3. 提示词与输出控制审计概述
在生成式AI进入企业生产环境之后，审计对象不再只是服务器、数据库和网络设备，而是扩展到了“自然语言指令—模型推理—生成结果”这条新型链路。提示词与输出控制审计，正是围绕这条链路建立的一套独立审计视角。它既继承了传统IT审计对完整性、可用性、保密性的关注，又必须面对语义不确定性、概率性输出和上下文漂移等全新问题。
一、审计定义：审计什么，为什么审计
提示词与输出控制审计，是指对组织在生成式AI应用中所使用的提示词设计、版本管理、输入过滤、输出约束、人工复核与日志留存等控制措施，进行独立、系统、可验证的检查与评价。其核心不是评价“模型聪不聪明”，而是评价“组织是否对模型说了什么、模型又说了什么”具备可追溯、可约束、可纠正的治理能力。
从控制论角度看，提示词是输入侧的控制信号，输出控制是输出侧的约束与校验，审计则是对两侧控制有效性的独立验证。三者构成一个闭环：
输入意图 → 提示词模板 → 模型推理 → 输出过滤/校验 → 业务使用
↑ ↓
└──────────── 审计取证与日志回溯 ←────────────┘因此，审计定义可以拆成三个关键词：独立（不参与提示词编写与模型调优）、系统（覆盖设计、运行、监控、变更）、可验证（有日志、有版本、有证据链）。缺少任何一项，审计结论都难以成立。
二、审计目标与范围
提示词与输出控制审计的目标通常包括四类：合规性目标，确认AI输出符合法律法规与行业监管要求；安全性目标，确认提示词与输出未泄露敏感数据、未被恶意注入利用；质量性目标，确认输出在业务场景中稳定、准确、可解释；治理性目标，确认提示词与输出控制具备版本、审批、留痕和问责机制。
审计范围则可以从“对象维度”和“生命周期维度”两个方向界定。对象维度包括提示词库、系统提示词、用户输入、模型参数、输出过滤器、人工复核记录、日志与监控告警；生命周期维度包括设计、测试、上线、运行、变更、退役六个阶段。范围界定不清，是后续审计反复返工的主要原因。
| 审计维度 | 传统IT审计关注点 | 提示词与输出控制审计关注点 |
|---|---|---|
| 审计对象 | 系统、网络、数据库、权限 | 提示词、上下文、模型输出、过滤器 |
| 证据形态 | 配置、日志、访问记录 | 提示词版本、对话日志、输出样本 |
| 风险特征 | 确定性故障、越权访问 | 语义漂移、提示注入、幻觉输出 |
| 测试方法 | 抽样、穿行测试、漏洞扫描 | 对抗样本、红队测试、输出一致性比对 |
| 控制手段 | 防火墙、权限、备份 | 提示词模板、输出校验、人工复核 |
三、与传统IT审计的区别与联系
区别首先体现在“确定性”上。传统IT审计面对的是确定性系统，同样的输入通常产生同样的输出，审计人员可以通过复现来验证。而生成式AI的输出具有概率性，同一提示词在不同温度参数、不同上下文下可能产生不同结果，审计必须引入“多次采样+统计判断”的方法。
其次体现在“控制边界”上。传统IT审计的控制点相对清晰，如登录、授权、加密、备份；提示词与输出控制的边界则更模糊，系统提示词、用户输入、检索内容、模型自身知识都可能影响最终输出，审计需要识别“谁在什么时候以什么方式影响了输出”。
联系同样紧密。传统IT审计中的变更管理、职责分离、日志留存、访问控制等原则，仍然适用于提示词与输出控制审计。例如，提示词模板的修改应纳入变更审批，输出过滤规则应由独立于业务的人员复核，对话日志应满足留存期限和防篡改要求。可以说，提示词与输出控制审计是传统IT审计在生成式AI场景下的延伸，而不是替代。
四、核心原理：从“指令”到“证据”的审计链条
提示词与输出控制审计的核心原理，是建立一条从“指令”到“证据”的可验证链条。链条上的每一环都必须具备可记录、可比对、可追责的属性。具体包括：提示词是否有唯一标识和版本号；输入是否经过敏感信息过滤；模型调用是否记录了模型名称、参数和时间戳；输出是否经过规则校验或人工复核；异常输出是否触发告警并进入处置流程。
这条链条的薄弱环节往往不在模型本身，而在“人”和“流程”。例如，业务人员直接在聊天窗口输入未脱敏的客户信息，提示词模板被开发人员临时修改却未走审批，输出过滤器规则长期未更新导致新型注入绕过。审计的价值，正是把这些隐性风险显性化。
五、方法流程与典型场景
一个可落地的审计流程通常分为五步：第一步，了解与描述，梳理AI应用场景、提示词资产和输出使用方式；第二步，风险识别，识别提示注入、数据泄露、幻觉误导、越权输出等风险；第三步，控制测试，检查提示词版本、输入过滤、输出校验和日志留存是否有效运行；第四步，抽样验证，通过对抗样本和正常样本比对输出一致性；第五步，出具结论与整改建议。
典型场景包括：客服机器人输出未脱敏的手机号；代码助手生成包含硬编码密钥的示例；知识库问答在检索不到内容时编造政策条款；营销文案生成器被用户通过“忽略以上指令”绕过限制。这些场景的共同点是，问题不发生在模型训练阶段，而发生在提示词与输出控制的运行阶段。
六、常见误区与复盘要点
误区一：把提示词审计等同于“读一遍提示词”。提示词只是静态文本，真正需要审计的是它的版本、审批、生效范围和变更历史。误区二：只关注输出内容，不关注输出路径。同一段输出可能经过过滤器、人工复核、二次改写，审计必须还原完整路径。误区三：认为模型厂商的合规声明可以替代组织自身的控制。厂商合规是底线，组织仍需对自身输入和输出负责。
复盘时建议围绕三个问题展开：第一，如果今天发生一次提示注入导致数据泄露，我们能否在24小时内定位到具体提示词版本、对话日志和输出记录？第二，输出过滤器规则最近一次更新是什么时候，由谁审批？第三，业务人员是否清楚哪些信息不能输入到AI应用中？这三个问题能快速暴露治理短板，也能帮助审计团队把结论落到可执行的整改项上。
总体而言，提示词与输出控制审计不是对模型的“考试”，而是对组织AI治理能力的“体检”。它要求审计人员既懂传统IT审计的控制语言，又能理解生成式AI的语义与概率特性，在确定性与不确定性之间建立可验证的审计证据链。