# AI-CAIQ v1.1.0 对照：本次证据包 生成时间：2026-09-18T07:42:01.125Z　工具：agentgate 0.2.5 索引快照：2026-09-18T04:17:45.595Z　扫描器：192046f　记录数：2055 本次共 58 条：13 条我们出证据（测到 0、部分测到 13、没测到 0），45 条不是我们。 **没有测到的条目不算答过。** 每条下面的「本次依据」是这次生成时真正读到的条目；「本次未覆盖」是没读到或没跑成的部分。 ## STA ### STA-01.1　供应链风险管理的策略与流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：策略文件本身不是我们写的；我们能提供工具层的可执行判定（策略文件加 CI 退出码）作为流程执行的证据之一。 - 边界：流程的建立、批准与沟通在你们内部系统里。 - 本次依据：（无） ### STA-01.2　供应链策略的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：工具层的变化摘要可以当作复审的输入材料。 - 边界：复审的会议、结论与签署是你们的。 - 本次依据：（无） ### STA-02.1　共享安全责任模型（SSRM）的策略与流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能给出工具层的责任归属列（我们出证据 / 你们自证 / 第三方），作为 SSRM 里工具这一层的输入。 - 边界：SSRM 的划分原则与签署是你们的。 - 本次依据：（无） ### STA-02.2　SSRM 策略的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：归属列随每次采集重算，可以对照出这一层有没有变化。 - 边界：SSRM 文档的复审记录不在我们这里。 - 本次依据：（无） ### STA-03.1　SSRM 在整条供应链上的应用与文档化 - 归属：你们自证　本次状态：不是我们 - 我们能给：只覆盖公开可查的工具与包这一层。 - 边界：整条供应链（人、合同、子处理方）的 SSRM 应用是你们的。 - 本次依据：（无） ### STA-04.1　向客户提供 SSRM 指引 - 归属：你们自证　本次状态：不是我们 - 我们能给：证据包可以直接作为指引的工具层附件转给你们的客户。 - 边界：指引正文与适用范围由你们写。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：tool-identity：1 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。）；exact-version：2 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。；需要你实际使用的精确版本；空值、latest 或版本范围都不能用于证据匹配。） ### STA-05.1　AICM 控制的共享归属划分 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们对四个域逐条标了归属与边界，工具层这部分可以直接引用。 - 边界：全部控制的归属划分是你们的责任矩阵。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：coverage-accounting：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### STA-06.1　SSRM 文档的复审与验证 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能提供材料清单与逐条来源，供你们的验证方使用。 - 边界：验证这件事由你们或第三方做。 - 本次依据：（无） ### STA-07.1　自己负责范围内的供应链风险管理 - 归属：我们出证据　本次状态：部分测到 - 我们能给：每条结论标注来源与覆盖范围；没覆盖的证据块标为未测到并说明原因。 - 边界：不替你评价内部流程本身。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：tool-identity：1 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。）；coverage-accounting：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### STA-08.1　整条供应链关系的清单 - 归属：我们出证据　本次状态：部分测到 - 我们能给：清单逐条匹配公开记录；匹配不上、版本冲突、证据不足的原样列出，不当作通过。 - 边界：只覆盖公开可查的那部分供应链。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：tool-identity：1 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。）；exact-version：2 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。；需要你实际使用的精确版本；空值、latest 或版本范围都不能用于证据匹配。） ### STA-09.1　供应链物料清单（工具 / agent 层） - 归属：我们出证据　本次状态：部分测到 - 我们能给：在用工具的清单加逐条公开证据：包名、精确版本、来源、内容 SHA-256。 - 边界：不含模型层。模型层的材料要你们自己补，报告里会写明这一块未覆盖。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：tool-identity：1 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。）