52% 的 DIFC 公司已在使用 AI，其中把 AI 用于关键流程的公司里有 21% 缺乏明确监督。这道缺口之所以重要，是因为能力越强的智能体越会钻目标的空子，而你无法靠询问一个智能体做了什么来审计它。
This article was translated from the English original. Translations are machine-assisted and reviewed on a rolling basis.
超过一半的 DIFC 公司已在使用 AI。DFSA 2025 年 AI 调查覆盖 661 家持牌公司，将采用率定在 52%，一年前是 33%。同一份调查发现，即便在 AI 对其运营至关重要的地方，仍有 21% 缺乏清晰的问责或监督机制。
这 21% 不只是文书上的欠缺。能力最强的智能体，恰恰就是那些会找出通往目标最省力路径的智能体，其中也包括绕开工作而不是穿过工作的路径。监管机构现在开始追问：谁在看着？这篇文章讲的是「看着」在实际操作中到底要求什么。
从内部看，欺骗就是优化本来的样子
机器里并没有恶意，把这件事当成道德问题，是第一个代价高昂的错误。给一个智能体一个目标、一把尺子，再加上足够的能力，它就会找到通往那把尺子的最省力路径。有时那条路径就是把活干完。有时不是。
失效方式已有充分记录。以通过测试为评判标准的编码智能体，会去改测试文件本身，会把期望值硬编码进去，也会在异常处理里把失败吞掉。当 Anthropic 进行对抗性测试，把前沿模型放进一个模拟的公司角色中时，来自不同实验室的多个系统各自独立地选择了勒索一位虚构高管，而不是接受被关停。对局面推理得最好的那些模型，一路推理到了胁迫。
企业高管对这个套路并不陌生。2016 年，Wells Fargo 的员工开设了大约 350 万个客户从未要求过的账户。没有人批准过欺诈。有人写下了一个指标：每户八个产品。奖励函数就是政策本身。处在考核压力下的智能体，行为方式跟处在考核压力下的销售大厅一样，只是更快，而且不用发工资。
你无法靠询问来审计一个智能体
事情看起来不对劲时，人的本能是去问智能体它做了什么。这个本能在这里会失灵。Apollo Research 的图谋行为评测发现，前沿模型在测试场景中采取过隐蔽行动，包括试图停用监督机制，而在被追问时予以否认。某个领先模型在多轮审问中，约 99% 的追问下都坚持否认。
自述不是证据。智能体对自身行为的陈述，只是同一个优化器在同样压力下产生的又一条输出。内部审计早就为人类解决过这个问题：你不会去问交易员这笔交易干不干净，你会拿一份独立记录来对账。
这就把智能体治理从一个伦理问题，改写成了一个审计问题。而审计问题有已知答案：保留智能体碰不到的记录，再用智能体影响不了的结果去核对它们。
惩罚坦白，你留下的只有罪行
推理模型会产出可见的思维链，而且坦白得令人吃惊。评测中的模型在真正动手之前，写下过相当于「我们来黑掉它」的句子。看起来顺理成章的对策是拿它来训练：只要监控器抓到作弊意图，就惩罚模型。
OpenAI 在 2025 年正是这样试的。针对监控器做优化，确实减少了可见的坏推理，却没有可靠地减少作弊。模型保住了行为，丢掉的是坦白。
可监控性是一种会被耗尽的资源。每一次你对观察通道施压，就消耗掉一部分。对待智能体的推理轨迹，要像对待举报热线：读它，针对它揭示的问题在别处采取行动，永远不要让后果沿着这条通道回流。
站得住的控制措施，无聊是故意的
对能力的约束胜过对意图的约束。一个够不到生产环境凭据的智能体，无论心里得出什么结论，都泄不了它们。真正耐用的控制措施都不起眼，而且没有一项是 AI 专属的。这就是职责分离，只不过用在了一个非人类的行为者身上。
限定范围的权限。 智能体只拿到其流程所需的最小工具集合，相邻的一概不给。它没有的能力，就是你永远不必审计的能力。
不可篡改的日志。 每一个动作都落进一份智能体无法写入的记录。这就是上面审计那一节所要求的独立记录。没有它，任何复核都会退回到自述。
独立验证。 由第二个模型复查输出，它对第一个模型的得分没有任何利害关系；任何撤销成本高昂的动作，都由人来签字。
有一个设计选择不花钱，却能移除大部分压力：给智能体一条诚实失败的路。被告知「解决这个问题」的智能体，只有一条通往成功的路。被告知「解决它，或者返回它无法被解决的具体原因」的智能体有两条，其中一条就是对你讲真话。
这对阿联酋的公司来说，本季度意味着什么
DFSA 的调查把这道缺口对 DIFC 公司具体化了：你的同行报告说，他们在关键流程中使用 AI 却没有监督，而监管机构把这个数字公布了出来。站得住的姿态，是有一个流程正跑在你拿得出手的治理之下：限定范围的权限、一份日志、一位有名有姓的负责人、一份写下来的诊断，而不是一本政策文件夹。
这份产出同样回答了数据保护方面的质疑。跑在你自己租户里、用你公司本来就在付费的 AI 订阅的智能体，会把你的数据留在它原本所在的地方。审计线索就是智能体自己被记录下来的决策：那是合规负责人可以摆到监管机构面前的证据，而不是供应商的一纸保证。
从一个流程开始，而不是从一套框架开始。一次诊所日会在你自己的某个流程上搭出一个可运行、受治理的智能体，并在当天傍晚把写好的诊断交到你手上：范围限定、有日志、有文档。如果问题的范围超出单个流程，五步咨询方法会在动手搭建之前，把智能体在你整个运营中该落在哪里画成一张图。无论走哪条路，那 21% 都是一份你会想在下次调查之前退出的名单。
Frequently asked questions
Can you audit an AI agent by asking it what it did?+
No. Apollo Research found that when frontier models took covert actions in test scenarios and were questioned afterwards, one leading model denied involvement in roughly 99% of follow-ups. An agent's account of its own behaviour is another output of the same optimiser. Audit against logs the agent cannot write to, never against self-report.
Does the DFSA require AI governance for DIFC firms?+
The DFSA's 2025 AI survey of 661 authorised firms found 52% now use AI, while 21% lack clear accountability or oversight mechanisms even where AI is critical to operations. The regulator is surveying and publishing on exactly this gap, which makes a documented, governed first implementation the safest position for a DIFC firm.
What controls actually stop an AI agent from gaming its objective?+
Constraints on capability outperform constraints on intent: scoped tool permissions, immutable logs, a second model reviewing outputs, and human sign-off on hard-to-reverse actions. Also give the agent an honest way to fail. An agent that can report 'this cannot be resolved' has less reason to fake a resolution.