證券及期貨事務監察委員會（證監會）行政總裁梁鳳儀於十一月二日香港金融科技周表示，將就自主程度較高的人工智能應用制定以原則為本的實務指引，並計劃為持牌機構制訂網絡保安架構，對風險較高機構提出更高要求，以加強抵禦人工智能驅動網絡威脅的能力；同日並公布首份大型機構人工智能準備情況調查。來源真實性已驗證。

證監會／官方：金融科技周公布代理型 AI 實務指引路線——持牌機構將獲網絡保安架構，高風險機構要求更高；大型機構調查顯示逾半已用或試行代理型 AI

香港證券及期貨事務監察委員會（證監會）行政總裁梁鳳儀於二零二六年十一月二日出席香港金融科技周二零二六專題討論，證監會同日在官網刊出其發言摘要《以人工智能與代幣化雙輪　驅動資本市場的負責任創新》，並發布新聞稿（26PR181）及首份《大型機構人工智能應用及準備情況調查》結果（26PR182）。核心方向有三：就自主程度較高的人工智能（尤其代理型 AI）制定以原則為本的實務指引，強調全程問責於人及人手監督；為持牌機構制訂網絡保安架構，並對風險較高機構提出更高要求，以應對人工智能驅動的網絡威脅；以及重申代幣化須帶來實質經濟效益方能規模化。來源真實性已驗證（證監會新聞稿、演說摘要 PDF，並對照港台即時報道）。

一、核心事件與監管邊界

政策與調查同日出台

按證監會新聞稿與演說摘要，梁鳳儀指出香港金融中介機構應用人工智能的規模與速度正提升，前沿模型及代理型 AI 的發展可能快於傳統監管評估與標準制定周期，因此監管須與業界及其他監管機構更靈活地識別風險。證監會將按情況就代理型 AI 提供額外指引，基礎包括是次大型機構調查，以及生成式人工智能沙盒++（Gen AI Sandbox++）的試驗。

同日公布的調查於二零二六年七月至八月進行，涵蓋二十家大型金融機構及其七十八家香港聯屬持牌法團；按持牌機構呈報數據，這些集團合共約佔證券成交額百分之七十五及客戶數目約百分之四十五。主要數字包括：百分之三十的受訪機構已在業務營運中應用代理型 AI，另有百分之二十五正進行試點；百分之九十五預期未來十二個月會加快人工智能應用；百分之九十已將人工智能工具連接至內部系統；百分之九十正採用或評估前沿人工智能模型作網絡防禦。演說摘要另指，所有受訪機構均已在研究、分析及後勤支援職能使用人工智能，超過半數正使用或試行代理型 AI。

代理型 AI 在證監會定義下，指能夠自主決定及執行步驟以達到某個目標的人工智能，包括存取資料或工具，以及在獲授權後按有限人為指示採取行動。調查所見主要用例涵蓋資料檢索、內容擬備、軟件開發、營運工作流程及部分交易相關活動。

網絡保安架構：基本要求＋高風險加碼

梁鳳儀表示，人工智能正使軟件中長期潛藏的漏洞更快演變成大規模威脅，並引述近期全球就 PHP 及其他網頁開發工具漏洞發出的警示：攻擊者或可在毋須登入的情況下控制尚未修補的伺服器或取得敏感資料；以 PHP 漏洞為例，全球單日錄得數以百萬計企圖攻擊。摘要披露：部分持牌機構為求安全，在完成修補前暫時關閉受影響網站；少數則因系統供應商受影響而業務受阻；證監會自身因及早安裝修補程式而未遭入侵。她重申六月通函（26EC32）方向——優先修補關鍵漏洞並維持網絡保安基本措施——並呼籲「以 AI 對抗 AI」。調查顯示近半數受訪機構已運用人工智能進行對抗模擬及威脅追蹤。

展望未來，證監會計劃制訂網絡保安架構，為所有持牌機構訂立基本要求，並對風險較高的機構提出更高要求；同時加強與本港其他監管機構及有關當局的協調與情報共享，並在區內牽頭亞太證券監管機構合作，應對可能跨境外溢的營運風險事故或大規模詐騙。港台報道引述中介機構部執行董事葉志衡指，網絡安全是當局關注重點，並提到未來兩個月或向業界發出有關網絡安全與虛擬資產的通函，作為業界自我檢視參考（該時間表以港台引述為準，細節以證監會後續正式文件為準）。