；exact-version：2 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。；需要你实际使用的精确版本；空值、latest 或版本范围都不能用于证据匹配。）；content-digest：1 条未覆盖（这一条的证据块里没有内容哈希或没有写明覆盖范围） ### STA-09.2　物料清单的定期复审与更新 - 归属：我们出证据　本次状态：部分测到 - 我们能给：每天采集；版本没变但证据变了的部分单独列出；每次归档都留下可比较的记录。 - 边界：你们内部那次复审的会议记录不在我们这里。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它）；archive-integrity：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### STA-10.1　供应链风险的定期复审 - 归属：我们出证据　本次状态：部分测到 - 我们能给：每日快照与变更；高危发现的人工复核基线（谁读过、对哪个版本）。 - 边界：风险接受与否是你们的决定，不是我们的输出。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它）；archive-integrity：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### STA-11.1　服务协议应包含的条款 - 归属：你们自证　本次状态：不是我们 - 我们能给：这份清单里「日志与监控能力」「变更管理」「审计权」几项，我们可以提供工具层的证据供你们作为协议附件。 - 边界：条款文本、谈判与签署是你们的法务。 - 本次依据：（无） ### STA-12.1　供应链协议的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：工具层的变化可以提示哪些协议需要重看，但不替代复审。 - 边界：协议复审是你们的流程。 - 本次依据：（无） ### STA-13.1　内部评估确认标准与流程的一致性 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能提供检查输出与退出码，作为评估时的一个可重复的输入。 - 边界：内部评估本身由你们做。 - 本次依据：（无） ### STA-14.1　要求供应链各方遵守信息安全与保密要求 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能说明我们这一侧做了什么、没做什么，供你们转述。 - 边界：对上游的要求与举证是你们的合同工作。 - 本次依据：（无） ### STA-15.1　服务提供方治理策略的复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们的公开来源与免责边界随时可查。 - 边界：你们对服务提供方的治理复审不是我们的输出。 - 本次依据：（无） ### STA-16.1　基于风险的供应链安全评估 - 归属：我们出证据　本次状态：部分测到 - 我们能给：变更记录与复核基线，供你们的评估引用。 - 边界：评估方法与风险等级由你们定。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：package-metadata：1 条未覆盖（没有包元数据检查记录（这项不是包形态，或索引里这一块未测到））；content-digest：1 条未覆盖（这一条的证据块里没有内容哈希或没有写明覆盖范围） ## CCC ### CCC-01.1　变更风险管理的策略与流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：策略文件（required / forbidden / pinned）是一种可执行的变更规则，可被你们引用。 - 边界：策略的批准与适用范围是你们的。 - 本次依据：（无） ### CCC-01.2　变更策略的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：规则命中与证据变化可以作为复审的输入。 - 边界：复审记录在你们那里。 - 本次依据：（无） ### CCC-02.1　变更控制、批准与测试流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：工具层的版本固定与基线比较可以作为发布门禁的一部分。 - 边界：测试标准与批准流在你们内部。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…） - 本次未覆盖：exact-version：2 条未覆盖（当前索引中没有找到对应工具；这不表示工具安全或不存在。；需要你实际使用的精确版本；空值、latest 或版本范围都不能用于证据匹配。） ### CCC-03.1　变更管理程序的实施 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能给出工具层变更的可核记录，供程序引用。 - 边界：程序本身的实施证据在你们的系统里。 - 本次依据：（无） ### CCC-04.1　资产新增 / 移除 / 更新的授权程序 - 归属：你们自证　本次状态：不是我们 - 我们能给：策略文件（required / forbidden / pinned）加 CI 退出码：不合规的合不进去。 - 边界：审批流本身在你们的内部系统里，我们只提供可执行的判定与记录。 - 本次依据：（无） ### CCC-05.1　限制影响客户租户的变更 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们的检查只读公开材料，不进入你们的租户环境。 - 边界：租户环境里的变更控制是你们的。 - 本次依据：（无） ### CCC-06.1　变更基线的维护 - 归属：我们出证据　本次状态：部分测到 - 我们能给：每次归档加差异比较；版本没变但内容变了的情况单独标注。 - 边界：你们部署环境的基线不在我们这里。