想象你是一家体检中心的负责人。今天来了一位特殊的患者——AI 模型。它不会喊疼，却掌管着贷款审批、医疗诊断、简历筛选这些影响真实人生的决策。体检中心该怎么给它做全面检查？答案是把各科室的仪器组合成一条体检流水线：抽血化验看模型基本素质（自动化测试工具），用天平称一称它是否对某些人群“偏心”（公平性检测工具），拍 X 光看它内部如何决策（可解释性工具），接上监护仪 24 小时盯住它上线后的状态（模型监控平台），翻看病历核对数据授权是否合规（数据合规扫描器），最后由总检医生汇总成一份结构化体检报告（审计报告生成工具），整套流程由导诊总台统一调度（工具链编排）。这篇文章带你逐个认识这七类“诊断仪器”，学会像搭建体检中心一样搭建 AI 审计工具链。

岗位关联

掌握 AI 审计工具链的搭建与选型，是从“会做单点检测”到“能构建企业级合规体系”的关键跃迁，也是算法备案与持续合规审计的硬核能力。

目录
  1. 可视化演示
  2. 自动化测试工具
  3. 公平性检测工具
  4. 可解释性工具
  5. 模型监控平台
  6. 数据合规扫描器
  7. 审计报告生成
  8. 工具链编排
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

通过工具链流水线、开源商业选型对比、编排调度架构三个模式，展示AI审计工具链六大工具的功能定位与协同编排最佳实践。

本节配有交互动效（进入视口后自动加载，约 3KB）。

AI审计工具链六大工具流水线 自动测试公平检测可解释监控合规扫描报告生成六大工具覆盖AI全生命周期 各工具协同编排形成端到端审计流水线实现自动化持续合规保障 Test → Fairness → Explainability → Monitoring → Scan → Report 工具链编排依赖统一调度层实现端到端流程串联与自动化

自动化测试工具

体检的第一站是抽血化验。机器把血液样本分装进几十个试管，自动检测血糖、血脂、肝功能等指标，全程不需要医生手动操作。自动化测试工具对 AI 模型做的事情完全一样：它把模型当作“血液样本”，自动投喂大量精心构造的输入，快速探测模型的“生命体征”是否正常。

审计师最常用的手段是对抗样本测试——在正常图片上叠加肉眼几乎看不见的噪点，让模型把“熊猫”认成“长臂猿”，或把“停车”标志识别成“限速”。这类工具在图像、语音、文本领域都有成熟开源实现，如 ART、Foolbox、TextAttack，它们能批量生成攻击样本，反复刁难模型。

除攻击测试外，工具还会计算神经元覆盖度（有多少内部逻辑被测试用例触发）和鲁棒性（抵抗攻击的稳定程度），并在每次模型更新后自动跑回归测试，确保修复一个问题没有引入新问题。鲁棒性的定义很简洁：攻击成功的样本越少，模型越坚固。

就像血液报告单把每项指标与参考区间对比，自动化测试工具把模型的“免疫系统状态”量化成白纸黑字。鲁棒性一旦跌破阈值，体检亮起红灯，模型就得回训练室“调养”后再来复查。

Robustness=1−NsuccessNtotal\displaystyle \text{Robustness} = 1 - \frac{N_{\text{success}}}{N_{\text{total}}}
鲁棒性等于 1 减去攻击成功率，就像疫苗有效率：被攻破的样本越少，防线越稳，数值越接近 1 越好。
  1. N_total（攻击总数）审计师构造并投喂给模型的对抗样本总数量，相当于一次体检中安排的化验项目总数。
    NtotalN_{\text{total}}
  2. N_success（攻击成功数）让模型输出错误结果的样本数量，相当于“检查出异常”的病例数。
    NsuccessN_{\text{success}}
  3. 比值（攻击成功率）成功样本占总数的比例，越高说明模型越容易被欺骗。
    NsuccessNtotal\frac{N_{\text{success}}}{N_{\text{total}}}
  4. 鲁棒性（稳健率）用 1 减去成功率得到稳健率，越接近 1 说明防线越稳固。
    1−NsuccessNtotal1 - \frac{N_{\text{success}}}{N_{\text{total}}}

