引言：政府 AI 采购的确定性要求
安大略数字服务（Ontario Digital Service）在为 1500 万公民提供 COVID-19 工具、数字 ID 等关键服务的过程中，面临着一个看似简单却极具挑战性的问题：如何采购 "足够安全" 的大型语言模型（LLM）。根据公开讨论，该机构评估了多个 LLM 系统以改进公共服务，但最终无法完成采购 —— 不是因为技术能力不足，而是因为责任边界的不确定性。
正如一位参与者在 Hacker News 上所述："我们无法向决策者证明 ' 模型可能不会违反隐私法规 '，他们需要的是 ' 这个系统不能做 X' 的确定性辩护。" 这一困境揭示了政府 AI 采购的核心矛盾：在医疗、金融、政务等高风险领域，"98% 安全" 实际上意味着 "0% 可部署"。
技术合规挑战：从概率安全到确定性安全
1. 概率模型的合规困境
当前主流 LLM 的安全保障大多基于概率性控制：通过提示工程、微调、RLHF 等技术手段，将模型 "越界" 的概率降低到可接受水平。然而，对于政府机构而言，这种概率性保障存在根本性缺陷：
- 责任不可追溯：当模型以 2% 的概率产生违规输出时，谁为这 2% 负责？
- 审计不可验证：如何向审计机构证明 "98% 安全" 的统计有效性？
- 法规不兼容：安大略省《负责任使用人工智能指令》要求 AI 系统必须 "可靠且有效"，而概率性安全难以满足这一确定性要求。
2. 安大略省的法规框架
安大略省建立了相对完善的人工智能治理框架：
- 《数字和数据指令 2021》：要求所有数字服务必须可扩展、可互操作、安全、可访问且开放
- 《负责任使用人工智能指令》：明确要求 AI 系统必须安全、可靠、有效，并保持持续的人类监督
- AI 风险管理流程：要求各部门在使用 AI 系统前进行风险评估，确定风险等级并实施相应控制措施
这些法规共同构成了一个确定性合规要求的体系，与 LLM 的概率性安全特性形成直接冲突。
风险评估框架：工程化实现路径
1. 处方垫模式（Prescription Pad Pattern）
安大略数字服务团队提出的解决方案是 "处方垫模式"，其核心思想是：将权限边界视为持久状态，通过机械过滤工具来确保安全。
技术实现要点：
- 工具可见性控制：不指示模型避免禁止操作，而是物理移除执行这些操作所需的工具
- 权限边界持久化：将用户权限状态作为系统持久状态的一部分，而非临时会话属性
- 机械过滤机制：在 API 调用层实施硬性权限检查，而非依赖模型自我约束
2. 三层安全架构
基于处方垫模式，可以构建三层安全架构：
第一层：工具级权限控制
# 权限边界检查示例
class AuthorityBoundaryLedger:
def __init__(self, user_id, session_context):
self.permissions = self.load_permissions(user_id)
self.available_tools = self.filter_tools_by_permission()
def filter_tools_by_permission(self):
# 根据用户权限过滤可用工具
return [tool for tool in ALL_TOOLS
if tool.required_permission in self.permissions]
第二层：输出验证层
- 实时内容安全检查（敏感信息过滤）
- 事实核查与引用验证
- 合规性审计日志记录
第三层：人工监督回路
- 高风险操作强制人工审批
- 异常检测与自动上报
- 定期合规性审查
3. 风险评估参数化
为满足安大略省 AI 风险管理要求，需要将风险评估参数化：
| 风险维度 | 评估指标 | 阈值参数 | 监控频率 |
|---|---|---|---|
| 隐私泄露风险 | PII 检测率 | < 0.1% | 实时 |
| 合规违规风险 | 法规违反次数 | 0 | 每日 |
| 系统可靠性 | 服务可用性 | > 99.9% | 每分钟 |
| 输出准确性 | 事实错误率 | < 1% | 每 1000 次调用 |
安全标准工程实现
1. 确定性安全的技术实现
硬件级隔离：
- 使用专用安全芯片（如 TPM）存储权限密钥
- 实施内存隔离防止越权访问
- 网络层流量加密与完整性验证
软件级控制：
# 安全配置示例
security:
boundary_enforcement:
mode: "hard" # 硬性边界，非概率性
audit_logging: true
