为什么需要 AI TAP？

企业在部署生成式 AI 或 AI 代理系统前，通常需要外部机构进行安全测试。但目前具备专业 AI 保障测试能力的服务商仍然有限，企业也缺少一套清晰标准来判断哪些测试机构真正合格。

AI Verify Foundation 希望通过 AI TAP 建立一批可信赖的测试公司，让医疗、金融、招聘和公共服务等行业能够更容易找到合适的第三方机构，对自身使用的 AI 系统进行独立评估。

获得认证的企业将针对明确、经过记录的测试范围得到认可，并可能与正在寻找合格测试机构的组织对接。计划的目标，是让 AI 部署方、相关利益方和最终用户对测试过程及测试机构本身更有信心。

不过，AI TAP 认证并不等于某个 AI 系统已经“绝对安全”，也不代表系统不存在任何风险。与具体部署环境、系统集成方式或新出现的攻击手法有关的风险仍可能存在。最终，部署 AI 的组织仍需自行负责治理、风险接受和额外的缓解措施。

测试机构会检查哪些问题？

AI TAP 所支持的测试可能包括对抗性“红队”评估。测试人员会主动尝试通过提示注入或越狱等方式绕过模型的安全防护，诱导系统产生违反政策或其他不安全的行为。

测试范围可能涵盖以下方面：

• **安全性和可靠性失效：**例如输出不准确、编造信息，或生成有害及其他不适当内容。
• **公平性问题：**例如 AI 在决策过程中表现出偏见。
• **隐私和安全风险：**例如数据泄露及系统漏洞。
• **抵御提示注入和越狱的能力：**这对生成式 AI 和具备自主操作能力的 AI 代理应用尤其重要。

简单来说，测试人员不只是检查 AI“答得对不对”，还会尝试找出系统在真实使用场景和恶意输入下可能暴露的薄弱环节。

申请认证需要满足什么条件？

申请机构需要同时证明自身具备专业测试能力，以及稳定开展相关业务的组织能力。主要评估条件包括：

• **技术能力：**证明公司能够完成其申报的具体测试服务。评估时可参考 IMDA 发布的《基于大语言模型应用的安全性和可靠性测试入门指南》（Starter Kit）。
• **治理与商业信誉：**具备相关业务记录、良好商业 standing，并承诺在新加坡开展业务活动。
• **财务可持续性：**拥有足够的财务基础，以维持长期运营。
• **运营准备度：**具备提供所申报服务所需的运营能力和准备程度。
• **服务范围准确性：**公司声明的测试服务范围必须与其实际展示出的能力相符。

IMDA Starter Kit 关注的五类大语言模型风险

Starter Kit 是一套自愿采用的指导材料，用于帮助企业开展大语言模型应用的基础安全性和可靠性测试。它列出的五类主要风险是：

1. 幻觉与信息不准确。
2. 决策偏见。
3. 不当或有害内容。
4. 数据泄露。
5. 漏洞，包括对抗性提示带来的风险。

这套指南并非强制性认证标准，而是为测试机构和企业提供一个基础参考框架，帮助它们明确应测试哪些风险、测试深度应达到什么程度，以及如何记录测试结果。

申请要收费吗？认证有效多久？

AI Verify Foundation 表示，AI TAP 不收取申请费或认证费。此举旨在降低参与门槛，并推动 AI 保障测试市场发展。

认证有效期为 12 个月。期满后，测试机构需要续期并证明自身仍具备持续开展相关服务的能力。这一安排也考虑到 AI 标准和威胁环境会不断变化。

目前被报道为已表达早期兴趣的企业包括 Advai、AIDX、Ernst & Young、Knovel Engineering、PwC、Resaro 和 Vulcan。

对企业意味着什么？

AI TAP 的核心作用，不是替企业替换内部治理责任，而是为外部测试市场建立一套更清晰的能力门槛。其预期效果包括：

• 让企业更容易识别具备相应能力的第三方测试机构；
• 让测试机构明确说明自己能够覆盖的系统、风险和测试项目；
• 推动形成更一致、可记录、以证据为基础的测试流程；
• 根据企业的具体 AI 用例和风险范围，开展更有针对性的评估。

现有证据没有收录行业代表关于“定制化、治理或 AI 安全信心提升”的具体引述。因此，这些效果不应被视为已经得到行业实证确认。不过，从计划的设计来看，AI TAP 确实试图通过能力审核、明确测试范围和独立评估，为 AI 部署方提供额外保障。

一项认证，不是一张“绝对安全通行证”

对企业来说，AI TAP 最值得关注的地方，是它把“谁来测试 AI”这个常被忽视的问题摆到了台前。认证能够帮助企业筛选测试服务商，但不能替企业完成风险决策，也不能保证 AI 在所有环境中都不会出错。

企业仍需要结合自身业务场景，决定测试哪些风险、接受什么程度的风险，以及在测试发现问题后采取哪些补救措施。AI TAP 更像是为第三方测试市场设立一条可识别的起跑线，而不是对任何特定 AI 系统作出全面安全承诺。