公平性检测工具

体检中心最怕的不是单纯指标异常，而是“看人下菜碟”——同样的项目，给 VIP 客户做得更仔细，给普通客户敷衍了事。公平性检测工具就是监督 AI 模型是否“偏心”的仪器。它把用户按敏感属性（性别、年龄、民族等）分组，比较各组获得正结果的比例是否一致。

回到工程场景：信贷模型给两个资质相近的申请人给出截然不同的额度，这很可能就是偏见的体现。公平性检测工具如 IBM AIF360、微软 Fairlearn，内置二十多种公平性指标，审计师只需选择与业务最相关的一组进行测算，再对照合规阈值判断是否越线。

最常用的指标是统计均等差异（SPD）和均等化几率。SPD 衡量两类人群正预测率之差；均等化几率更严格，还要求两类人群的假阳性率、假阴性率一致。发现偏见后，工具还能“开药”——通过重加权、阈值平移等修复算法调整模型行为。

体检报告会标注“此项指标与性别分组对比结果”，SPD 正是那架天平。审计团队依据业务场景设定阈值，超过即触发整改——因为砝码不在审计师手里，而在模型开发者的训练数据与决策逻辑里。

SPD=P(y^=1∣s=0)−P(y^=1∣s=1)\displaystyle \text{SPD} = P(\hat{y}=1 \mid s=0) - P(\hat{y}=1 \mid s=1)
SPD 是一架公平天平两端的高度差：特权组正预测率减去弱势组正预测率，差值越接近 0 说明越公平。
  1. s（敏感属性）性别、年龄等受法律保护的属性，相当于体检单上的“分组标签”。
    ss
  2. P(ŷ=1|s=0)（特权组正预测率）敏感属性为 0 的人群中被预测为正例的比例。
    P(y^=1∣s=0)P(\hat{y}=1 \mid s=0)
  3. P(ŷ=1|s=1)（弱势组正预测率）敏感属性为 1 的人群中被预测为正例的比例。
    P(y^=1∣s=1)P(\hat{y}=1 \mid s=1)
  4. 差值（SPD 值）两组比例相减，结果越接近 0，天平越平、模型越公平。
    P(y^=1∣s=0)−P(y^=1∣s=1)P(\hat{y}=1 \mid s=0) - P(\hat{y}=1 \mid s=1)

可解释性工具

患者拿着异常指标问医生：“我这病是哪来的？”医生不能只说“不知道”，而得指着片子解释病灶位置。可解释性工具就是 AI 的“X 光机”，它回答的是“模型为什么给出这个结论”这一核心问题。

当信贷模型拒绝一位客户时，监管方和客户都有权知道理由。特征归因工具把预测结果“分摊”到每个输入特征上，回答“是收入、负债率还是近期查询次数导致了拒绝”。代表工具有 SHAP、LIME：SHAP 基于博弈论中的 Shapley 值，LIME 则在局部用简单代理模型近似黑箱行为。

除了归因，还有两条路线：反事实解释告诉用户“如果你的负债率降低 5 个百分点，结果就会改变”；代理模型用可读的决策树复现局部决策逻辑。可视化面板则把以上结果汇总成审计师和业务方都看得懂的图表，支撑算法备案中的“说明理由”环节。

X 光片的价值在于让医生和患者看到同一张图。SHAP 的价值在于让模型开发者、业务方与监管者站在同一事实基础上对话——这正是算法备案里最考验“讲得清”的环节。

ϕi=∑S⊆N∖{i}∣S∣!(∣N∣−∣S∣−1)!∣N∣![f(S∪{i})−f(S)]\displaystyle \phi_i = \sum_{S \subseteq N \setminus \{i\}} \frac{|S|!(|N|-|S|-1)!}{|N|!}\left[ f(S \cup \{i\}) - f(S) \right]
SHAP 值把所有可能的特征组合拿去“对照实验”，加权平均出每个特征的平均边际贡献，就像给病灶部位做多次扫描后定位出真正的原因。
  1. N（全体特征集合）模型的所有输入特征，相当于体检覆盖的全部检查项目。
    NN
  2. S（特征子集）不包含特征 i 的任意组合，代表一次次不同的“扫描方案”。
    S⊆N∖{i}S \subseteq N \setminus \{i\}
  3. f(S)（子集预测值）只用 S 中特征时模型给出的预测结果。
    f(S)f(S)
  4. 边际贡献（加入前后差值）把特征 i 加入子集后预测的变化量。
    f(S∪{i})−f(S)f(S \cup \{i\}) - f(S)
  5. Shapley 权重每个组合的加权系数，保证贡献值公平分配到每个特征。
    ∣S∣!(∣N∣−∣S∣−1)!∣N∣!\frac{|S|!(|N|-|S|-1)!}{|N|!}
  6. 求和（SHAP 值）对所有子集加权求和，得到特征 i 对本次预测的总贡献。
    ϕi\phi_i

