模型風險與法遵

1. 1. 逐查詢的證據鏈

   MCP今天就能做

   每一次 MCP 查詢有一個 query_id,replay 會取回當時實際送出的位元組並附雜湊。狀態分三種:found、too_large(有送出但超過大小上限,雜湊仍具權威性,你手上的副本仍可驗)、not_found(從未記錄或已淘汰,該引用無法解析)。

2. 2. 獨立驗證,三態回報

   檔案今天就能做

   驗證器在你的環境跑,回報 PASS / FAIL / UNPROVEN 三種結果,並且把「簽章有效」與「內容為真」分開講——前者能證,後者不能。

3. 3. 資料本身沒有個資,也沒有內線資訊

   網站今天就能做

   全部來自官方公開揭露,所以隱私面的審查很輕。集保的持股分佈是聚合分佈,不是個人層級資料。

4. 4. 自評問卷

   網站今天就能做

   CAIQ 與 SIG-Lite 的自評內容已公開在信任中心,可直接取用。

5. 5. 一鍵匯出證據包

   尚未提供

   把某個期間的收據、attestation、datasheet 與涵蓋歷史一次匯出,附上條文對照表。

   尚未提供。

6. 6. 第三方稽核與滲透測試

   尚未提供

   SOC 2、ISO 27001 與第三方滲透測試。

   一項都還沒有,現況照實列在信任中心的三態狀態板上。SLA 與 DPA 範本也還在草擬。

這份指南的邊界

我們提供的是資料層的證據。模型與推理層的治理——提示詞、權重、輸出審查——在你那邊,不在我們的範圍內,任何聲稱能一併涵蓋的供應商都值得追問。

其他角色的指南

• 量化研究 — 把 TWMD 接進研究環境,而且回測不會看到未來。
• 資料平台 — 把 TWMD 當成一個有血緣、有文件、可驗證的上游來源。
• AI / Agent 團隊 — 讓 agent 拿到的每個數字可溯源、可驗證,而且不知道的時候會說不知道。

證明機制如何對應到已發布的標準,見標準與相容性。