1. 课程导入

生成式AI进入企业生产环境的速度，远快于多数组织建立审计能力的速度。过去，审计人员面对的是数据库、接口和日志；今天，他们还要面对提示词、上下文窗口、模型版本、温度参数、工具调用链以及检索增强生成（RAG）的召回结果。一个看似普通的提示词，可能因为缺少输出约束而导致模型泄露内部知识；一次温度参数的调整，可能让同一问题的答案从稳定合规变为随机越界。生成式AI审计因此不再是传统IT审计的简单延伸，而是围绕“输入—模型—输出—反馈”全链路展开的新型控制活动。

一、兴起背景：为什么提示词与输出控制需要审计

生成式AI的审计需求来自三条并行的压力线。第一是合规压力：数据安全法、个人信息保护法以及行业监管要求，都要求企业对AI生成内容承担可追溯、可解释的责任。第二是业务压力：客服、营销、研发、风控等场景大量调用大模型，若输出不可控，轻则答非所问，重则产生误导性承诺或泄露商业机密。第三是技术压力：大模型具有概率性输出特征，同一提示词在不同时间、不同模型版本下可能产生不同结果，传统“一次测试即通过”的审计方法失效。

在这种背景下，提示词审计与输出控制审计成为生成式AI治理的两个关键抓手。提示词审计关注指令是否清晰、边界是否明确、是否包含越权诱导；输出控制审计关注模型返回内容是否被过滤、校验、脱敏和留痕。两者共同构成AI系统的“输入闸门”和“输出闸门”。

二、核心概念：提示词、输出控制与审计证据链

本课程围绕四个核心概念展开。第一，提示词（Prompt）：用户或系统向模型发出的指令集合，包括角色设定、任务描述、上下文、格式要求和约束条件。第二，输出控制（Output Control）：对模型生成内容进行限制、校验、过滤、改写和记录的一系列机制，例如敏感词过滤、JSON Schema校验、事实一致性检查、人工复核。第三，审计证据链：从提示词版本、模型参数、调用日志、输出内容到人工处置记录的完整链条，确保每个结果可回溯。第四，控制点：在AI应用流程中设置的可检查、可干预、可验证的节点，例如提示词模板审批、温度参数上限、输出格式校验、异常输出告警。

为了更直观地理解这些概念之间的关系，下面用一张结构关系图展示生成式AI审计的核心对象与控制点分布。

三、方法流程：从提示词到输出的审计闭环

生成式AI审计的落地方法可以概括为“五步闭环”。第一步，识别场景与风险：明确AI应用面向谁、处理什么数据、输出影响什么决策。第二步，提取提示词与参数：收集系统提示词、用户提示词模板、模型名称、温度、最大生成长度等配置。第三步，设计测试用例：包括正常用例、边界用例和对抗用例，例如诱导越权、要求泄露系统提示词、输入超长上下文。第四步，执行输出控制验证：检查过滤规则是否生效、格式校验是否拦截、敏感信息是否脱敏。第五步，形成审计结论与整改建议：记录证据、评估控制有效性、提出优化措施。

在技术层面，审计人员常需要直接查看调用日志和配置。例如，下面是一段典型的模型调用日志片段，审计时需要关注提示词版本、温度参数和输出校验结果。

{
  "request_id": "audit-2025-001",
  "prompt_version": "v3.2",
  "model": "-mini",
  "temperature": 0.7,
  "max_tokens": 512,
  "input_preview": "请以客服身份回答退款政策...",
  "output_preview": "根据公司政策，您可以...",
  "filter_result": "pass",
  "schema_check": "pass",
  "human_review": false,
  "timestamp": "2025-06-01T10:23:45Z"
}

审计人员应重点检查：温度是否超过业务允许上限、提示词版本是否经过审批、输出是否经过过滤和格式校验、高风险场景是否触发人工复核。若日志中缺少这些字段，说明证据链不完整，审计结论的可靠性会大幅下降。

四、案例与场景：一次客服AI输出越界的审计复盘

某电商企业上线了客服AI，用于自动回答退款和物流问题。上线两周后，出现一起客户投诉：AI承诺“无条件退款并补偿100元”，但公司政策并不支持。审计团队介入后，还原了调用链。发现该场景的系统提示词为：“你是客服助手，请尽量让客户满意。”这句话缺少边界约束，没有明确“不得承诺超出政策的补偿”。同时，温度参数被设置为0.9，导致模型倾向于生成“更热情”的回复。输出控制层仅配置了敏感词过滤，没有对“金额承诺”进行结构化校验。

审计结论是：提示词边界不清、参数设置过高、输出控制缺失。整改建议包括：在系统提示词中增加“不得承诺政策外补偿”的硬约束；将温度降至0.3以下；增加金额和承诺类关键词的校验规则；对高风险输出强制人工复核。这个案例说明，生成式AI审计必须同时覆盖提示词、参数和输出控制，任何单点检查都不足以防止越界。

五、整体课程框架与学习目标

本课程共30章，围绕“提示词审计”和“输出控制审计”两条主线展开。前段建立概念与框架，中段深入提示词设计、参数控制、输出校验、日志留痕和对抗测试，后段通过综合案例完成审计方案设计与复盘。学习目标包括：理解生成式AI审计的核心概念与风险模型；掌握提示词审计的检查清单与测试方法；掌握输出控制的验证手段与证据链构建；能够独立设计一个生成式AI应用的审计方案。