模型监控平台

体检不是一次性的。真正负责任的体检中心会对重症患者安排住院观察，床边的监护仪实时显示心率、血氧、血压曲线。模型监控平台就是 AI 的“ICU 监护仪”，在模型上线后 7×24 小时盯着它的生命体征。

模型也会“生病”：线上数据分布逐渐偏移（数据漂移）、用户行为突变（概念漂移）、新版本上线引发性能回退。监控平台如 Evidently、WhyLabs、Seldon Core 会周期性对比训练期与线上数据，计算分布差异指标，并维护实时看板展示趋势。

最常用的指标是 PSI（群体稳定性指数）。一般认为 PSI 小于 0.1 表示分布稳定，0.1 到 0.25 提示轻度漂移，超过 0.25 表示严重漂移。检测到漂移后，平台通过 Webhook、钉钉、企业微信或邮件触发告警，提醒审计团队及时介入。

监护仪的报警声不是要吓唬护士，而是提醒“该准备干预了”。模型监控告警的价值，在于把“模型悄悄变坏”从事后补救变成事中响应——审计团队据此决定重新训练、回滚版本，还是触发新一轮全面审计。

PSI=∑i=1k(Actuali−Expectedi)×ln⁡(ActualiExpectedi)\displaystyle \text{PSI} = \sum_{i=1}^{k} (\text{Actual}_i - \text{Expected}_i) \times \ln\left(\frac{\text{Actual}_i}{\text{Expected}_i}\right)
PSI 把预测分数切成若干区间，比较每个区间里线上占比与训练期占比的差异，差异越大说明分布漂移越严重。
  1. k（分箱数）将预测分数划分的区间数量，相当于监护仪上的刻度划分。
    kk
  2. Expected_i（期望占比）训练期第 i 个区间内样本所占的比例，这是“健康基线”。
    Expectedi\text{Expected}_i
  3. Actual_i（实际占比）线上运行期第 i 个区间内样本所占的比例，这是“当前读数”。
    Actuali\text{Actual}_i
  4. 差异项实际占比减去期望占比，反映该区间发生了多少偏移。
    Actuali−Expectedi\text{Actual}_i - \text{Expected}_i
  5. 累加（PSI 值）对各区间的差异加权后求和，得到整体漂移程度。
    ∑i=1k(Actuali−Expectedi)×ln⁡(ActualiExpectedi)\sum_{i=1}^{k} (\text{Actual}_i - \text{Expected}_i) \times \ln\left(\frac{\text{Actual}_i}{\text{Expected}_i}\right)

数据合规扫描器

体检中心调取患者病历前，必须确认病历里有哪些敏感信息、患者是否授权。数据合规扫描器就是 AI 审计中的“病历管理员”，它翻遍训练数据集的每个角落，找出个人信息并核查使用依据。

扫描器先做个人信息识别（PII 检测），用正则表达式、命名实体识别或专用模型找出身份证号、手机号、地址等；再做数据溯源，追踪每条数据的采集来源与流转路径；最后核查授权状态——这条数据有没有取得用户同意、授权是否过期、是否涉及跨境传输。

如果训练语料里混入了患者真实病历或用户私聊记录，扫描器会标红并给出整改建议：脱敏、删除或补充授权。代表能力包括微软 Presidio（开源 PII 检测）、各云厂商的敏感数据发现服务，以及商业数据治理平台。合规判断还需依赖法务规则库，因为不同地区对语音、生物特征等数据的授权要求各不相同。

病历管理员的工作看似琐碎，却决定体检中心能否开门营业。数据合规扫描器的召回率直接影响审计结论的可信度——漏掉一条敏感数据，就可能让企业触碰《个人信息保护法》的红线，而这条漏网之鱼恰恰是审计报告里最刺眼的红灯。

