AI 框架對映
覆蓋 5 項標準，
依據您自身的活動評分。

美國 AI 風險領域的參考詞彙，也是大多數企業風險團隊已在內部採用的框架。它將 AI 風險劃分為四項職能——Govern、Map、Measure、Manage——並考察組織能否證明自己做到了每一項，而不是規定具體技術。

Govern 和 Map 由登記冊提供證據：具備草稿 → 評審 → 已釋出生命週期的策略集、實行職責分離的控制措施，以及記錄預期用途和風險等級的 AI 用例與智慧體。Measure 由每夜倫理與偏見執行（MEASURE 2.1）和 Project Moonshot 紅隊執行（MEASURE 2.7）提供證據。Manage 則對應違規處理流水線和複核佇列。

本組框架中唯一可認證的標準。它是與 ISO 27001 同屬一個系列的管理體系標準：要求您規劃 AI 風險、配置資源、執行控制措施、評估績效並持續改進——並期望每一環節都有書面證據，由認可的認證機構稽核。

Obiguard 生成 ISO/IEC 42001 稽核員所需的執行證據，但不頒發證書。第 6 條的規劃對應帶風險等級的控制措施和準則；第 8 條的執行對應在閘道器執行的策略集；第 9 條的績效評價對應儀表盤和審計日誌；第 10 條的改進對應複核佇列以及每項違規背後的處理記錄。

它根本不是合規標準，而是安全行業共同整理的清單，列出 LLM 應用實際上是如何被攻破的——提示注入、敏感資訊洩露、過度自主、系統提示洩露、虛假資訊、無限制消耗。您的滲透測試人員和客戶的安全問卷都會引用這一框架。

這是最直接對應產品機制而非文書工作的框架。護欄準則在閘道器處應對 LLM01 提示注入和 LLM02 敏感資訊洩露；智慧體和工具範圍限定應對 LLM06 過度自主；Moonshot 越獄測試方案可單獨執行，以檢驗這些防禦是否有效，但這些執行不計入覆蓋率。

馬來西亞保護 AI 系統的國家框架，由 NACSA 釋出。NIST 按風險職能組織，AISCF 則按生命週期組織：啟動、設計與開發、驗證與確認、部署、執行與監測、持續確認與重新評估，以及退役。每個階段都有具體的安全活動——共 42 項——並且明確以風險為基礎，因此所期望的深度隨系統風險而調整。

Obiguard 深度覆蓋生命週期的執行端，而設計端僅在平台持有記錄之處覆蓋。執行與監測對應護欄執行、儀表盤和審計日誌；驗證與確認以及持續確認僅部分覆蓋，因為定期漏洞掃描和滲透測試尚非產品功能；部署對應限定範圍的訪問金鑰和提示詞版本審批。啟動與退役活動——需求定義、資料處置、模型退役——屬於組織層面的步驟，Obiguard 負責記錄而非執行。

新加坡為可信生成式 AI 生態系統制定的基線，由 IMDA 和 AI Verify Foundation 釋出——後者正是 Project Moonshot 背後的基金會。它刻意比安全標準更寬泛：九個維度涵蓋問責、資料、可信開發與部署、事件報告、測試與保證、安全、內容溯源、安全與對齊研究，以及 AI 公益。

九個維度中有四個——測試與保證、內容溯源、安全與對齊研發、AI 公益——屬於面向模型開發者、測試機構和政策制定者的生態系統層面承諾，部署方平台無法為其取證，因此總體評分在設計上封頂為 56%。請檢視各維度的詳細資訊，而不是儀表讀數。在部署方可取證的五個維度中，安全最為強勁：護欄準則篩查 GenAI 特有的威脅向量，策略集在閘道器處執行，訪問金鑰限定暴露範圍。問責則依靠控制措施中的職責分離和審計日誌中的完整歸屬記錄。