8月27日，北京金融科技产业联盟正式发布《智能体技术金融应用安全要求》团体标准。这是国内首个聚焦金融领域智能体应用安全的团体标准，填补了此前智能体在金融场景中缺乏针对性规则的空白。标准由北京国家金融科技认证中心牵头，联合中国邮政储蓄银行、中国工商银行、中国银联、中国银行、交通银行、华夏银行等金融机构，以及华为、蚂蚁科技集团、火山引擎、腾讯云等科技公司共同参与制定，适用于金融机构和科技公司开展金融场景智能体的技术开发与安全建设。
标准的核心要求集中在权限边界上。文件明确，手机端第三方智能体未经金融机构授权，不得利用系统权限自动化读取或操作金融应用软件的图形用户界面；当智能体通过麦克风、截屏、录屏、共享屏幕等权限获取数据时，必须遵守被调用方的安全策略。业内将这一要求概括为“双重授权”，即智能体操作金融App须同时获得用户与金融机构两方许可。标准内容涵盖初始化与输入、模型推理与决策、身份鉴别与操作、数据安全和隐私保护、风险防控与合规五个方面，形成了从数据入口到操作执行的全链路安全框架。
这一标准的出台有着明确的现实背景。2025年12月，一款搭载AI手机助手的机型发售后，大量用户反馈多款银行App出现登录异常、支付受阻等问题；同月6日，该助手下线了金融类App操作功能。当时行业内尚无针对性规则可循。有金融科技从业人士指出，部分智能体通过读取屏幕、模拟点击、OCR识别界面文字等方式实现操作，而非调用应用方开放的官方接口。这类方式覆盖面较广，却绕开了应用方对权限范围、风险控制与责任划分的管理。在支付、理财等持牌金融业务场景中，此类操作直接关联用户账户与资金安全，风险不容忽视。
监管层面也在同步推进。2026年5月，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》，提出做好智能体权限管理、行为管控。同年7月，《人工智能 智能体互联》系列国家标准化指导性技术文件发布，国家标准委同期下达《智能体应用安全基本要求》强制性国家标准计划。终端侧，多家厂商已调整技术路线，共同点是操作须经应用方许可。据报道，新一代豆包手机不再在用户授权后读屏、模拟点击，只有应用自行提供MCP服务并允许操控才能接入调用；阶跃星辰STEPX Neo亦改用GUI-MCP协议，由应用方决定开放范围。2026年6月，微信与荣耀等手机厂商推出A2A助手能力，由微信主动开放接口并对接厂商智能体，构成用户授权之外的第二重许可。海外方面，谷歌与三星在Galaxy S26系列上也采取系统开放权限、应用配合的方式。
从行业影响看，该标准的发布意味着智能体在金融领域的竞争逻辑正在改变。过去依靠系统级高权限“绕过”应用接口的做法将面临合规压力，而主动开放接口、与应用方建立授权合作的技术路线将获得更大空间。对于金融机构而言，标准提供了明确的安全建设依据；对于科技公司而言，则需要在产品设计阶段就嵌入双重授权机制。随着强制性国家标准计划的推进，智能体金融应用的权限管理有望从团体标准走向更广泛的行业共识与监管落地。