Recall=TPTP+FN\displaystyle \text{Recall} = \frac{TP}{TP + FN}
召回率回答“真实的敏感信息被找出了多少”：找出的除以总共该找的。扫描器追求高召回率，因为漏掉一条就可能踩中合规红线。
  1. TP（正确检出数）被扫描器正确标记为个人信息的样本数，相当于病历中被正确归档的敏感项。
    TPTP
  2. FN（漏检数）实际是个人信息却没被标出来的样本数，相当于藏在病历夹层里的“漏网之鱼”。
    FNFN
  3. 分母（真实敏感信息总量）正确检出与漏检之和，就是全部应当被发现的个人信息。
    TP+FNTP + FN
  4. 召回率（检出比例）真实敏感信息中被检出的比例，越高说明“病历管理员”越尽责。
    TPTP+FN\frac{TP}{TP + FN}

审计报告生成

检查全部做完，患者最关心的是那份总结报告。审计报告生成工具就是体检中心的“总检医生”——它把各科室的检查结果、影像资料、化验单汇总成一份规范的结构化报告，并给出总体健康评级。

工具会自动收集各检查环节的证据（测试日志、指标快照、监控图表），填入预设模板，形成“检查范围—检查方法—发现项—风险定级—整改建议”的完整结构。许多平台还能把发现项映射到 OWASP 或各类合规框架的条款，让报告天然满足监管格式要求。

风险定级采用加权评分模型：高危问题（如数据泄露风险）权重高，低危问题（如文档缺失）权重低，累加后映射为“低/中/高/严重”四级。报告生成后需经审计团队复核签名，并做哈希存证，保证内容事后无法篡改，满足监管追溯要求。

总检医生不会替患者做决定，但会把事实摆清楚。报告生成工具同样不取代审计师的判断——它把“体检数据”翻译成“决策依据”，让管理者与监管机构快速理解风险全貌。这是算法备案流程中提交“安全评估报告”的最后一公里。

RiskScore=∑i=1nwi×Ii\displaystyle \text{RiskScore} = \sum_{i=1}^{n} w_i \times I_i
风险评分等于每个发现项是否触发乘以其权重后求和，就像总检医生逐个评估异常指标后再综合下结论。
  1. n（发现项数量）审计中发现的具体问题总数，相当于体检单上待评估的异常条目数。
    nn
  2. I_i（单项触发值）第 i 个问题是否被触发，触发为 1、未触发为 0。
    IiI_i
  3. w_i（严重度权重）该问题在合规框架中的严重程度权重，越高代表越危险。
    wiw_i
  4. 加权求和（风险分）每个发现项权重与触发值相乘后累加，得到整体风险评分。
    ∑i=1nwi×Ii\sum_{i=1}^{n} w_i \times I_i

工具链编排

有了各种仪器，体检中心还要有导诊台、排班表和标本转运流程。工具链编排就是 AI 审计的“导诊总台”——把自动化测试、公平检测、可解释分析、监控、合规扫描、报告生成串成一条顺畅的流水线。

编排层要解决三类问题：工具集成（统一各工具的输入输出格式，通过标准化接口或编排平台对接）、选型决策（开源工具灵活免费但要自运维，商业平台开箱即用但成本高，需按团队规模与合规压力权衡）、CI/CD 嵌入（把审计步骤做成流水线任务，模型每次发布自动触发检查）。

常见编排载体包括 Apache Airflow、Argo Workflows、GitLab CI，以及商业 MLOps 平台的治理模块。编排质量可用审计覆盖率衡量——应检项是否都被纳入流水线、是否有人工复核环节。团队配合上，算法工程师、合规法务、审计师需要共同维护“检查项清单”和阈值策略。

体检中心的口碑不取决于某一台仪器多先进，而取决于导诊流程多顺畅。工具链编排同理——把合适的工具放在合适的位置，让证据在流水线中自动流转，AI 审计才能真正从“手工突击检查”进化为“常态化质量保障”，这才是企业长期合规的根基。

