AI投研知识库的可信度基石：RAG 如何让智能体先查证再回答

核心判断： 对投研智能体而言，真正可持续的可信度，不来自“模型更聪明”，而来自一条可以被审计的证据链：问题 → 权限范围内的资料检索 → 正确召回 → 重排序 → 基于证据生成 → 精确引用 → 回到原文核验。RAG（Retrieval-Augmented Generation，检索增强生成）的价值，正是把模型从“凭参数记忆回答”，部分转变为“拿着指定资料回答”。但学术研究已经明确表明，RAG只是降低幻觉风险，并不能消灭幻觉；错误召回、错误引用、复杂数字推理和隐私泄露仍然存在。

这一区别在投资研究里尤其重要。研究员真正想问的往往不是“市场一般认为怎样”，而是“我上个月上传的那份行业报告第几页怎么说？这项判断依据的是哪一期公告？这个数字来自哪张表？”——也就是说，知识库的竞争力不只是“能搜到”，而是能否证明答案来自什么、用户有没有权看、删掉以后还剩下什么，以及模型是否把证据说歪了。NIST的生成式AI风险管理框架也把来源与引用核验、RAG数据的grounding、第三方模型风险重新评估列为具体治理动作。

AI为什么会“一本正经胡说”

大语言模型并不是一个天然的事实数据库。Lewis等人在2020年的RAG原始论文中指出，大型预训练模型虽然可以把事实知识编码在参数里，但在精确访问知识、更新知识以及为输出提供来源证明方面存在天然问题；这正是他们引入“参数记忆 + 外部非参数记忆”的原因。原论文用密集向量索引作为外部知识，并发现其RAG模型在所测试的生成任务中，相比参数式基线生成了更具体、多样且事实性更强的文本。这里必须强调：这是该论文特定实验设置的结果，不能推导成“任何RAG系统都一定更准确”。

CFA Institute Research and Policy Center从金融场景给出了更直观的解释：基础LLM本质上按照概率生成文本；如果问题涉及训练以后出现的新数据、内部资料或实时信息，模型自身并不天然拥有这些内容。RAG的作用，是把用户指定的外部文档放进推理上下文，使模型有机会依据这些资料作答，而不是完全依赖预训练知识。CFA同时明确提醒，RAG并不完美，其效果高度依赖文档结构、元数据提取和检索质量。

金融监管者对“幻觉”的担忧也不是抽象问题。FINRA在2026年度监管报告中将hallucination描述为：模型输出不准确或误导性信息，却把它呈现为事实；在金融机构里，错误解释规则、政策，或提供错误的客户和市场数据，都可能影响决策。因此，FINRA要求机构考虑持续测试、监控、数据来源、模型版本记录和human-in-the-loop等治理手段。

更关键的是：加上RAG以后，模型依然会胡说。 2024年ACL论文《RAGTruth》专门研究这一问题，指出即使加入检索，LLM仍可能输出检索资料没有支持的内容，甚至与检索内容相矛盾；其数据集包含近1.8万条RAG生成回复并进行了人工幻觉标注。换句话说，“我接了知识库”与“我的回答是事实”之间，不能画等号。

甚至“答案后面有引用”也不等于答案真的被引用支持。EMNLP 2023的ALCE研究为带引用生成建立了评测框架；在其ELI5数据集实验中，即使表现最好的系统，也有约一半回答没有得到完整的引用支持。这个“50%”只能理解为特定数据集上的结果，不能外推到投研系统，但它证明了一个重要问题：citation存在，不代表citation entailment成立——引用链接和论断之间仍然需要核对。

所以，“AI一本正经胡说”的解决方案不能只是要求模型在prompt里“务必真实”。可信系统要改变的是信息流：模型回答以前先取得有权限、有时间戳、有来源位置的证据；回答以后还要能够验证“这句话是否真的由那条证据支持”。

RAG如何把“模型记忆”变成“检索约束”

一个面向研报的RAG系统，可以简化成这样一条链路：

PDF / Word / 图片 → 解析与OCR → 保留标题、页码、表格等结构 → 切块 → embedding / 索引 → 按权限检索 → 宽召回 → rerank → 将少量证据片段送给模型 → 生成回答 → 附原文出处 → 人工回看原文。

这不是把用户的全部研报“重新训练进模型”。经典RAG的核心思想，是将LLM的参数式知识与可检索的外部知识相结合；现代工程实现虽然可能换用不同向量数据库、混合检索、重排序器或模型，但“推理时先取得外部证据，再让生成模型利用证据”这一原则没有改变。

