先给结论：治理把能力看成训练算力和数据的函数，于是卡训练规模、在发布前评一次模型。涨幅越来越不来自更大的权重：测试时多给算力让它想更久；发布后加外壳、检索和工具；再接上只有内部才有的数据和接口。权重没动，能干的事已经换了一档。只给模型发证，证会在外壳和资产换代时过期。要叠系统、主体、代理和云这几层，并承认社会还得能在失灵时扛住。

为什么「训练过线就评一次」会把真正上线的系统看丢

痛点是把「模型」当成能力的容器。容器还在，内容已经被三股非模型增益改写。推理增益：同一套权重，测试时花更多计算，分步想、多采样再挑，能力会明显上一个台阶。系统增益：外壳、提示链、工具、检索、记忆，把模型嵌进能行动的系统。资产增益：接上受限的内部数据、专用接口、未公开的评测集或权限，门槛外的人即使用同一公开模型也拼不出这套组合。

后面还有身体、持续学习和扩散。模型一旦能持续改自己、能驱动物理执行器、能被广泛改装，发布前那一次快照更不能代表现场。风险管理若还钉在「部署前评模型、部署前打补丁」，会漏掉部署后才长出来的能力。

五步把治理从「给权重发证」改成「给会涨的系统发证」

1. 把非模型增益写成三类账，禁止混成一句「后训练」。推理、系统、资产，机制不同，该管的位置不同。混在一起，阈值会继续只打训练。
2. 评测必须带上线配置。允许的推理预算、外壳版本、可调用工具、可访问资产，写进同一张清单。清单外的组合视为未评测，未评测不得当已放行。
3. 系统层：给整条产品发证，而不是只给权重。外壳一换就要复评高伤害能力。工具新增一种，就新增一种攻击面。
4. 主体层和代理层：谁有权把资产接上去、谁在跑长程代理、内部代理的权限如何升级，要有主体规则。云层：大额推理和训练一样可被看见，因为推理增益会把同样的风险从训练侧挪到运行侧。
5. 社会韧性作为底。治理层会漏。关键服务要能在代理失效、被劫持、被加了不该加的资产时降级，而不是假设证还有效。

训练阈值不是废物。它仍能抓住「少数堆大规模训练」的那一截。它不是上限。同一套过线模型，接上内部工单系统、代码仓库和未过滤的网络，危害面已经不是评测当时的聊天机器人。证若只写权重哈希，等于给发动机发证、不给整车发证。

现场有三条。其一，推理增益会让「小模型无害」失效。想得足够久的小模型，在某些任务上能追上曾经的大模型。治理若只看训练量，会把危险组合放行，把无害的大训练误伤。其二，外壳往往由下游改。基础模型商评完，应用商再套一层代理。监管若只盯基础模型商，增益发生在视线外。下游也要进范围，至少高伤害工具链要进。其三，资产增益是不对称的。内部数据让同一模型对内部人远更强。内部部署的监控和权限，因此不能照搬对外产品的那一套。

四层治理要能对话。系统层管组合，主体层管谁有权组合，代理层管长程行动，云层管算力在训练和推理两端的可见性。一层包打天下，会在另外三层涨能力时沉默。

度量三件事：上线配置和评测配置是否同一张清单、外壳或资产变更后多久复评、大额推理是否像训练一样可被点名。三件对不上，能力账就还在按权重做假账。

结论：发证发给会上线的那一套，不是发给仓库里的权重文件

推理、外壳、受限资产会在权重不动时改写能力。训练阈值只是下限。系统、主体、代理、云要叠上去，社会还得能降级。仍只在发布前给模型盖章，章会在第一次加工具时作废。

你下周只改一处发布单：把推理预算、外壳版本、工具列表、资产权限写成四列，缺一列不准上线。上线后再加列，就再走评测。加列却不评，就是在用旧章给新车上路。

现场还要防口号替换验收。把「我们已经治理了」写成周报标题，不等于动作能归因、算力能看见、日志能升级、能力能按系统而不是按权重来管。周报可以写，门禁必须绑在仓库和发布单上。谁负责标准、谁负责质量下限、谁负责改某一条、谁有权反馈，四件事写在同一张责任表，不要散落在聊天里。

若只能改流程一处：先把「模型过线了」从唯一成功标准里拿掉。过线可以记，交接、监测和外壳跟不上就算事故。事故表会逼出协议和披露。庆祝会只会再开一次发布会。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源