Coverage=NcoveredNrequired\displaystyle \text{Coverage} = \frac{N_{\text{covered}}}{N_{\text{required}}}
审计覆盖率等于流水线已覆盖的检查项除以应检项总数。覆盖率越高，说明导诊总台排班越完整、越不容易漏检。
  1. N_required（应检项数）监管要求与内部标准定义的检查项总数，相当于体检套餐里确定的必查项目。
    NrequiredN_{\text{required}}
  2. N_covered（已检项数）当前工具链流水线实际覆盖并执行的检查项数量。
    NcoveredN_{\text{covered}}
  3. 覆盖率（编排质量）已检项与应检项的比值，衡量整个体检流程的完整程度。
    NcoveredNrequired\frac{N_{\text{covered}}}{N_{\text{required}}}

AI 应用场景

金融信贷模型年度合规审计

阶段：模型上线前评估与年度合规审计

解决的问题：传统审计靠人工抽样查看特征权重报告，既慢又难以覆盖全部敏感属性。用公平性检测工具自动测算 SPD 等指标，用可解释性工具生成 SHAP 归因图，再由报告生成工具导出监管格式文档，整个流程像体检中心一站式出报告。

具体案例：某消费金融公司用 AIF360 审计信贷模型时发现，模型对某年龄段用户的正预测率低 12 个百分点，定位到“学历”特征与年龄高度相关，经重加权修复后 SPD 重新回到阈值内，顺利通过年度合规审查。

大模型上线前的安全测试与备案

阶段：模型交付与算法备案

解决的问题：大模型的幻觉、越狱、隐私泄露问题难以靠人工穷尽测试。将对抗样本测试工具、数据合规扫描器与可解释性工具组合成流水线，自动生成越狱测试集、扫描训练语料中的个人信息并溯源授权状态，像抽血、翻病历、拍 X 光一气呵成。

具体案例：某大模型厂商在备案前用 TextAttack 加 Presidio 的流水线发现训练语料包含大量未脱敏客服对话，触发标红后完成脱敏整改，最终通过算法备案审核。

电商推荐模型的持续监控

阶段：上线后运营与持续合规监控

解决的问题：推荐分布随季节漂移、点击率回退难以及时发现。用模型监控平台加告警通道建立全天候“体征监护”，配合自动化回归测试，把问题发现在用户投诉之前。

具体案例：某电商平台大促结束后推荐模型点击率骤降，Evidently 监测到 PSI 达 0.31 触发告警，运维团队自动回滚至大促前版本并启动复审流程，止损仅用了 40 分钟。

Python 演示

python70 行
"""AI audit toolchain demo: fairness -> robustness -> drift -> report."""import numpy as np  def fairness_spd(y_pred, sensitive):    """Statistical parity difference: closer to 0 means fairer."""    p0 = y_pred[sensitive == 0].mean()    p1 = y_pred[sensitive == 1].mean()    return p0 - p1  def robustness_score(model, X, noise_scale=0.3):    """Rate of predictions that stay unchanged after adding noise."""    X_noise = X + np.random.normal(0, noise_scale, X.shape)    return np.mean(model.predict(X) == model.predict(X_noise))  def population_stability_index(exp_scores, act_scores, bins=10):    """PSI: distribution drift between training and online scores."""    eps = 1e-6    exp_hist, _ = np.histogram(exp_scores, bins=bins, density=True)    act_hist, _ = np.histogram(act_scores, bins=bins, density=True)    exp_ratio = exp_hist / exp_hist.sum() + eps    act_ratio = act_hist / act_hist.sum() + eps    psi = np.sum((exp_ratio - act_ratio) * np.log(exp_ratio / act_ratio))    return psi  class SimpleModel:    """A tiny linear model used as the audited AI system."""     def __init__(self, w):        self.w = w     def score(self, X):        return X @ self.w     def predict(self, X):        return (self.score(X) > 0).astype(int)  def main():    rng = np.random.default_rng(42)    X = rng.normal(size=(1000, 3))    sensitive = rng.integers(0, 2, size=1000)    model = SimpleModel(np.array([0.8, -0.5, 0.3]))    y_pred = model.predict(X)     print("== station 1: fairness check ==")    spd = fairness_spd(y_pred, sensitive)    print("SPD = %.4f (closer to 0 is fairer)" % spd)     print("== station 2: robustness check ==")    rob = robustness_score(model, X)    print("robustness = %.4f (closer to 1 is better)" % rob)     print("== station 3: drift monitor ==")    X_new = rng.normal(0.5, size=(1000, 3))    psi = population_stability_index(model.score(X), model.score(X_new))    print("PSI = %.4f (above 0.1 means notable drift)" % psi)     print("== station 4: audit report ==")    if abs(spd) > 0.1 or psi > 0.1:        print("verdict: risk found, fix and re-audit")    else:        print("verdict: pass this round")  if __name__ == "__main__":    main()
目的：用约一百行代码模拟一条迷你 AI 审计流水线，依次完成公平性检测、鲁棒性评估、漂移监测与审计结论输出，直观演示七类工具链中核心三个检查站的计算逻辑。
  1. spd = fairness_spd(y_pred, sensitive)计算两个敏感群体正预测率之差，这是体检中心公平天平的核心读数。
  2. rob = robustness_score(model, X)给输入叠加轻度噪声后看预测是否保持不变，对应抽血化验里的应激测试。
  3. X_new = rng.normal(0.5, size=(1000, 3))构造均值偏移 0.5 的线上新数据，人为制造一次“数据漂移”事件。
  4. psi = population_stability_index(model.score(X), model.score(X_new))对比训练期与线上分数分布并计算 PSI，相当于监护仪上的波形对比。
  5. if abs(spd) > 0.1 or psi > 0.1:按合规阈值综合各检查站结论，触发“整改后复审”的审计建议。

