收不回來的動作，事後看得再清楚也挽不回。所以要在它動手之前，先要有一個人點頭，而且那個人要能說不。
Day 18 留了一題：哪些動作做之前必須停下來，等一個人簽字。
「讓人在迴圈裡」（human-in-the-loop）是最直覺的一種做法。NIST 的 AI 風險管理框架（AI RMF）在附錄裡寫得比較保留：人跟 AI 一起做事，結果並不一致。在某些條件下，例如靠知覺判斷的任務，AI 可能放大人原本的偏誤，做出比 AI 或人單獨做都更偏的決定；配置得當的時候，兩者可以互補，整體表現更好。所以放一個人進去之前，要先想清楚放在哪一關，以及那個人審不審得了。
OWASP 的《LLM 應用十大風險》（OWASP Top 10 for LLM Applications 2026）在 Day 18 講過的過度代理那一條，給了一組分級處置：稽核（audit）、警示（warn）、擋下（block）、升級（escalate）。從留下紀錄到升級給人，並不是每個動作都要送到人面前。同一條還給了一個防不住、但能把傷害限縮的做法：工具被呼叫的次數，或某個輸入值的累積量超過上限，就自動停下、降速，或升級給人看。
升級給人以後，人要做的是決定放不放行：可以放行，也可以駁回。OWASP 的《代理式應用十大風險》寫得很直接：高衝擊，或會刪除、轉帳、發布的動作，要人確認之後才執行。所以這裡說的簽字，是動手之前的放行畫押；事後回頭查紀錄，是稽核。
OWASP 把這一類風險單獨列成一項，叫人與 agent 之間的信任被利用（Human-Agent Trust Exploitation）。agent 講話流暢、看起來很專業，人一旦過度依賴，就會順著它的建議走，沒有自己查證就核准。這份信任可能被攻擊者利用，設計不當的系統也可能利用它。
歐盟的人工智慧法（EU AI Act）對高風險系統的人類監督，要求系統交到部署的公司手上時，就要讓負責監督的人能夠做到幾件事。這部分 2027 年底起陸續適用，管的是在歐盟推出、或產出會在歐盟使用的系統。其中三件跟看不看得懂有關：理解系統的能力和限制，並監看它的運作；正確解讀它的輸出；意識到自己可能會自動依賴、甚至過度依賴它的輸出。NIST 的框架則提醒，要把人機協作裡每個角色的責任區分清楚。如果簽字的人看不懂 agent 在做的事，他簽下去的是什麼？
簽字點本身也要設計。OWASP 舉過一個例子：畫面上是一個只供預覽的窗格，打開的那一刻卻已經觸發了外部的連動，利用的正是人以為「只是看看」的預期。它的建議是，人還在預覽的時候，任何會連網或改動狀態的呼叫都先擋住，並把來源和預期的副作用標出來。
哪些事絕對不讓 AI 自己拍板，OWASP 給的判準是兩把尺並列：後果輕或收得回來的，可以自動通過；後果重或收不回來的，送給人核准。它舉的例子很日常：客服把退款退成購物金，收得回來，可以自動處理；把錢付到外部帳戶，收不回來，要有人核准。哪些事在你公司算收不回來、哪些錯了後果太大，要看你的生意；NIST 的框架也寫明，AI 風險的決策由高階經營層負責。
線畫好之後，負責簽字的人要拿得到足夠的資訊，也要有駁回的權力。資訊這一半，OWASP 的寫法是動手前先讓人看到它打算怎麼做，給一份執行計畫或模擬出來的差異，確認了才放行。權力這一半，歐盟的人工智慧法要部署高風險系統的公司，把監督交給具備必要能力與權限、也有必要支援的人；系統則要讓這個角色能不採用、推翻或撤回它的輸出，也能喊停。
簽字也有撐不住的時候。OWASP 把審核的人被量淹沒列成一種威脅，也點名 agent 會編出有說服力的理由，讓人以為核准有根據。所以要回頭看這一關有沒有在運作：NIST 的框架在附錄裡提到，人推翻 AI 輸出的次數和理由值得蒐集來分析，但它也說這一塊還需要更多研究。
一句話帶走：看不清楚、推不翻的簽字，只是在替 AI 背書。
簽字擋得住的，是送到人面前的那幾件。還有一些事，要讓它從一開始就做不到。
iThome鐵人賽
看影片追技術