PCI SSC发布AI系统安全指引，涉及持卡人数据的智能体操作须人工审批

PCI安全标准委员会（PCI Security Standards Council，PCI SSC）发布了一份新的信息补充文件（information supplement），专门讨论人工智能系统的安全。该文件既涵盖在支付环境中使用AI所涉及的安全问题，也包括在保护传统系统、防范借助AI发起的攻击时需要考虑的事项。

据安全媒体Help Net Security报道，这份指引提出，对涉及持卡人数据的AI智能体操作应进行人工审批。这一表述把“AI智能体能否自主处置支付数据”这一治理问题摆到了台面上。

PCI SSC表示，该文件是与业界相关方合作制定的，参与方包括全球执行评估师圆桌会议（Global Executive Assessor Roundtable，GEAR）以及PCI SSC顾问委员会（Board of Advisors）。文件提供了AI相关准则的高层摘要，并对若干关键领域进行了描述。

需要强调的是，PCI SSC明确指出，这份信息补充文件属于指引（guidance），不应被视为强制性要求；当指引与正式PCI标准存在差异时，以PCI标准为准。也就是说，它更像是帮助机构理解风险和落地实践的参考，而非新增的合规条款。

这一发布与PCI SSC近年在AI方向的动作相呼应。该组织此前已通过“The AI Exchange”系列、专题文章等方式，持续讨论AI在支付安全中的角色。此次把内容整理为专门的信息补充文件，意味着其讨论从观点交流进一步走向结构化的指引输出。

对支付行业而言，AI智能体正在进入客服、对账、风控等流程，而持卡人数据始终处在合规的核心位置。把人工审批设定为涉及持卡人数据的智能体操作的边界，实际上是在自动化效率与责任归属之间划出一条线：哪些决定可以由系统自主完成，哪些必须有人类签字确认。

后续值得关注的是，随着支付机构在实际系统中引入智能体，这份指引会被如何理解和落地，以及它是否会进一步影响PCI标准的后续修订方向。