realtime_monitoring: true
tool_permissions:
healthcare_diagnosis:
required_license: "medical_practitioner"
approval_workflow: "mandatory_human_review"
financial_transfer:
required_role: "authorized_officer"
max_amount: 10000
daily_limit: 50000
2. 合规性验证框架
自动化合规测试：
- 法规要求到测试用例的映射
- 持续集成中的合规性检查
- 第三方审计接口标准化
可验证的安全证明：
- 零知识证明用于隐私保护验证
- 形式化验证关键安全属性
- 可重复的审计轨迹
3. 监控与告警参数
关键监控指标与告警阈值：
-
权限边界违反：
- 检测到：立即阻断并告警
- 响应时间：< 1 秒
- 恢复策略：自动回滚到安全状态
-
数据泄露风险：
- PII 泄露检测：实时阻断
- 误报率：< 0.01%
- 漏报率：< 0.001%
-
系统性能降级：
- 延迟增加：> 50% 时告警
- 成功率下降：< 99% 时告警
- 自动扩容阈值：CPU > 80% 持续 5 分钟
可落地的实施清单
1. 采购前评估清单
技术合规性检查：
- 是否支持硬件级安全隔离
- 是否提供确定性权限边界控制
- 是否具备完整的审计日志能力
- 是否支持第三方合规验证
- 是否提供形式化安全证明
法规符合性验证：
- 符合安大略省《负责任使用人工智能指令》
- 满足《数字和数据指令 2021》要求
- 支持 AI 风险管理流程集成
- 提供人类监督接口
- 具备数据隐私保护机制
2. 部署配置参数
安全边界配置：
{
"authority_boundaries": {
"enforcement_mode": "strict",
"fallback_action": "deny",
"audit_level": "detailed",
"retention_period_days": 365
},
"tool_restrictions": {
"healthcare": ["diagnosis", "prescription"],
"financial": ["transfer", "investment_advice"],
"legal": ["legal_advice", "contract_generation"]
}
}
监控配置：
- 实时监控采样率：100%
- 审计日志保留：至少 7 年（医疗数据要求）
- 异常检测灵敏度：高（政府服务标准）
- 告警响应 SLA：5 分钟内人工确认
3. 运维与维护参数
定期审查周期：
- 安全策略审查：每季度
- 权限边界验证：每月
- 合规性审计：每半年
- 第三方安全评估：每年
应急响应参数：
- 安全事件响应时间：< 15 分钟
- 系统恢复时间目标（RTO）：< 1 小时
- 数据恢复点目标（RPO）：< 5 分钟
- 业务连续性测试频率：每季度
结论：从采购障碍到技术标准
安大略数字服务的 LLM 采购困境并非孤例，而是反映了政府 AI 应用面临的普遍挑战。解决这一问题的关键不在于寻找 "更安全" 的模型，而在于重新定义安全标准—— 从概率性安全转向确定性安全，从模型自我约束转向系统级权限控制。
处方垫模式提供了一个可行的技术路径，但其成功实施需要：
- 技术标准的统一：建立政府 AI 采购的确定性安全标准
- 工程实践的成熟：开发支持硬性权限边界的技术栈
- 法规框架的适配：调整现有法规以适应 AI 系统的特性
- 生态系统的协作：供应商、集成商、监管机构共同参与
最终，安大略数字服务的经验表明：在政府 AI 采购中，"98% 安全" 不仅是技术问题，更是责任分配、法规合规和公众信任的系统性问题。只有通过工程化的确定性安全实现，才能真正跨越从 "可能安全" 到 "确实安全" 的鸿沟。
资料来源
- Hacker News 讨论："Why Ontario Digital Service couldn't procure '98% safe' LLMs (15M Canadians)" - 2026 年 1 月 12 日
- 安大略省政府：《负责任使用人工智能指令》- 2025 年 4 月 14 日
- 安大略省政府：《数字和数据指令 2021》- 2021 年 1 月 29 日
- 安大略省政府：《数字服务标准》- 2021 年 1 月 29 日