为什么需要 AI TAP？

企业在部署生成式 AI 或 AI 代理系统前，通常需要外部机构进行安全测试。但目前具备专业 AI 保障测试能力的服务商仍然有限，企业也缺少一套清晰标准来判断哪些测试机构真正合格。

AI Verify Foundation 希望通过 AI TAP 建立一批可信赖的测试公司，让医疗、金融、招聘和公共服务等行业能够更容易找到合适的第三方机构，对自身使用的 AI 系统进行独立评估。

获得认证的企业将针对明确、经过记录的测试范围得到认可，并可能与正在寻找合格测试机构的组织对接。计划的目标，是让 AI 部署方、相关利益方和最终用户对测试过程及测试机构本身更有信心。

不过，AI TAP 认证并不等于某个 AI 系统已经“绝对安全”，也不代表系统不存在任何风险。与具体部署环境、系统集成方式或新出现的攻击手法有关的风险仍可能存在。最终，部署 AI 的组织仍需自行负责治理、风险接受和额外的缓解措施。

测试机构会检查哪些问题？

AI TAP 所支持的测试可能包括对抗性“红队”评估。测试人员会主动尝试通过提示注入或越狱等方式绕过模型的安全防护，诱导系统产生违反政策或其他不安全的行为。

测试范围可能涵盖以下方面：

• **安全性和可靠性失效：**例如输出不准确、编造信息，或生成有害及其他不适当内容。
• **公平性问题：**例如 AI 在决策过程中表现出偏见。
• **隐私和安全风险：**例如数据泄露及系统漏洞。
• **抵御提示注入和越狱的能力：**这对生成式 AI 和具备自主操作能力的 AI 代理应用尤其重要。

简单来说，测试人员不只是检查 AI“答得对不对”，还会尝试找出系统在真实使用场景和恶意输入下可能暴露的薄弱环节。

申请认证需要满足什么条件？

申请机构需要同时证明自身具备专业测试能力，以及稳定开展相关业务的组织能力。主要评估条件包括：

• **技术能力：**证明公司能够完成其申报的具体测试服务。评估时可参考 IMDA 发布的《基于大语言模型应用的安全性和可靠性测试入门指南》（Starter Kit）。
• **治理与商业信誉：**具备相关业务记录、良好商业 standing，并承诺在新加坡开展业务活动。
• **财务可持续性：**拥有足够的财务基础，以维持长期运营。
• **运营准备度：**具备提供所申报服务所需的运营能力和准备程度。
• **服务范围准确性：**公司声明的测试服务范围必须与其实际展示出的能力相符。

IMDA Starter Kit 关注的五类大语言模型风险

Starter Kit 是一套自愿采用的指导材料，用于帮助企业开展大语言模型应用的基础安全性和可靠性测试。它列出的五类主要风险是：

1. 幻觉与信息不准确。
2. 决策偏见。
3. 不当或有害内容。
4. 数据泄露。
5. 漏洞，包括对抗性提示带来的风险。

这套指南并非强制性认证标准，而是为测试机构和企业提供一个基础参考框架，帮助它们明确应测试哪些风险、测试深度应达到什么程度，以及如何记录测试结果。

申请要收费吗？认证有效多久？

AI Verify Foundation 表示，AI TAP 不收取申请费或认证费。此举旨在降低参与门槛，并推动 AI 保障测试市场发展。

认证有效期为 12 个月。期满后，测试机构需要续期并证明自身仍具备持续开展相关服务的能力。这一安排也考虑到 AI 标准和威胁环境会不断变化。

目前被报道为已表达早期兴趣的企业包括 Advai、AIDX、Ernst & Young、Knovel Engineering、PwC、Resaro 和 Vulcan。

对企业意味着什么？

AI TAP 的核心作用，不是替企业替换内部治理责任，而是为外部测试市场建立一套更清晰的能力门槛。其预期效果包括：

• 让企业更容易识别具备相应能力的第三方测试机构；
• 让测试机构明确说明自己能够覆盖的系统、风险和测试项目；
• 推动形成更一致、可记录、以证据为基础的测试流程；
• 根据企业的具体 AI 用例和风险范围，开展更有针对性的评估。

现有证据没有收录行业代表关于“定制化、治理或 AI 安全信心提升”的具体引述。因此，这些效果不应被视为已经得到行业实证确认。不过，从计划的设计来看，AI TAP 确实试图通过能力审核、明确测试范围和独立评估，为 AI 部署方提供额外保障。

一项认证，不是一张“绝对安全通行证”

对企业来说，AI TAP 最值得关注的地方，是它把“谁来测试 AI”这个常被忽视的问题摆到了台前。认证能够帮助企业筛选测试服务商，但不能替企业完成风险决策，也不能保证 AI 在所有环境中都不会出错。

企业仍需要结合自身业务场景，决定测试哪些风险、接受什么程度的风险，以及在测试发现问题后采取哪些补救措施。AI TAP 更像是为第三方测试市场设立一条可识别的起跑线，而不是对任何特定 AI 系统作出全面安全承诺。