大模型安全正在经历一场从“话术”到“证据”的转变。过去一年，厂商发布会的关键词从“参数规模”转向“安全对齐”，价值观声明、模型卡示例和安全白皮书几乎成为新品标配。但对企业选型而言，这些材料究竟是可审计的治理证据，还是另一种营销包装，决定了采购决策的质量。一个残酷的现实是：价值观一句话声明不等于治理文档，模型卡示例也不等于线上真实使用，选型必须回归到独立成文的风险管理文档与可核验的评测基线。
这种转变的背景是全球治理框架的快速迭代。2025年9月发布的《人工智能安全治理框架》2.0版，距离1.0版仅一年有余，其核心变化之一就是强化了风险分级与安全测评体系，要求对模型算法、安全性能和具体场景进行分层评估。与此同时，大模型应用形态正从单一问答向嵌入业务流程的智能体演进，安全关注点从“模型输出什么”转向“系统会做什么”。当AI从回答问题变成自主执行任务，安全问题就不再只是防止生成错误答案，而是要确保整个系统的决策链路可审计、可追溯、可熔断。
可审计的第一步：把“声明”拆成“文档”
企业选型时最容易踩的坑，是把厂商官网上的安全承诺当作治理证据。一句“我们高度重视模型安全”没有任何可操作信息，真正的治理文档应当回答三个具体问题：风险由谁识别、如何分级、怎么处置。
对照《人工智能安全治理框架》2.0版提出的风险分级方法论，一份合格的安全白皮书应当从应用场景、智能化水平、应用规模三个维度评估风险等级，并给出差异化的防范措施。这意味着文档里必须有具体的风险分类表、对应技术对策和责任人机制，而不是泛泛的“我们采用了安全对齐技术”。
以网易智企联合金山办公、MiniMax发布的《AI安全白皮书》为例，其提出的“五层风险框架”将AI风险划分为数据层、模型层、应用层、系统层和治理层，并配套“五维半定量评估体系”。这种结构化的文档才有审计价值——它让企业可以逐层核对：数据层是否覆盖训练数据投毒与隐私问题，模型层是否涉及越狱攻击与幻觉控制，应用层是否处理RAG污染与工具调用风险。如果一份白皮书连风险分类都没有，只有安全愿景，那它本质上仍是宣传材料。
评测基线的三重验证：从“示例”到“可复现”
模型卡中展示的安全测试示例，往往经过精心挑选。真正可审计的评测基线需要满足三个条件：测试集公开、测试方法可复现、测试结果可交叉验证。
2025年发布的全球首份大语言模型安全防范能力测评报告提供了一个参考范式。该报告以313条科技类高风险问题为测试集，覆盖38个国内外大模型，重点考察模型在正常科技学习与潜在违法犯罪滥用之间能否保持稳定、安全且可解释的边界。这种测评的价值不在于排名本身，而在于其测试集和攻击方法的可核验性——前缀注入、场景伪装、情感伪装等攻击方式的组合设计，让企业能够理解模型的安全边界究竟在哪。
企业在核验评测基线时，应当关注三个维度。第一，测试集是否覆盖自身业务场景的高风险类别，比如金融领域的诱导欺诈、医疗领域的错误诊断建议。第二，攻击方法的多样性，单一拒答能力测试无法反映真实对抗环境下的表现。第三，测试时间与模型版本的对应关系——只有发布晚于治理文档的模型版本，其安全声明才具有参考价值。如果一份安全白皮书发布于2025年3月，而模型版本更新于2025年6月，那么白皮书中的评测数据可能已不适用于当前版本。
把宣传当结论的三大误区与核验清单
误区一：把建议性措辞误认为部署声明。白皮书中常见的“我们建议企业采用”“推荐在部署时启用”等表述，属于方法论建议，不代表厂商自身产品的默认配置。核验方法是查找文档中的“默认开启”“默认配置”字样，区分哪些安全能力是开箱即用，哪些需要企业额外配置。
误区二：忽略全生命周期的覆盖范围。真正的全生命周期安全治理应当覆盖从数据清洗、模型训练、部署上线、运营服务到迭代更新的完整链路。对照网易智企提出的“内生安全＋围栏防护”双重防御体系，企业应当核验厂商是否同时具备训练阶段的安全语料库建设能力，以及运行阶段的输入输出实时检测能力。如果一份白皮书只强调输出端过滤，却对训练数据清洗语焉不详，那它覆盖的只是安全链条的一段。
误区三：把单一来源的评测数据当作最终结论。交叉验证是识别宣传话术的有效手段。企业应当至少从三个来源核验模型安全表现：厂商自评报告、第三方独立测评、实际业务环境的红队测试。这里需要引入一个关键概念——安全—开放帕累托前沿。这一方法要求平台在评估模型安全分时，同时披露训练数据、模型权重和治理文档的开放程度。一个真正可审计的模型，其安全分数应当与开放披露程度绑定：如果厂商拒绝披露任何训练数据信息，仅凭自报的安全分数，企业无法判断该分数是在何种约束条件下取得的。
落到应用判断：选型决策的四步走
第一步，核对文档时间线。确认厂商安全白皮书的发布时间晚于当前模型版本，且文档中明确标注了适用的模型版本范围。第二步，检查风险分类完整性。对照《人工智能安全治理框架》2.0版的风险分类体系，确认白皮书是否覆盖数据安全、模型算法、系统安全、内容安全等全部维度，而非选择性披露。第三步，验证评测基线可复现性。要求厂商提供测试集样本、攻击方法描述和评测环境配置，并尝试在本地或第三方平台复现关键测试项。第四步，进行业务场景映射。将自身业务的高风险场景逐条映射到厂商的安全能力清单上，确认哪些风险有对应防护措施，哪些属于“建议关注”但无实际方案。
需要强调的是，这套核验方法适用于认知与选型判断，不替代法律合规意见。所有厂商与版本信息仅作数据参考，且具有时效性——随着《人工智能安全治理框架》2.0版的落地和行业测评标准的完善，安全治理的可审计性要求只会越来越高。企业越早建立这套核验习惯，越能在模型选型中避免被宣传话术裹挟，真正把安全从成本项转化为可衡量的竞争力。
【软盟资讯观察】大模型安全治理走向可审计，本质上是产业成熟度的标志。趋势判断上，安全能力正在从“加分项”变为“准入门槛”，尤其是智能体应用加速落地后，系统级安全审计将取代单点模型评测成为企业选型的核心依据。机会层面，第三方安全测评机构、安全语料库建设、评测基线标准化这三个方向存在明确的市场空白，能够提供可复现、可交叉验证安全数据的服务商将获得先发优势。冷思考在于，当前多数厂商的安全白皮书仍停留在方法论层面，真正落地到代码级、配置级的可审计证据依然稀缺；企业需要警惕“文档合规”与“实际防护”之间的落差，把安全审计从一次性的选型动作，转变为贯穿模型全生命周期的持续性机制，而不是在采购完成后就束之高阁。