常见误区

误区很多团队认为把开源审计工具全都部署一遍，公司的 AI 就算合规了。工具列表越长，心里越踏实，仿佛体检仪器摆满屋子就等于身体健康。

正解工具只是体检仪器，真正决定审计效果的是编排和流程——检查项覆盖率、阈值设定、证据收集与人工复核机制。没有编排的工具堆砌，就像没有导诊台的体检中心：各科室互不联通，报告无法汇总，患者还是得不到结论。

为何常见：工具是看得见摸得着的实体，采购和部署的成就感很强；而流程设计是隐形工作，天然容易被低估。

误区不少初学者把统计均等差异当成公平的“唯一答案”，算出 SPD 是 0 就宣布模型绝对公平，其他检测全部省略。

正解SPD 只衡量“两组正预测率之差”这一种公平观。均等化几率、个体公平等定义可能与它互相冲突，需要结合业务场景选择多个指标交叉验证。就像体检不能只测一项血压就下健康结论，公平也需要多维度的“化验单”。

为何常见：单一指标好算、好解释、好汇报，人们容易为了追求简单而忽略公平本身的多面性。

误区上线前审计报告合格，模型就“毕业”了。很多团队从此不再关注模型状态，直到线上事故爆发才想起来还有监控平台这回事。

正解模型上线后数据漂移、概念漂移随时可能发生，必须靠监控平台持续监测 PSI 等指标并定期触发复审。合规是持续状态，不是一次性事件——体检合格不代表以后不用复诊，ICU 监护仪拔掉前，护士依然要每小时查房。

为何常见：人们习惯把审计理解为“考试”，考过即翻篇，忽视了模型运行环境与训练环境本质不同、且始终在动态变化。

误区开源审计工具不要钱，商业平台都是“智商税”。有的团队出于省钱全上开源，结果运维成本远超预算，出了问题还找不到责任人。

正解开源工具部署、维护、定制都需要人力成本，且缺少厂商兜底与合规背书；商业平台提供开箱即用的合规模板、SLA 与专家支持。选型应综合团队规模、合规压力与总拥有成本来决策，如同体检中心要权衡自购仪器还是外包第三方检测。

为何常见：决策者只看到显性的采购费用为零，忽略了隐性的运维工时、故障风险与合规追责成本。

面试题

Q1. AI 审计工具链的核心目标是什么？

单选题 · easy

  • A.提升模型推理速度
  • B.评估系统风险与合规性← 正确答案
  • C.降低模型训练成本
  • D.增加模型参数量

答案：B。审计工具链好比体检中心，目标不是让患者跑得更快，而是全面评估健康风险与合规状态。A 属于性能优化目标，C 是成本问题，D 是模型设计问题，都与“审计”无关。

Q2. 对抗样本测试主要检验模型的哪项能力？

单选题 · easy

  • A.抵抗恶意输入欺骗← 正确答案
  • B.提升运算吞吐性能
  • C.压缩存储占用空间
  • D.简化数据标注流程

答案：A。对抗样本测试像往模型身上射“暗箭”，检验它在恶意输入下会不会摔倒。A 才是正确描述；B 是性能优化，C 是模型压缩，D 是数据工程，均不是对抗测试的考察点。

