织，尤其是关键基础设施，不是全球强制标准；四家银行的封禁是企业各自的政策，只适用于自家客户。
中国企业可以直接参考的是方法论：按量计费的成本治理、代理授权最小权限、动账类操作人工审批。几天前金融稳定理事会定稿的金融 AI 做法里，高风险智能体动手前须人工审批 (/zh/article/2643-fsb-jin-rong-ai-1-2-xiang-zuo-fa-ding-gao-gao-feng-xian-zhi-neng-ti-dong-shou-qi)也是同一条线。但"AI 批准的支付算谁的责任"，美国银行自己都还没厘清，中国更没有现成答案，相关合同与内部制度要提前补上。把美国的监管动作当成全球通行规则去套用，是合规里最常见的误读。