第一关其实不是LLM，而是解析。 对普通纯文本，提取往往相对直接；但投研资料大量包含PDF、扫描件、双栏布局、脚注和复杂表格。一旦解析阶段把“亿元”与数字拆开、把表头和列值错位，后面的向量检索即使工作完全正常，也只是在准确检索错误文本。CFA Institute的金融RAG案例发现，文档结构和元数据对最终表现非常重要：在它的一项示范性实验中，结构化流程的LLM-as-judge平均分为62%，而固定字符切块、缺少元数据的朴素流程为32%。这只是一个案例、且评估本身使用LLM judge，不能视为行业基准；但足以说明“PDF怎么被拆”并非无关紧要的后台细节。

第二关是切块。 太大的chunk可能混入多个主题，太小则可能把结论、条件、单位和时间拆散。CFA的RAG教程把chunking直接列为影响最终输出准确性的关键步骤：文档先拆成段落，再编码成embedding、写入向量数据库，用户问题同样向量化后寻找语义上接近的片段。

第三关是召回质量。 “语义最相近”不一定等于“回答问题真正需要”。例如，问“公司2026年资本开支指引是否下调”，系统可能同时命中2024年年报、2025年中报以及最新电话会；若旧文档因为措辞更接近而排在第一位，模型就可能非常忠实地基于错误版本的真实证据给出错误答案。Yoran等人的研究在五个开放域问答基准上发现，加入检索有时反而会降低准确率；无关上下文会干扰回答，因此研究者尝试用过滤及针对相关/无关上下文的训练来提升鲁棒性。

这也是rerank（重排序）存在的原因：第一阶段尽量不漏掉候选证据，第二阶段再按照问题相关性重排。它不是“准确性的魔法开关”，而是召回工程的一层保险。以Bastix目前公开的知识库实现为例，其文档写明会先取较宽的候选集，然后可选择rerank返回更相关结果。

最后一关是grounding。 即使检索正确，生成模型仍可能做出超出证据的延伸。NIST因此建议在部署前和持续监控中核查生成式AI输出的来源与引用，并验证RAG数据是否真正grounded；RAGTruth与ALCE则从实验层面说明，“取到了资料”“生成了引用”和“每个论断都被资料支持”是三个不同问题。

因此，一个真正可信的“AI投研知识库”不应只显示“根据您的知识库……”。更有意义的产品行为是：

回答不了就明确说找不到；找到以后说明是哪份文件、哪个版本、哪一页；关键数字允许研究员一键回到原文；模型推断与原文事实分开展示。

这不是对任何单一产品能力的陈述，而是基于NIST来源核验要求、现有citation研究和金融RAG实践得出的工程判断。

投研场景真正难的是溯源、隔离与删除

与通用“问PDF”产品相比，投研知识库至少多了三类不能靠更大模型解决的问题。

溯源：答案必须能回到原始证据，而不是只给一个文档名。 Morgan Stanley在2023年披露其财富管理内部GPT-4系统时，强调回答基于Morgan Stanley内部内容，并提供源文档链接；2024年推出的AskResearchGPT进一步披露，系统可在该机构每年发布的7万多份自有研究报告中寻找和综合信息，而且查询结果包含相关研报的引用链接，让员工和客户能够继续打开原始材料核查。

这说明金融RAG正在形成一个与普通聊天机器人不同的产品范式：生成结果不是终点，原材料才是最终审计对象。 Bloomberg当前的Terminal AI页面也采用类似逻辑：其ASKB宣称回答带有对原始研究和新闻来源的透明归因；Document Workspace可以回到源文本，Document Search则能从公司材料、卖方研报、新闻等文档中提取带引用的文本和数据，用于研究核验。这里的产品能力说明来自Bloomberg自身，不能被当作独立准确率评测。

隔离：一个好检索器首先应该知道“什么不能搜”。 FINRA在2026年针对GenAI agent明确提醒金融机构关注系统访问权限、数据处理、敏感数据意外存储或披露、agent越权以及第三方供应商风险，并建议设置human-in-the-loop与限制agent行为的guardrails。

由此得到一个重要的工程原则：权限控制最好发生在检索阶段，而不是生成以后再“过滤答案”。 如果一个研究员没有权限读取某份投行项目材料，那么那份材料原则上就不应进入他的候选召回集，更不应先送进LLM再期待模型“别说出来”。这是基于数据流的安全设计推论，而不是某项研究声称的唯一实现方案；真正的企业系统还需要结合组织、项目、文档、字段等权限模型。FINRA要求监控agent访问与数据处理，NIST也要求评估第三方模型、数据隐私和RAG落地后的风险变化。