Q3. 统计均等差异（SPD）接近哪个值时表示模型更公平？

单选题 · mid

  • A.数值趋近于 1
  • B.数值趋近于 -1
  • C.数值趋近于 0← 正确答案
  • D.数值趋近于无穷

答案：C。SPD 是两组正预测率之差，像天平两端的高度差，越接近 0 说明越平。接近 ±1 表示严重偏向某一群体，无穷大更是异常读数，因此选 C。

Q4. SHAP 工具输出的核心结果是什么？

单选题 · mid

  • A.每个特征对预测的贡献值← 正确答案
  • B.模型训练的最优学习率
  • C.训练数据集的样本个数
  • D.模型推理的平均延迟

答案：A。SHAP 基于 Shapley 值把预测结果“分摊”给每个特征，像 X 光片指出病灶位置。学习率、样本数、延迟分别属于训练、数据与性能指标，SHAP 不输出这些。

Q5. PSI 超过哪个阈值通常提示模型分布严重漂移？

单选题 · mid

  • A.0.01 即可判定为严重漂移
  • B.0.10 左右提示存在轻度漂移
  • C.0.25 以上通常视为严重漂移← 正确答案
  • D.0.50 以上才需要开始关注

答案：C。PSI 像血压读数，业界约定 0.1 以下稳定、0.1 到 0.25 轻度漂移、0.25 以上严重。0.01 太敏感会天天误报，0.50 太迟钝会错过干预时机，所以选 C。

Q6. 数据合规扫描器中的“召回率”衡量什么？

单选题 · mid

  • A.检出敏感信息中真实占比
  • B.真实敏感信息被检出的比例← 正确答案
  • C.被标注样本占全体样本比例
  • D.扫描耗时的倒数数值大小

答案：B。召回率 = TP / (TP + FN)，即真实敏感信息中被检出的比例，像渔网捞鱼——网眼越小，漏掉的鱼越少。A 描述的是精确率，C 是标注覆盖率，D 是性能指标，均不符合。

Q7. 下列哪些属于可解释性工具？

多选题 · mid

  • A.SHAP 特征归因← 正确答案
  • B.LIME 局部代理← 正确答案
  • C.AIF360 公平修复
  • D.Evidently 漂移检测

答案：AB。SHAP 和 LIME 都回答“模型为什么这么判断”，一个做全局归因、一个做局部近似，属于 X 光科室。AIF360 是公平性检测工具，Evidently 是模型监控平台，分管不同科室，不选。

Q8. 鲁棒性公式 1 - N_success / N_total 中，鲁棒性越接近 1 表示什么？

单选题 · hard

  • A.攻击样本构造越成功
  • B.模型抵抗攻击能力越强← 正确答案
  • C.训练数据质量变得越差
  • D.推理速度随之变得越快

答案：B。鲁棒性等于 1 减去攻击成功率，越接近 1 说明暗箭几乎全被挡下，模型抗攻击能力越强。A 说反了，C 和 D 与鲁棒性无关。这就像疫苗保护率越高，人越不容易被感染。

Q9. 构建 AI 审计工具链时，编排层应重点考虑哪些因素？

多选题 · hard

  • A.工具间接口与流水线集成← 正确答案
  • B.开源与商业工具选型← 正确答案
  • C.审计步骤嵌入 CI/CD← 正确答案
  • D.模型参数量和神经网络层数

答案：ABC。工具链编排像导诊总台，要把仪器串成流水线、决定采购方案，并把审计步骤嵌入日常发布流程。模型参数量是模型设计问题，与编排无关，故不选 D。

Q10. 关于审计报告生成与存证，下列说法正确的有？

多选题 · extreme

  • A.自动汇总各环节检查证据← 正确答案
  • B.按模板输出结构化的报告← 正确答案
  • C.用加权评分模型定风险等级← 正确答案
  • D.完全替代人工审计判断

答案：ABC。报告生成工具自动收集证据、套用模板、按加权评分定风险等级，像总检医生汇总各科室结论。但最终判断仍需人工复核与签名，D 说“完全替代”过于绝对，正是常见误区。