检查看的是证据，不是承诺
大模型应用上线之后，企业通常要面对三类外部检查：行业主管部门的监督检查、等级保护测评，以及生成式人工智能服务的安全评估与备案后核查。三者路径相似：听访谈、看文档、做技术验证——抽查设备配置、调取一段时间的日志、现场复测拦截效果。
问题在于，多数企业备的是制度文件与功能截图，缺的是运行期证据：某个应用在某个时间点拦下了什么、依据哪条策略、处置动作是什么、谁批准的例外。这些材料分三层——制度层讲要求怎么定，配置层讲系统怎么配，运行层讲实际怎么跑。防护设备的价值集中在后两层，也恰恰是检查时容易被追问、容易露怯的部分。
内容安全的三类红线，先落到策略再谈举证
生成式人工智能服务安全基本要求把内容红线归为三类：违反社会主义核心价值观的内容、歧视性内容，以及侵权、恶意营销、诈骗等商业违法违规内容。检查时的问法通常很具体：这些类别是否启用、检测级别设在哪一档、命中之后是拦截、代答还是仅记录。
能举证的做法是把策略做成可解释的结构。其一，按应用分模板。对外服务的智能客服与内部知识库问答，敏感级别和拦截尺度本就应当不同，用一套默认策略覆盖全部业务，事后说不清边界。其二，做业务范围与语种管控。小语种输入、非自然语言编码是常见的绕过路径，检查方会关注是否具备语种规范与业务范围判断能力。其三，模板分级管理，把检测级别、日志级别、处置动作做成可导出、可截图的配置项，而不是散落在各处的开关。
需要提醒的是，默认策略全量开启不等于可举证。真正被认可的是「每个应用对应哪套策略、策略由谁维护、何时变更」这条链。链断了，功能再全也只能算承诺。
日志要能对得上：字段、留存与防篡改
等级保护对安全审计的要求里，日志留存不少于六个月是硬指标。检查时常见的动作是抽一段时间的日志，与业务访问量、告警处置记录做交叉比对，看是否存在断档、是否只有告警没有处置。
一条能用的日志至少要有：源 IP、会话标识、命中策略、检测内容摘要、处置动作、时间戳。对话类应用还有一个细节常被忽略——违规提问被代答时，界面里应带上告警日志 ID，用户投诉或内部复核可直接定位到那条记录。
留存方式同样影响可信度。本地日志的删除权限掌握在运维手里，单靠设备本地存储难以证明未被修改；较稳妥的做法是以 Syslog 或 Kafka 协议外发到集中日志平台，固定外发字段并保留平台侧接收记录。多台设备之间还要做时钟同步，否则同一次会话的时间对不上，证据链就断了。
还有一层容易被忽略：日志记录的是用户输入与模型输出，本身含个人信息与业务敏感内容。这类数据的访问权限、留存期限、脱敏方式同样是被查项，不能只管存得够久。
测评现场常被追问的四件事
其一，策略变更管理。规则库升级是否留观察期、新规则上线是否经审批、出问题能否回滚。较稳妥的做法是让新规则先只检测不阻断，观察一段时间再转阻断，这段观察记录本身就是整改闭环的证据。
其二，设备自身的安全。管理员账号是否分权、登录与配置操作是否有审计、管理口与业务口是否隔离。防护设备是被测系统的一部分，这一项漏了，整体结论会受影响。
其三，传输与密码适配。大模型流量普遍走 HTTPS，防护设备做 SSL 卸载时是否支持国际与国密双证书、加密套件是否可配置，直接关系到密评环节能否拿出对应证据。
其四，误报处置。拦截后的申诉渠道、白名单调整记录、放行审批，这些反向操作常被忽视。检查方关心的是拦截有依据、放行有审批，而非拦截数量。
迎检材料清单
把材料按「要求—动作—证据」三列整理成一张表，检查时按问题索引，效率远高于翻文档。清单可以照这六项准备：
- 应用清单与防护策略映射表：哪个应用、哪套模板、责任人是谁；
- 内容安全类别启用情况与处置动作导出，含检测级别与自定义模板；
- 近六个月拦截、脱敏、代答日志的抽样与字段说明；
- 日志外发配置与集中平台的接收记录；
- 策略变更、规则升级与观察期设置记录；
- 管理员权限表与操作审计导出。
这六项备齐，多数现场问询都能当场作答。防护能力怎么评估、部署形态怎么选，可看产品介绍页的能力清单，或通过询价页面说明业务场景；同类话题在洞察栏目有更多展开。