删除：删除一个PDF，不应只是让界面上看不见。 一个RAG知识库通常会由原文件衍生出解析文本、chunk、embedding/vector index以及可能的运行日志或缓存。从工程验收角度，“删除”至少应回答：原文件何时删除、chunk何时删除、向量何时失效、备份和缓存保留多久、此前发给外部推理服务的片段受到什么合同或日志政策约束。这里不是说所有系统都采用完全相同的存储架构，而是因为RAG本身存在文档拆分、向量化和外部推理等多个数据处理环节；NIST也要求记录RAG所使用的数据来源、适配方式以及第三方组件风险。

所以，投研知识库里的“删除按钮”与“可证明的数据删除”应当被视为两回事。后者需要明确的数据生命周期、技术实施和审计证据；无法证明的环节，就不能用“彻底删除”“绝不留存”等绝对措辞。

金融机构已经把RAG从演示搬进工作流

目前公开案例里，最值得注意的不是“金融机构也用了ChatGPT”，而是它们越来越把AI放在内部权威语料之上。

Morgan Stanley是较早公开这一模式的大型机构之一。2023年，该公司称其财富管理部门的内部方案使用GPT-4访问和综合自有知识，回答“exclusively from”内部内容并附源文档链接；Reuters随后报道，这类助手可以帮助理财顾问从数十万份文档中快速找到研究或表格，而不是人工翻找。Reuters同时指出，投资建议仍由人来负责。

到了2024年，Morgan Stanley进一步发布AskResearchGPT，目标用户直接扩展到Investment Banking、Sales & Trading和Research人员。公司披露的使用场景包括从每年7万多份自有研究报告中找数据、取得洞察、综合多个研究产品，并将引用链接保留在结果中。这个案例很好地说明了“AI投研知识库”的实质：内部研究资产先成为可检索语料，然后LLM承担查询解释、综合与摘要，而不是让通用模型凭世界知识扮演卖方分析师。

Citi则展示了企业知识库的另一种落地。Reuters 2024年12月报道，约14万名员工将可以使用Citi的新AI工具，其中Citi Assist用于搜索银行内部政策和流程，Citi Stylus能够同时摘要、比较或搜索多份文档。虽然这不等同于纯粹的投研RAG，但说明大型金融机构已经把“内部文档 + 自然语言问答”部署到风险、合规、财务等日常业务。

Bloomberg的路径则更接近“外部专业金融知识库 + AI”。其当前公开页面显示，ASKB能够访问Bloomberg的数据、新闻、研究和分析，并强调对原始研究与新闻进行透明归因；Document Search覆盖公司电话会、卖方研究、新闻与Bloomberg自有材料，输出可以带回引用文本和数据。需要注意，这是Bloomberg的一手产品介绍，而不是第三方基准测试，因此只能证明公开宣称和已提供的产品功能，不能证明其在所有问题上的事实准确率。

这些案例的共同点非常清楚：真正进入专业金融工作流的AI产品，并没有试图把“通用模型知道很多”当成核心卖点，而是在建设受控语料、检索、权限、来源引用和人工复核这一整套知识基础设施。

同样值得保持冷静的是：公开案例大多来自机构自己或其供应商，通常披露采用规模和功能，而很少提供可重复、跨系统比较的独立准确率测试。关于这些企业系统在真实投研问题上的统一错误率、召回率或引用准确率，目前暂无足够公开证据支持跨产品横向排名。

Bastix案例：可确认的能力、必须保留的边界

截至2026年8月16日，Bastix公开文档中可以确认的，是一套面向研究资料的RAG知识库链路，而不是自动交易系统。其“私有知识库”页面称，用户可上传研报、策略文档、研究笔记，包括PDF、Word和图片；系统解析、切块并向量化后写入沙箱知识库，再由名为 reference_knowledge_search 的工具进行语义检索。

在解析层面，其公开文档进一步披露：较干净电子文档走MarkItDown路径，扫描件、复杂表格和图片可切换到Docling CPU OCR；正文依据Markdown结构切块，表格独立切块，再用本地embedding生成向量。其设计也包含“宽候选召回 + 可选rerank”。这些都是Bastix自己的产品事实登记/文档披露，本文没有独立代码审计，因此不能把它们扩大解释为经第三方验证的性能或安全结论。该页面自己也注明，知识库数据流经过产品事实登记和代码核验，但“隐私负责人复核尚未完成”。

隔离方面，有明确的公开产品声明。 Bastix文档称，原始文件、切块和向量索引按照 userId + sandboxId 隔离存储；其长程任务文档同样称会话、文件和策略状态按用户和沙箱标识组织，避免不同沙箱数据混用。这里可以准确表述为“产品公开实现声明为用户/沙箱隔离”，但在没有独立安全审计材料的情况下，不宜进一步写成“已证明绝无跨租户泄漏”。

