---
title: AVERI 成立并提出前沿 AI 审计的四个保障等级
dek: AI Verification and Evaluation Research Institute（AVERI）于 2026 年 1 月 15 日成立，同时发布了一篇 48 位作者联名的论文，探讨对前沿 AI 开发者的第三方审计。论文提出的四个 AI 保障等级用于衡量一项审计能提供多大的可信度，最低一级的审计在很大程度上依赖公司自己的说法。
---

据 Fortune 报道，OpenAI 前政策研究员 Miles Brundage 于 2026 年 1 月 15 日正式宣布成立 AI Verification and Evaluation Research Institute（AVERI）。[^3]AVERI 是美国的一家非营利机构，倡导对前沿 AI 开发者（开发能力最强的 AI 系统的公司）开展外部审计。它目前还在制定审计标准。[^1, 3]机构成立之际，Brundage 与 47 位合著者发表了一篇论文。[^2, 3]论文将前沿 AI 审计定义为：由第三方严格核实开发者的安全与安保声明，并依据相关标准评估其系统和做法。按照这一定义，审计建立在深入、安全地访问非公开信息的基础上。[^1]

论文提出四个 AI 保障等级（AAL），用来说明一项审计的结论能提供多大程度的可信度。[^1]AAL-1 审计覆盖单个系统，通常历时数周，审计方仍在很大程度上依赖公司自己的说法。AAL-2 审计历时数月，增加了灰盒系统访问，即可以部分访问系统内部。它还增加了安全论证（safety case）等内部文件，以及对多个职能部门员工的访谈。AAL-2 采用的方法包括抽样复现内部评测，以及构建模型的统计特征，以确认受审模型与实际部署的模型相符。[^2]两个更高的等级进一步增加白盒访问（可以检查模型权重等内部信息）和范围更广的持续监测。AAL-4 还力求发现主动欺骗，所用工具包括篡改可检测日志和基于硬件的远程证明。在这种远程证明中，芯片会签署证据，说明自身的身份、配置和运行状态。[^2]

作者建议以 AAL-1 作为前沿 AI 的基准，并把 AAL-2 作为最先进开发者的近期目标。他们表示，AAL-3 和 AAL-4 目前在技术上和组织上都还不可行。[^1]论文指出，要让这两个等级变得可行，需要克服三项挑战：确认审计方获得了完整的信息，做到持续监测，以及让审计方在不泄露敏感信息的前提下检查这些信息。论文列出的研究重点包括训练证明（proof-of-training）技术、变更检测基础设施和模型指纹识别。[^2]

:::analysis
这套等级明确了审计结果以什么为依据。在 AAL-1 级别，审计方主要依赖公司自己的说法，所以如果不注明等级，“经过审计”这个说法对读者来说并没有多少信息量。这一框架还为验证研究在审计实践中划定了明确的位置，因为作者呼吁开展这类研究，让更高的等级变得可行。他们列出的技术就包括训练证明和模型指纹识别。
:::

:::checked
我们于 2026 年 10 月 20 日阅读了 AVERI 的论文页面、arXiv 上该论文的第 4 版（修订于 2026 年 2 月 7 日），以及 Fortune 于 2026 年 1 月 15 日发表的报道。上文关于各等级的细节均来自这一 arXiv 版本。我们没有审阅任何依据该框架开展的审计，也不自行测试任何系统。
:::