AI安全治理框架3.0，智能体支付边界进一步清晰

人工智能正在从“回答问题”走向“执行任务”。

支付之家注意到，全国网络安全标准化技术委员会发布《人工智能安全治理框架3.0》。新版框架延续“风险分类、技术应对、综合治理”的核心逻辑，同时明显强化了智能体安全治理，不仅单列“智能体安全风险”，还专门设置《智能体风险管理框架》，把身份、权限、工具调用、人工控制和运行审计纳入智能体全生命周期管理。

“交易支付”也被直接写进了这套风险管理框架。《框架3.0》提出，对智能体的文件操作、指令执行、网络连接、技能调用、交易支付等行为进行全量日志记录，并采取防篡改措施。围绕一个能够执行交易的智能体，身份、授权、执行和审计开始被放进同一套安全控制机制之中。

《框架3.0》面向的是通用人工智能安全治理。随着AI开始代表用户调用工具、操作账户甚至完成付款，其中关于身份、授权和执行控制的要求，也开始与支付场景直接发生关系。

从通用控制到智能体专门治理

2025年发布的《人工智能安全治理框架2.0》已经把智能体纳入风险识别，并开始关注其自主规划、自动执行以及调用文件、权限、接口和工具所带来的安全风险。

面对AI自主操作能力提升，2.0也已经提出人工复核、最小权限、运行日志等要求，并提出在引入高度自主操作执行能力时，同步建立“熔断”“一键管控”等措施。

3.0把过去分散在人工智能应用安全要求中的自主执行问题，重新组织成了一套针对智能体的专门治理结构。

在3.0的风险分类中，“智能体安全风险”被单独列出，并拆成身份和权限滥用、推理规划、调用执行、记忆存储四类风险。针对这些风险，文件提出唯一身份、最小权限、人工审批、外部工具验证和运行监测等应对措施。

附件2则专门建立《智能体风险管理框架》，从设计研发、安装部署，一直覆盖指令输入、推理规划、调用执行、记忆存储、结果输出和停用下线。身份、凭证、授权、工具、记忆、日志等原本可能分散在不同环节的问题，由此被纳入智能体完整生命周期管理。

这条治理线索在今年5月已经进一步显现。

国家网信办、国家发展改革委、工业和信息化部发布《智能体规范应用与创新发展实施意见》，提出探索建立智能体注册平台，提供数字身份管理等服务，研究智能体身份标识、可信互联、合规支付等基础技术，并明确区分仅限用户本人决策、需由用户授权决策和智能体自主决策等不同决策方式的权限边界。

当时重点解决的是身份、互联和决策权限等基础治理问题，“合规支付”也进入国家层面的智能体发展与治理安排。

四个月后，《框架3.0》把问题继续推进到执行环节。一个真正能够执行任务的智能体，应当怎样获得权限、怎样使用授权、什么时候必须把控制权交还给人，以及执行以后怎样留下完整记录，都有了更具体的控制要求。

身份、授权、执行、审计

一笔传统电子支付发生时，交易系统通常需要识别用户、账户、商户和支付工具。智能体介入以后，交易链中又增加了一个需要识别和验证的机器代理角色，首先要回答的就是这个智能体是谁。

《框架3.0》要求为智能体赋予唯一身份标识，并配置相应身份凭证。附件2还提出，不同智能体应用实例不得共享身份标识，同时需要鉴别用户、智能体、工具及外部服务的身份。

如果要让由AI代理发起的交易能够被验证，银行、钱包、支付机构、商户等交易参与方，就需要判断究竟是哪一个智能体正在代表用户行动，以及这个身份和代理关系是否可信。

身份之后是权限。3.0沿用了5月《智能体规范应用与创新发展实施意见》提出的“仅限用户本人决策、需由用户授权决策和智能体自主决策”三类决策方式，同时增加了更具体的权限和凭证管理机制。

文件提出，只向智能体授予执行当前任务所必需的最小权限，并使用“标准化的动态授权凭证”。凭证接收方需要严格校验凭证载明的授权范围，超出范围时触发拦截预警。任务终止或者智能体停用后，相应凭证需要立即撤销。

授权由此不再只是一次笼统的用户同意，还要能够明确范围，并被相关方验证。未来一笔由AI执行的付款，不仅要能够证明用户同意智能体采取行动，还需要判断这次授权允许智能体做什么，当前操作是不是仍在授权范围内。

金额、商户、商品、有效期限或者支付次数，都可能成为支付行业设计具体授权机制时需要处理的变量。《框架3.0》在这里规定的是授权范围、验证和撤回机制，具体到金额、商户、商品、期限、次数以及支付凭证如何设计，仍属于支付行业后续需要解决的问题。

