LLM供应商风险评估器

解决什么问题

团队在引入外部大模型供应商时，常面对一堆合同条款、控制台文档和模型说明：数据会不会被用于训练？数据住哪里？删除是否真的可验证？供应商是否允许迁移或降级？这些问题如果只凭官网声明或销售承诺判断，容易在上线后变成合规、可用性和成本事故。这个技能面向工程与架构评审场景，帮助把模糊风险转成可核对的证据项。

如何评估

它不直接替你签合同，而是按证据链梳理供应商风险：

• 先定义边界：识别数据等级、司法辖区、用户范围、业务关键性与必需认证。
• 审查数据条款：核对保留、训练用途、删除、子处理者、数据驻留、加密、访问控制和事件响应约定。
• 检查工程控制：验证认证、密钥范围、审计日志、滥用控制、限流、历史故障和支持机制。
• 评估稳定性与迁移：关注模型/版本稳定性、废弃通知、导出、API 可移植性和备用方案。
• 量化商业约束：分析定价变化、最低承诺、出口流量费用和切换成本。
• 要求证据归属：对每个关键控制项记录证据日期与负责人，区分已核实事实、厂商声明、假设和未知项。

输出与边界

最终输出风险登记册，包含可能性、影响、证据、负责人、缓解措施、残余风险以及 go/no-go 条件。它适合作为技术评审和选型输入，不等同于法律意见；营销文本不能当作独立保证，涉及合规结论仍需法务参与。