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它）；content-digest：1 条未覆盖（这一条的证据块里没有内容哈希或没有写明覆盖范围） ### CCC-06.2　偏离基线时的发现 - 归属：我们出证据　本次状态：部分测到 - 我们能给：变更检测；未测到的部分照样列出，不会被算成没有偏离。 - 边界：发现之后的处置是你们的流程。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它）；archive-integrity：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### CCC-07.1　变更通知 - 归属：我们出证据　本次状态：部分测到 - 我们能给：变更摘要，可在显式指定后推送到企业微信 / 飞书 / Slack。 - 边界：通知渠道与接收人由你们决定；不指定 webhook 就不会发出任何请求。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### CCC-08.1　例外与紧急变更的管理 - 归属：你们自证　本次状态：不是我们 - 我们能给：例外本身不该被自动放行：我们的检查不提供静默豁免。 - 边界：例外的审批与记录在你们那里。 - 本次依据：（无） ### CCC-09.1　回滚到已知良好状态 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能指出哪个版本对应哪份证据，便于你们确定回滚目标。 - 边界：回滚操作与演练是你们的。 - 本次依据：（无） ## LOG ### LOG-01.1　日志与监控的策略和流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们记录自己做了什么：采集时间、内容摘要、匹配结果、与上次的差异。 - 边界：你们自己的日志与监控策略不是我们写的。 - 本次依据：（无） ### LOG-01.2　日志策略的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们的记录格式与范围是公开的，可直接引用。 - 边界：复审与批准在你们那里。 - 本次依据：（无） ### LOG-02.1　审计日志的安全与留存 - 归属：我们出证据　本次状态：部分测到 - 我们能给：只追加的归档（每行带上一行哈希）加公开的历史页与异地镜像。 - 边界：不覆盖模型输入输出的日志。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：archive-integrity：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### LOG-03.1　安全相关事件的识别与监控 - 归属：我们出证据　本次状态：部分测到 - 我们能给：规则命中加变更检测，作为事件来源之一。 - 边界：事件响应流程是你们的。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：package-metadata：1 条未覆盖（没有包元数据检查记录（这项不是包形态，或索引里这一块未测到））；change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### LOG-03.2　基于安全事件的告警 - 归属：你们自证　本次状态：不是我们 - 我们能给：变更摘要可以在你们显式配置后作为告警来源之一。 - 边界：告警阈值、接收人与处置是你们的。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### LOG-04.1　审计日志的访问限制与访问记录 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们保证改动可被发现，不保证谁能读。 - 边界：访问控制与访问日志在你们那一侧。 - 本次依据：（无） ### LOG-05.1　关联与监控审计日志以发现异常 - 归属：你们自证　本次状态：不是我们 - 我们能给：版本没变而证据变了这类变化，是我们能提供的一类异常信号。 - 边界：跨系统的关联分析不在我们这里。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：change-history：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### LOG-05.2　异常处置流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们给出可复核的原始材料，供你们的处置流程引用。 - 边界：处置动作与时限是你们的。 - 本次依据：（无） ### LOG-06.1　可靠的时间源 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们只提供记录时间与归档顺序，时间源本身不是我们的。 - 边界：全系统统一时间源是你们的基础设施工作。 - 本次依据：（无） ### LOG-07.1　应记录的系统事件元数据 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们记哪些字段、每个字段覆盖什么范围，都在报告里写明，可作为范围定义的参考。 - 边界：你们系统的日志字段范围由你们定。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：scan-execution：1 条未覆盖（这一条没有扫描执行记录，哪些扫描器跑完、哪些没跑成无从判断） ### LOG-07.2　记录范围的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：每次采集的范围与排除项都写在记录里，可直接对照。 - 边界：复审本身是你们的流程。 - 本次依据：（无） ### LOG-08.1　客户侧敏感数据的检出与脱敏 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们不接收也不需要你们的日志内容，因此不产生这类暴露面。 - 边界：你们自己日志里的敏感数据要你们处理。 - 本次依据：（无） ### LOG-09.1　含安全信息的审计记录 - 归属：我们出证据　本次状态：部分测到 - 我们能给：每次采集的记录：时间、内容摘要、匹配结果、与上次的差异。 - 边界：你们内部系统的日志不在我们这里。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：scan-execution：1 条未覆盖（这一条没有扫描执行记录，哪些扫描器跑完、哪些没跑成无从判断）；content-digest：1 条未覆盖（这一条的证据块里没有内容哈希或没有写明覆盖范围） ### LOG-10.1　审计记录防未授权访问、修改、删除 - 归属：我们出证据　本次状态：部分测到 - 我们能给：篡改可检测：重算哈希链，被改过的记录会让校验以非零退出。 - 边界：访问控制本身在你们那边；我们保证的是改动可被发现。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：archive-integrity：1 条未覆盖（这一条没有对上索引记录，这一类的证据覆盖不到它） ### LOG-11.1　加密操作与密钥管理的监控报告 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们不读取、不输出任何凭据或密钥。 - 边界：密钥管理与加密操作的日志是你们的。 - 本次依据：（无） ### LOG-12.1　密钥生命周期事件的日志 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们的输出里永远不出现凭据值。 - 边界：密钥生命周期日志在你们的 KMS 或 HSM 里。 - 本次依据：（无） ### LOG-13.1　物理访问的日志与监控 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们不涉及物理设施。 - 边界：机房与办公区访问记录是你们的。 - 本次依据：（无） ### LOG-14.1　监控系统异常与失败的上报 - 归属：你们自证　本次状态：不是我们 - 我们能给：「哪些扫描器跑完了、哪些没跑成」就在每次的记录里，这是我们能提供的异常来源。 - 边界：上报流程与责任人由你们定。 - 本次依据：tool-1@1.0.1（sha256:f96baf18939d388a…）、tool-2@1.7.1（sha256:e0ad191a713367d8…）、tool-3@1.1.0（sha256:7beed2a2d1b28f7a…）、tool-4@0.2.15（sha256:bbbcba0837cbcdbc…）、tool-5@0.19.0（sha256:297899e8628ef1af…）、tool-6@0.1.1（sha256:96332ef2e4c6896a…）、tool-8@0.1.3（sha256:ea74581311d36c0e…） - 本次未覆盖：scan-execution：1 条未覆盖（这一条没有扫描执行记录，哪些扫描器跑完、哪些没跑成无从判断） ### LOG-14.2　异常与失败的即时通知 - 归属：你们自证　本次状态：不是我们 - 我们能给：报告顶部先写未测到的部分，读的人不会先看到结论。 - 边界：通知的责任人与时限是你们的流程。 - 本次依据：（无） ### LOG-15.1　AI 模型输入事件的日志 - 归属：你们自证　本次状态：不是我们 - 我们能给：这一块我们不覆盖：我们不读模型输入输出，也不把它写进任何交付物。 - 边界：输入事件日志要你们在自己的推理链路上做。 - 本次依据：（无） ### LOG-16.1　AI 模型输出事件的日志 - 归属：你们自证　本次状态：不是我们 - 我们能给：同上：我们的记录不包含模型输出内容。 - 边界：输出事件日志要你们自己做。 - 本次依据：（无） ## A&A ### A&A-01.1　审计与保证的策略和流程 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们能提供可复核的原始材料，供你们的审计流程使用。 - 边界：审计策略本身由你们制定。 - 本次依据：（无） ### A&A-01.2　审计策略的定期复审 - 归属：你们自证　本次状态：不是我们 - 我们能给：我们的方法说明与覆盖范围随时可查。 - 边界：复审记录在你们那里。 - 本次依据：（无） ### A&A-02.1　独立评估 - 归属：第三方　本次状态：不是我们 - 我们能给：每条结论可追到出处，材料可以直接交给评估方。 - 边界：独立评估本身必须由独立的一方做，我们不是。 - 本次依据：（无） ### A&A-03.1　基于风险的审计计划 - 归属：第三方　本次状态：不是我们 - 我们能给：我们提供逐条的来源与未测范围，供评估方排优先级。 - 边界：审计计划的制定与执行不由我们做。 - 本次依据：（无） ### A&A-04.1　合规的验证 - 归属：第三方　本次状态：不是我们 - 我们能给：可核对的证据，供验证方使用。 - 边界：我们不出合规结论，也不替任何人认证。 - 本次依据：（无） ### A&A-05.1　审计管理与审计标准的对齐 - 归属：第三方　本次状态：不是我们 - 我们能给：我们的输出是机器可读的，便于评估方按自己的标准复核。 - 边界：审计管理流程与标准对齐由审计方与你们完成。 - 本次依据：（无） ### A&A-06.1　基于风险的纠正措施计划 - 归属：你们自证　本次状态：不是我们 - 我们能给：发现逐条带规则、级别与原因，可以直接作为整改清单的输入。 - 边界：整改计划、责任人与验收是你们的。 - 本次依据：（无） --- - 只覆盖公开可查的注册表与包记录；自托管、内部发布、未公开的工具不在内。 - 工具层之外的部分（模型层、训练数据、人员、合同）不在本次范围内。 - 这不是合规结论：我们出证据，你们自证，独立评估由第三方做。 - 没有测到的部分不会被算作通过；未测条目数与原因在每份交付物里都写明。