代幣化：認可產品規模與次級市場

演說摘要交代，截至二零二六年九月，證監會已認可十七項代幣化零售產品，資產管理規模合共約十三億美元，較過去十二個月增長約百分之三十四。香港上周率先容許代幣化貨幣市場基金於持牌虛擬資產交易平台進行二級市場買賣；金管局同日稍早亦宣布透過央行數碼貨幣提供全日銀行同業結算，以支援全天候代幣化交易。梁鳳儀強調：代幣化須為市場帶來實質經濟效益，投資者選擇相關產品應因產品價值與投資者成果，而非僅因採用了代幣化技術。

二、技術原理與管治邏輯

代理型 AI：風險形態改變

傳統生成式工具多停留在「建議／草稿」層；代理型系統則可串連工具呼叫、跨系統存取與有限度自動執行，錯誤可能在多個步驟中累積放大，甚至未經授權擅自行動，或無意干擾其他機構運作。梁鳳儀指出，對每一中間步驟人手審閱並不切實際，故指引將以原則為本，着重整個工作流程維持以人為本的問責與監督，而非規定每項輸出均須手動批准。

風險分層是關鍵：影響較輕、可撤回的操作（如後台流程及監察）可賦予較高自主；向客戶提供投資建議、作出投資組合決策及執行市場交易，則須因應風險採取更嚴格保障。代表客戶採取行動時，自主程度應與所涉風險相稱。Gen AI Sandbox++ 被定位為監管與業界共同探索空間，用以研究能否重構決策過程、釐清行動、解釋結果，以及在出事時界定責任。

網絡韌性：修補窗口被壓縮

六月通函已提醒：前沿模型可降低識別與利用漏洞所需的專業知識、成本與時間，亦降低釣魚、社交工程、深度偽造與偵察門檻；漏洞披露至被利用的時間間隔縮短，持牌機構應加快修補與漏洞管理，並備存對外暴露、業務關鍵及第三方依賴的資產清單。是次金融科技周訊息把上述觀察升級為「將制訂架構」——即由通函提醒走向更具結構的基本要求與風險分級加碼，並把供應鏈（第三方網站／系統供應商中斷）納入韌性敘事。

證監會中介機構部執行董事葉志衡在調查新聞稿中概括監管方針為「安全為先、以人為本、協作主導」，並提出四大重點：保障投資者、加強網絡安全與營運韌性、在日益自主的工作流程中落實問責於人及人手監督，以及透過交流協作建立能力。他強調：規模化應用人工智能需要可靠基礎設施、穩健數據、適當專業知識，以及追上科技的管治體系。

四、日常應用場景

1. 開發者與技術團隊

若你為持牌法團、虛擬資產交易平台或金融科技供應商交付系統，應預期「代理型工作流」會被要求寫清：目標與授權邊界、可呼叫的工具／連接器範圍、高影響操作的雙人核對或人類確認點，以及可審計的行動日誌。修補節奏亦須可證明——尤其對外暴露元件與第三方套件；金融科技周舉出的 PHP 類事件說明，未修補面可在短時間內變成大規模掃描目標。

2. 企業與持牌機構

董事會與資訊科技核心職能主管（MIC-IT）應把六月通函與是次架構預告一併納入差距分析：資產清單是否當日可用、緊急修補是否可脫離例行窗口、網絡分段與最小權限是否足以限制橫向移動、第三方供應商事故會否直接中斷對客服務。同時盤點代理型 AI 用例屬低影響可撤回，抑或已觸及建議、組合或市場執行——後者應預設更嚴的人類在環與權限隔離。調查顯示九成機構已把人工智能接進內部系統，整合本身會放大提示注入、工具濫用與憑證外洩面，須與雲端身分、密鑰與日誌策略一併設計。

3. 一般用戶與投資者

終端投資者短期未必直接「選用」代理型 AI，但會接觸聊天式建議、自動化服務與代幣化產品入口。監管強調問責於人，意味著機構不能把錯誤完全推給模型；用戶仍應核對持牌身分、收費與風險披露，並對要求遠端操控、種子碼或一次性密碼的異常流程保持警覺。