来源页码方面，需要比宣传文案更谨慎。 当前公开知识库文档明确写到的是：表格会被单独成块并附文字摘要，检索结果能够溯源到具体页码。由此可以确认“表格知识块具备页码溯源设计”。但公开页面没有足够证据证明所有普通文本chunk、所有格式的文档、所有最终回答都稳定提供精确页码回指。对于后一种更强表述，暂无公开证据，因此本文不将其扩大为全局能力。

“只读检索”同样要做证据降级。 当前知识库页面确认的是 reference_knowledge_search 用于语义检索，但没有公开该工具的完整接口权限契约，也没有明确说明该知识库检索工具从权限层面“只能读、绝无任何写/删能力”。本站另有版本记录提到“只读查看”，但对应的是策略运行结果，而不是知识库检索。因此，严格意义上的“Bastix知识库只读检索”目前暂无公开证据，本文不把它作为已验证能力。

这一点很重要，因为“功能看起来只是搜索”和“权限系统证明该工具只有read capability”不是同一个安全命题。

更值得肯定、同时也最需要写清楚的，是数据出域边界。Bastix知识库页面明确披露：虽然原文件、chunk和向量索引按用户与沙箱隔离存储，知识库召回片段在生成回答时可能发送给配置的外部模型；其长程任务文档甚至直接说明，因此不能把系统概括为“所有数据都留在沙箱内部”。

其“边界与原则”页面进一步写明，对话、工具结果、知识库召回片段和附件可能发送给配置的外部模型，而且外部模型供应商的训练、日志、评估及人工质检边界仍有待合同与制度确认。换句话说，“沙箱内存储”并不等于“推理数据绝不离开沙箱”。

这恰恰是“负责任RAG”应该正面披露的内容：不要用“私有知识库”四个字暗示一个事实上不存在的绝对安全边界。对涉及未公开研报、投委会材料或其他敏感信息的机构用户而言，真正要问的应该是：送出了哪些chunk、发送给哪一个模型服务、服务商是否留日志、日志保存多久、是否用于训练、是否进入人工质检、能否选择本地或零保留模型端点。对于Bastix当前公开材料而言，后面这些供应商层面的完整答案仍然暂无公开证据；其官方页面本身也将相关边界列为尚待确认事项。

删除边界目前也不宜过度宣传。 Bastix长程任务页面明确表示，具体保存范围和期限仍需产品、隐私与安全负责人结合真实数据流确认，不作统一保存期限承诺。其隐私政策针对“个人信息”的通用删除条款还指出，在数据库删除后，部分数据可能因反欺诈或类似目的保留在存档中。但这项个人信息政策不能直接等同于“知识库文档删除机制”。对于删除一份知识库文件后，原PDF、解析文本、chunk、embedding/vector index、缓存和外部模型侧日志是否以及何时全部级联删除，目前公开材料没有给出完整可验证承诺，暂无公开证据。

Bastix还提供了一个与RAG互补的“可信度治理”功能：用户可针对单条智能体回复手动触发检查，系统对照该轮实际可用的数据来源，对数字与论断标记是否找到依据。但产品文档同时明确，检查本身仍由模型辅助完成，只覆盖本轮可用来源，而且不等于最终事实结论；知识库召回和事后核查都不能替代用户回到原始资料复核。这个自我限制很重要，因为“再叫另一个LLM检查一次”并不会自动产生确定性真相。

最后必须严格划清其产品边界。Bastix当前“边界与原则”页面明确写明，其内置能力不连接券商、不接管资金、不代替用户下真实订单，也不承诺收益；所有分析与建议仅供参考，不构成投资意见。其2026年版本记录还强调，定时运行的持续任务只做“研究、观察与整理”，不自行发起对外动作，并明确“不用于直接交易”。因此，本报告把Bastix定位为投研/研究智能体工作台，不能描述为自动下单机器人、券商交易接口或代客投资系统，也不能把其研究输出表述成荐股或收益承诺。

尚存风险：RAG解决的是“有证据可查”，不是“自动获得真相”

从现有论文、金融机构部署和产品实践看，RAG最容易被误解的地方，是把它当成一种“幻觉消除术”。实际上它只是改变了错误的来源。

传统LLM可能因为参数记忆缺失而编造；RAG系统则可能出现：

“没召回。” 正确答案就在文档里，但因为OCR、切块、embedding、查询改写或top-k设置等原因没被取回。模型随后可能拒答，也可能用已有上下文补一个似是而非的答案。RAGTruth证明，即使有RAG，unsupported claim依旧会发生。

