第3章：AI系统审计基础
好，咱们进入正题。AI系统审计，说白了就是给AI做体检。但跟传统IT审计不一样，AI这玩意儿有点「玄学」——你输入一堆数据，它吐出一个结果，中间发生了什么？有时候连开发人员自己都说不清楚。
我最早接触AI审计是在一个金融风控项目上。客户说：「模型预测准确率99%，没问题吧？」我说：「那剩下1%的误判，你能解释为什么吗？」对方沉默了。嗯，这就是AI审计的起点——你得面对那些「说不清道不明」的风险。
3.1 AI系统的独特风险
传统IT系统，你查日志、查权限、查配置，基本能摸清问题。但AI系统不一样，它有三大「怪脾气」。
3.1.1 黑箱问题
什么叫黑箱？就是你给模型一个输入，它给你一个输出，但中间的逻辑链路是隐藏的。尤其是深度学习模型，动辄几百万个参数，你根本没法逐条解释。
我在项目中遇到过一件事：一个信贷审批模型，拒绝了一位信用良好的申请人。工程师查了半天，最后发现是因为申请人名字里有个生僻字，模型训练数据里没见过这个字，就把它当成了「异常特征」。你说冤不冤？
- 不可解释性：模型决策缺乏透明逻辑
- 对抗攻击：微小的输入扰动就能改变输出（比如在图片上加个贴纸，模型就把「停止」识别成「限速」）
- 退化风险：模型在部署后性能逐渐下降，但没人知道什么时候开始出问题
3.1.2 偏见问题
偏见不是AI自己长出来的，是数据喂出来的。你想想看，如果训练数据里男性工程师占90%，那模型自然觉得「工程师=男性」。这不是AI的错，是数据的锅。
我记得有个招聘AI项目，客户说「我们的模型很公平」。我拿历史数据一分析，发现模型对「女性+非技术背景」的候选人打分普遍偏低。为什么？因为公司过去十年招的技术人员全是男性，数据本身就带着偏见。
| 偏见类型 | 典型表现 | 审计关注点 |
|---|---|---|
| 数据偏见 | 训练样本不均衡 | 检查数据集的分布是否覆盖所有群体 |
| 标注偏见 | 标注人员的主观判断 | 抽查标注一致性，做交叉验证 |
| 算法偏见 | 模型结构本身放大某些特征 | 做公平性指标测试（如均等机会差异） |
| 反馈循环 | 模型输出影响后续数据，偏见自我强化 | 监控模型输出分布随时间的变化 |
3.1.3 数据泄露
AI系统的数据泄露跟传统系统不一样。传统系统是「黑客偷数据库」，AI系统可能是「模型自己把训练数据吐出来」。你听说过「模型逆向攻击」吗？攻击者通过反复查询模型，能反推出训练数据里的敏感信息。
举个例子：一个医疗诊断模型，训练数据包含患者的病历。攻击者构造一些「边界样本」去问模型，模型在回答时可能无意中泄露了某个患者的诊断结果。这可不是危言耸听，我在一个合规项目上就验证过这种攻击路径。
- 成员推断：判断某条数据是否在训练集中
- 属性推断：从模型输出反推训练数据的敏感属性
- 模型窃取：通过大量查询复制模型功能
3.2 AI治理框架
光知道风险还不够，你得有「规矩」。目前国际上主流的AI治理框架有两个，我分别说说。
3.2.1 NIST AI RMF（美国国家标准与技术研究院AI风险管理框架）
这个框架的核心思想是：把AI风险当成「可管理的对象」。它不告诉你具体怎么做，而是给你一套思考框架。
NIST AI RMF 分四个核心功能：
- GOVERN（治理）：建立AI风险管理文化，明确谁负责
- MAP（映射）：识别AI系统的上下文、风险场景
- MEASURE（测量）：量化风险，做测试和评估
- MANAGE（管理）：制定应对措施，持续监控
我个人习惯用这个框架做「风险清单」。每次审计AI系统，我就拿这四个维度挨个过一遍，基本不会漏项。
3.2.2 EU AI Act（欧盟人工智能法案）
这个法案是「硬规矩」，有法律约束力。它把AI系统按风险分成四类：
| 风险等级 | 举例 | 合规要求 |
|---|---|---|
| 不可接受风险 | 社会信用评分、实时人脸识别 | 禁止使用 |
| 高风险 | 招聘筛选、信贷审批、医疗诊断 | 需做合规评估、人工监督、透明度报告 |
| 有限风险 | 聊天机器人、AI生成内容 | 需告知用户「这是AI」 |
| 最小风险 | 垃圾邮件过滤、游戏AI | 基本无要求 |
做审计时，第一步就是判断你的AI系统属于哪一类。如果是高风险，那审计范围就大了——你得检查训练数据合规性、模型可解释性、人工干预机制、日志记录等等。
3.3 AI审计与传统IT审计的区别
很多人问我：「AI审计不就是查代码、查日志吗？」我说：「差远了。」
传统IT审计，你查的是「系统是否按设计运行」。AI审计，你查的是「系统是否按预期运行」——这两个「设计」和「预期」之间，隔着十万八千里。
| 维度 | 传统IT审计 | AI审计 |
|---|---|---|
| 审计对象 | 代码、配置、日志 | 数据、模型、训练过程、推理结果 |
| 确定性 | 输入输出可预测 | 输出有概率性，同一输入可能不同结果 |
| 错误类型 | 逻辑错误、配置错误 | 偏见、漂移、对抗攻击、数据泄露 |
| 审计方法 | 代码审查、渗透测试 | 公平性测试、可解释性分析、对抗测试 |
| 合规要求 | ISO 27001、SOC 2 | NIST AI RMF、EU AI Act、算法备案 |
| 持续监控 | 定期检查 | 需要实时监控模型行为变化 |
说白了，传统IT审计是「查有没有bug」，AI审计是「查有没有偏见、有没有黑箱、有没有数据泄露」。我经常跟团队说一句话：「传统审计看的是系统稳不稳定，AI审计看的是系统安不安全、公不公平、透不透明。」
- AI系统的三大风险：黑箱、偏见、数据泄露
- 两个核心治理框架：NIST AI RMF（指导性）和EU AI Act（强制性）
- AI审计比传统审计多了「不确定性」和「伦理」两个维度
嗯，这一章的内容就到这里。下一章我们会深入讲AI审计的具体步骤——怎么做数据审计、模型审计、还有部署后的持续监控。到时候我会拿一个真实的案例拆解给你看。