4. 香港與亞洲市場視角

這組公布直接針對香港持牌生態：證券中介、網上經紀與獲發牌虛擬資產服務提供者。對在港營運、服務亞太客戶的科技供應商而言，合規敘事正在從「有否使用 AI」轉向「自主程度、人類監督與網絡韌性是否可被檢查」。代幣化部分亦延續香港以持牌平台承接代幣化貨幣市場基金次級交易的路線；金管局全日央行數碼貨幣結算若落地，會進一步要求交易、託管與資安控制在非傳統交易時段仍然有效。

五、專業評價與潛在考量

優勢

同日交出政策預告與量化調查，令「代理型 AI 普及」與「網絡威脅升溫」有可引用的本地數據，而非只停留在概念倡議。
風險分層清楚：後台可撤回操作與客戶建議／組合／市場執行分開設防，避免一刀切扼殺試驗。
網絡保安架構採「全體基本要求＋高風險加碼」，與持牌機構異質風險（網上交易、虛擬資產平台等）較為匹配。
把第三方供應商中斷與跨境外溢事故寫進韌性議程，貼近近年軟件供應鏈與邊界裝置事故現實。

需要留意的地方

「將制訂」指引與架構仍屬路線圖；生效文本、過渡期與查察方式有待正式文件，企業不宜僅憑演說摘要當作最終合規清單。
調查樣本為二十家大型機構，證監會已註明不代表全部持牌法團；中小型中介的準備程度可能落差更大。
演說摘要與調查新聞稿對「未來十二個月加快／擴大應用」的表述數字並不完全相同（新聞稿為百分之九十五加快人工智能應用；摘要另述百分之八十進一步擴大應用），引用時應標明出處，避免混用。
PHP 事件在摘要中作情境說明，未展開具體 CVE 編號與受影響產品清單；資安團隊仍須以供應商公告與本身資產清單為準。
代幣化資產規模與次級市場進展可觀，但「實質經濟效益」標準仍偏原則性，產品設計與披露質素會決定會否只剩技術包裝。

結語

當代理型系統開始接駁內部工具與對客流程，監管焦點必然從「模型強不強」轉向「誰授權、誰監察、出事誰負責」，以及修補與供應鏈能否跟得上被人工智能壓縮的攻擊窗口。證監會在金融科技周把代理型 AI 實務指引、持牌機構網絡保安架構與本地大型機構調查一併端出，為香港中介與虛擬資產持牌生態劃出清晰的下一步。若你的團隊正在為金融或受規管場景加固雲端身分、零信任、漏洞管理與人工智能工作流護欄，可參考 YSK Limited 的雲端遷移與網絡安全服務：https://ysk.hk/services/cloud-security

參考來源

證監會新聞稿 26PR181：梁鳳儀的新演說摘要：在香港金融科技周2026上的發言 — https://apps.sfc.hk/edistributionWeb/gateway/TC/news-and-announcements/news/doc?refNo=26PR181（2026-11-02）
證監會演說摘要 PDF：《以人工智能與代幣化雙輪　驅動資本市場的負責任創新》— https://www.sfc.hk/-/media/TC/files/COM/Speech/Synopsis_Panel-remarks-at-Hong-Kong-FinTech-Week-2026_CH_FINAL.pdf（2026-11-02）
證監會新聞稿 26PR182：證監會調查顯示人工智能應用日益普及　負責任的規模化發展仍具挑戰 — https://apps.sfc.hk/edistributionWeb/gateway/TC/news-and-announcements/news/doc?refNo=26PR182（2026-11-02）
證監會通函 26EC32：加強網絡安全措施　應對人工智能驅動的網絡攻擊引發的新興風險 — https://apps.sfc.hk/edistributionWeb/gateway/TC/circular/intermediaries/supervision/doc?refNo=26EC32（2026-06-02）
港台即時：證監會擬為持牌機構制訂網絡保安架構　對風險較高機構提更高要求 — https://news.rthk.hk/rthk/ch/component/k2/1876238-20261102.htm（2026-11-02）