“召回错。” 系统检索了一段真实但不相关、已经过期或者属于错误公司/时期的内容。Yoran等人的研究表明，检索到的无关上下文本身可能降低模型回答准确率。对投研系统而言，这意味着日期、财报期、证券主体、资料版本、语言和文档类型等metadata过滤，不应被视为附属功能。

“引用对，解释错。” 模型确实给出了一份真实研报，却把作者的条件性观点改写成确定性结论；或者源文档写的是同比，答案写成环比。ALCE说明citation completeness本身仍是难题，NIST因此要求在系统评估和持续监控中真正核查source与citation，而不是只检查“有没有链接”。

“文本对，数字推理错。” CFA Institute的金融RAG案例显示，在其具体实验里，复杂数字提取、跨表格和细节推理明显比一般定性检索更困难，且RAG单独使用不足以构成完整、稳健的自动化系统。对投研来说，这意味着“从报告里找到Revenue Guidance”与“用多个报告的数据计算调整后自由现金流并判断趋势”最好不是同一条技术链：前者可以主要依靠RAG，后者更适合把精确计算交给结构化数据、代码或可验证工具，再把计算结果和来源交给LLM解释。

“隔离了存储，却没有隔离推理。” 私有向量库可以部署在受控环境中，但一旦召回内容被送进外部LLM API，数据就进入另一套处理边界。NIST要求重新评估引入RAG及第三方模型后的风险；FINRA则特别关注第三方vendor、敏感数据、agent访问权限与数据处理。对机构用户而言，真正的安全审查必须沿着完整data flow走，而不能停在“向量库部署在哪里”。

“删除了入口，却没证明删除了衍生物。” 对每个专业RAG产品，都应追问原文件、解析副本、chunk、vector index、备份、缓存和第三方模型日志的生命周期。对于某个具体产品，如果公开资料没有给出这些答案，正确的研究结论不是替厂商补全，而是写：暂无公开证据。

因此，如果金融机构要验收一套AI投研知识库，本文认为比“模型榜单分数”更值得看的，是一组证据链指标：目标文档召回率、关键论断引用覆盖率、引用与论断的一致性、页码/段落定位正确率、过期版本误召回率、无证据时的拒答率、跨权限数据泄漏测试、删除后的残留测试，以及关键数字回到原始数据后的复核通过率。 这是基于现有RAG评测、NIST治理要求及金融场景风险提出的验收框架，而非一套已有统一行业标准。

结论：可信度的核心不是“AI知道答案”，而是“研究员能证明答案从哪里来”

RAG真正改变投研智能体的地方，不是让模型“记住更多研报”，而是把知识的重心从模型参数转移到可以更新、控制权限并能够溯源的外部资料。这正是Lewis等人提出RAG时试图解决的provenance和knowledge updating问题，也是Morgan Stanley、Bloomberg等金融产品把AI接入专业研究材料时反复强调source link和attribution的原因。

但“基于自己的资料回答”只是可信度的起点，而不是终点。完整链条至少还需要高质量解析、结构化切块、正确召回与重排、时间和主体过滤、权限前置、逐项引用、页码回指、删除生命周期、外部模型数据边界以及人工复核。一旦其中任何一层不可证明，“私有知识库”“企业级”“零幻觉”“数据不出域”就可能从技术描述滑向营销语言。RAGTruth、ALCE和NIST的共同启示正是：有检索、有citation并不等于事实已经得到证明。

对于Bastix，目前最稳妥的结论也应停留在这一层：其公开资料支持研报等资料上传、解析/OCR、结构化切块、向量化、语义召回、可选rerank、用户/沙箱隔离，以及至少对表格知识块的具体页码溯源；同时它主动披露召回片段可能进入外部模型，因此不能声称“所有数据不出沙箱”。但严格意义的“知识库只读检索”、所有文本回答都稳定提供页码、知识库完整级联删除机制，以及外部模型供应商完整日志/训练/人工质检边界，依据目前可查公开资料均应标注为暂无公开证据或尚未完整确认。

这反而提供了一个更有价值的“负责任RAG”标准：可信，不是声称AI不会犯错；而是系统知道自己依据了什么、什么不能看、什么不能做、什么尚未被证明，并让研究员在重要结论上随时回到原始证据。

延伸阅读

• 私有研究知识库：本文所说的"负责任 RAG"在 Bastix 的产品边界——按用户/沙箱隔离存储、可页码溯源，并如实披露召回片段进入推理时可能发送给外部模型。