这种控制还延伸到了具体执行阶段。按照附件2，智能体执行高风险操作前，应将操作转交用户接管。中低风险操作执行前，也需要获得用户授权。人类需要能够在必要节点审核、变更或者中断智能体运行。如果人工审批系统异常、用户没有响应，或者缺乏对应的人工审批规则，默认拒绝操作执行。

2.0已经提出熔断和人工控制，3.0则把这种原则放进智能体具体工作流，并按照不同风险水平安排不同程度的人类介入。

从这套风险分级逻辑看，智能体支付很难从“每笔交易都由用户确认”直接跳到“所有付款全部自主完成”。不同风险等级、不同业务条件下，智能体获得的自主空间可能不同，高风险操作则需要重新回到用户控制之下。

在不少智能体支付场景中，智能体还需要调用外部工具或服务接口。3.0把工具、插件、技能和服务接口纳入智能体专门风险管理，涉及工具投毒、工具越权、身份伪造、工具劫持和返回数据污染等问题，并要求验证外部工具、插件和技能的安全性与完整性，对异常调用进行阻断。

在支付场景中，被调用的外部能力可能包括钱包、账户服务、支付接口和收单服务。风险也由此延伸到工具选择、权限获取、接口调用和返回结果，不再只集中于最后的资金划转。

交易完成以后，还要解决怎样证明刚才到底发生了什么。《框架3.0》要求开展智能体全链路安全监测，确保行为可感知、可追溯、可审计。附件2明确提出，对文件操作、指令执行、网络连接、技能调用、交易支付等行为进行全量日志记录，对涉及的业务数据、个人信息进行脱敏，并采取防篡改措施。

放到支付链路中，几个基本控制问题也随之清楚起来。身份回答谁在付款，授权回答凭什么付款，执行控制决定智能体可以行动到什么程度，日志和审计则回答发生争议以后，能否重新还原这笔交易是怎样发生的。

从“合规支付”继续走向执行规则

2026年以来，围绕智能体身份、互联和支付的规则正在连续出现。

GB/Z 185系列已经覆盖智能体互联总体架构、身份码、身份管理、智能体描述、发现、交互和工具调用等环节。在此基础上，“人工智能 智能体互联 第8部分：智能体审计”已于7月23日下达国家标准计划；“第9部分：智能体交易”于8月17日登记，目前正在起草。

到了8月，中国支付清算协会印发《智能体支付应用自律公约》，治理进一步进入支付业务内部。《公约》适用于开展智能体支付应用的协会会员单位，包括提供账户管理、交易处理、收单、转接清算等服务的机构，并提出在“了解你的客户”基础上探索建立“了解你的智能体”机制。公开内容还涉及用户与智能体对应关系、授权边界、支付意愿核验、分类管理，以及自主发起支付交易正式开展前的业务评估和安全测试等要求。

几份文件分别落在不同治理环节。5月的《实施意见》把身份、互联、合规支付和决策权限纳入智能体政策部署，随后身份、审计、交易等标准化工作继续推进。8月的行业自律公约开始从支付业务内部处理智能体身份、用户授权和支付风险。9月的《框架3.0》则从安全治理侧细化身份凭证、权限管理、人工控制、工具执行和全链路审计。

《框架3.0》进一步把控制要求落到智能体运行和执行过程中，包括唯一身份、任务权限、动态授权、人工接管和执行留痕。当一个智能体真正拥有外部工具调用和自主执行能力以后，唯一身份如何建立，任务权限如何限制，动态授权如何校验，高风险动作怎样重新交还用户，执行过程怎样留痕，都有了更具体的治理依据。

智能体进入真实支付业务，还有几项关键规则没有解决。例如，支付行业最终采用什么样的智能体身份体系，“动态授权凭证”怎样与银行、钱包、支付机构和商户现有的授权及支付凭证机制衔接，并实现跨主体校验，哪些支付操作需要重新交给用户确认，智能体平台、金融机构、支付机构、商户之间的责任怎样划分，都还需要更具体的行业规则和技术安排。

退款、拒付和交易争议同样如此。如果一笔交易由智能体自主执行，后续争议处理需要核验的内容可能不再只有传统交易信息，还会涉及智能体身份、用户授权、任务范围、工具调用、人工审批和执行日志。《框架3.0》已经把交易支付纳入智能体全量日志记录，但这些日志和授权证据怎样进入金融机构的风控、投诉、退款和争议处理体系，仍需要支付行业继续解决。

在行业治理层面，《框架3.0》还提出，针对金融、教育、广播电视、卫生健康等不同行业分别制定沙箱入箱标准与测试要求，并根据项目风险等级采取不同强度的监测和干预措施。这些安排也为金融领域继续细化AI安全指南和沙箱测试规则提供了治理方向，具体到智能体支付，还需要后续规则继续完善。

智能体支付的治理正在越来越接近真实交易执行。智能体支付走进真实交易以后，每一笔由AI执行的付款都需要回答几个基本问题。

谁在付，为什么能付，有没有越界，以及到底发生了什么。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。