大模型备案安全评估报告怎么写：八章结构与证据链

大模型备案的安全评估报告，常被当成一份加长版的算法自评估报告：把模板下载下来，逐格填满，附上几张架构图，提交。退回意见往往只有一句话——风险描述与模型实际能力不符。

问题不在写得少，而在写的东西与系统运行对不上。审查人员要确认的是三件事：模型能做什么、这些能力对应哪些风险、每一项风险有什么证据证明已经被控制。报告的结构应当围绕这三件事组织，而不是围绕模板的章节顺序。

一、与算法安全自评估报告的差别

两类报告容易混，是因为都叫"安全评估"，且都由备案主体出具。差别在覆盖范围与证据要求。

一份合格的报告，读完之后应当能回答：这个模型会不会生成违法内容、会不会泄露训练数据中的个人信息、会不会被提示词注入绕过、出事之后多久能处置。回答不了，说明报告还停留在机制描述层面。

二、动笔前的三项准备

报告的质量，七成取决于动笔前手里有什么。

其一，模型能力清单。 列明模型能做什么、不能做什么、边界在哪里。包括支持的模态、上下文长度、是否具备工具调用与联网能力、是否支持多轮与角色扮演、是否有微调版本。能力清单决定风险清单：具备联网能力的，要评估外部内容注入；具备代码执行能力的，要评估恶意代码生成；只做文本摘要的，风险面窄得多。

其二，测试记录。 包括测试题集、样本来源、判定标准、测试环境、结果统计与失败案例。测试不是走过场，要留下可复算的原始记录。题集应按场景分类，每类包含正向样本与绕过样本，并覆盖多轮诱导、提示词注入、越狱模板等形态。

其三，运行数据。 拦截日志、人工审核工单、用户投诉记录、安全事件处置记录。制度文本谁都能写，运行数据才能证明机制在跑。最近三个月的日志比一份完美的制度汇编更有说服力。

三项准备做完，报告的八章只是把这些材料组织成可阅读的结构。

三、八章结构

第一章，模型与服务体系概述。 写模型来源（自研、开源基座微调、API 封装）、参数规模、训练与推理架构、服务形态（网页、App、API、私有化）、服务对象与场景。要点是把"服务边界"写清楚：面向公众还是特定行业，是否具备舆论属性或社会动员能力。这一章决定后续风险的适用范围。

第二章，语料来源与合法性。 按来源分类：自采、采购、开源数据集、用户生成、合成数据。每一类写清获取方式、授权文件、清洗与过滤流程、标注规则、以及违法不良信息的过滤比例与检测方法。常见问题是只写"已过滤"，不写过滤前后的比例、检测方式与抽检记录。授权链断在二级来源，是这一章最典型的退回原因。

第三章，训练与微调过程安全。 写训练环境、数据隔离、权限控制、训练日志、模型版本管理，以及微调数据的来源与审核。要点是说明训练过程可追溯：哪个版本用了哪批数据、由谁审批、产物存放在哪里。使用第三方算力或境外算力的，要说明数据是否出境。

第四章，输出内容安全。 写拦截机制、审核流程、标识方式与处置闭环。拦截机制包括关键词库、分类模型、人工复核三层，要写清各层的触发条件与误拦截处理。标识按《人工智能生成合成内容标识办法》要求，区分显式标识与隐式标识，说明在哪些位置、以什么形式呈现。处置闭环写发现、拦截、复核、申诉、复盘的完整流程。

第五章，抗攻击与对抗测试。 写已开展的对抗测试类型、样本数量、成功率、以及防御措施。至少覆盖提示词注入、越狱、多轮诱导、上下文污染、模型窃取五类。要点是给出测试结果，而不是只写"具备防御能力"。测试未通过的项，要写整改计划与复测时间。

第六章，用户权益与个人信息保护。 写告知与同意的实现方式、用户输入数据的处理与留存、训练数据中个人信息的处理、用户查阅复制删除等权利的响应机制、未成年人保护措施。要点是与隐私政策、用户协议的口径一致，三份文件描述同一条链路。

第七章，风险识别、分级与处置。 这是报告的核心章节。按模型能力与场景列风险，逐项写发生概率、影响程度、影响对象、风险等级、处置措施、责任人与完成时限。风险等级要能落到处置动作上，只标"高风险"而不写怎么处置，等于没有评估。

第八章，应急响应与持续监测。 写应急预案、事件分级、响应时限、上报流程、演练记录与监测指标。要点是可执行：谁在什么时间做什么，而不是"将及时处置"。持续监测部分写指标与阈值，例如拦截率、误拦截率、投诉率、事件数量的预警线。

四、证据链怎么排

报告的说服力来自证据链，不来自篇幅。建议在每一章末尾附一张证据索引表，格式统一。

这张表的作用，是让审查人员能在十分钟内判断一份报告是否可信。没有索引表，证据散落在几十页附件里，阅读成本会把判断推向"材料不充分"。

五、五个高频退回原因

其一，风险项与模型能力对不上。 报告写"本模型不具备联网能力"，产品实际支持联网检索；或写"仅支持文本"，实际已上线图片生成。能力清单与产品版本不同步，是最常见的硬伤。

其二，拦截率没有数据支撑。 报告写"拦截率 99%"，附件里没有测试集、没有统计口径、没有日志导出。无法复算的数字，审查时按未提供处理。

其三，测试题集覆盖不到高风险场景。 题集全是通用常识问答，没有针对医疗、金融、未成年人、政治敏感等场景的样本，也没有绕过样本。覆盖不足，等于未测试。

其四，语料授权链断裂。 采购数据只附了上一手合同，没有追溯到原始权利人的授权范围；开源数据集只写了名称，没有附许可证文本与商用判断。

其五，报告与合同、隐私政策口径不一致。 报告写"用户输入不用于训练"，用户协议里却有"可能用于改进服务"的表述；报告写"数据存储于境内"，隐私政策写"可能传输至境外关联方"。三份文件互相矛盾，任何一份都可能被单独追问。

六、分工与时间

报告不是法务一个部门能写完的。合理的分工是三方并行：

典型项目四到六周：第一周收集素材与确认能力清单，第二至三周完成测试与数据统计，第四至五周撰写与交叉核对，第六周统稿与签章。模型复杂度高、场景多的，时间相应延长。

若企业已经完成算法备案，共用材料可以直接复用，报告的重点放在大模型特有的语料、训练与输出链路，不必从零重写。

七、与备案材料清单的关系

安全评估报告是五项专项材料之一，其余四项是模型服务协议、语料标注规则、拦截关键词列表与评估测试题集。五项材料之间是引用关系：报告引用词库版本、引用题集、引用标注规则，任何一项单独修改，报告都要同步更新。

两类备案的材料构成与准备顺序，站内《大模型备案需要准备哪些材料》已列完整清单；两类备案的归类判断，见《算法备案和大模型备案有什么区别》；备案后的持续义务，见《算法备案之后的持续义务》。

技术要求的规范来源，是 2025 年 11 月 1 日实施的国家标准《网络安全技术 生成式人工智能服务安全基本要求》（GB/T 45654—2025），其把《生成式人工智能服务管理暂行办法》的原则性要求转化为可检验条款，可参见标准解读。报告中的语料过滤、输出拦截与测试要求，应当以该标准的最新文本为准。

服务范围见算法备案与AI 法律服务。

本文依据《生成式人工智能服务管理暂行办法》、GB/T 45654—2025 及公开备案实践编写，仅供参考，不构成法律意见。具体材料要求以属地网信部门与备案系统的最新提示为准。