TC260人工智能应用安全分类分级标准深度解读与企业落地指南

POLICYINTERPRETATION·2026TC260人工智能应用安全分类分级标准深度解读《网络安全技术人工智能应用安全分类分级方法》征求意见稿全面解析·企业落地指南·合规实践路径全国网络安全标准化技术委员会·SAC/TC260CONTENTS目录01标准出台背景与意义AI发展挑战·全球治理趋势·政策体系演进02标准总体框架适用范围·总体思路·基本原则03应用安全分类方法场景属性·任务属性·智能化能力04安全风险目录技术应用风险·应用衍生风险·六大风险域05应用安全分级方法影响程度·发生概率·五级映射矩阵06企业落地实施落地流程·风险表构建·全生命周期管理07总结与展望01标准出台背景与意义BACKGROUNDANDSIGNIFICANCECHAPTER01·BACKGROUND人工智能发展与安全挑战并存技术加速渗透，风险同步升级人工智能已从实验室走向大规模商用，深度融入金融、医疗、教育、交通等关键领域。大模型参数规模突破万亿级，智能体具备自主决策与工具调用能力，应用形态从辅助工具演进为自主执行系统。与此同时，安全风险呈现复杂化、系统化特征：数据泄露、算法偏见、内容滥用、系统被攻击劫持等问题频发。AI应用与现实物理系统的深度耦合，更使安全事件可能直接影响生产安全、公共安全乃至国家安全。核心矛盾：传统安全评估聚焦模型参数与技术指标，无法覆盖AI应用在真实业务场景中的系统性风险。企业亟需一套科学的分类分级方法，对不同AI应用实施差异化、精准化的安全管理。CHAPTER01·GLOBALTREND全球AI治理趋势：分类分级成为国际共识欧盟AIAct四级风险分类不可接受风险：禁止使用高风险：严格合规要求有限风险：透明度义务最低风险：自愿行为准则核心思路按应用场景和风险程度实施差异化监管，高风险AI系统需进行合规评估和持续监控。美国行政令与框架基于风险的监管双用途基础模型需报告关键基础设施AI需审查联邦机构使用AI需评估NISTAIRMF风险管理框架核心思路以风险管理为核心，强调开发者、部署者和使用者的分层责任，鼓励行业自律与标准引领。中国治理体系包容审慎分类分级生成式AI服务管理办法算法推荐管理规定深度合成管理规定AI安全治理框架3.0核心思路发展与安全并重，针对不同类型AI应用制定专项规则，逐步构建覆盖全生命周期的治理体系。CHAPTER01·POLICYEVOLUTION中国AI治理政策体系持续完善2022年3月《互联网信息服务算法推荐管理规定》施行2023年8月《生成式人工智能服务管理暂行办法》施行2024年9月《人工智能安全治理框架1.0》发布2025年9月《人工智能安全治理框架2.0》升级发布2026年7月《人工智能应用安全分类分级方法》征求意见治理演进逻辑：从专项算法治理→生成式AI专门立法→安全治理框架→应用安全分类分级标准，逐步形成"法律+框架+标准"多层次治理体系，监管颗粒度从技术类型细化到应用场景与风险等级。CHAPTER01·STANDARDPOSITIONINGTC260标准定位与编制背景标准基本信息标准名称：网络安全技术人工智能应用安全分类分级方法归口单位：全国网络安全标准化技术委员会（SAC/TC260）当前状态：征求意见稿（2026年7月公开征求意见）标准性质：推荐性国家标准（GB/T）主要起草单位中国电子技术标准化研究院浦江国家实验室、北京中关村实验室国家计算机网络应急技术处理协调中心浙江大学、中国政法大学等高校与研究机构编制原则科学性基于风险理论，分类维度与分级要素逻辑严谨实用性明确操作流程，便于按流程判定、按结果复核符合性与网安法、数安法、个保法等法律法规保持一致开放性基础坐标系定位，行业标准可在此基础上细化CHAPTER01·COREPROBLEM标准要解决的核心问题：从模型到应用的视角转换传统评估的局限过去AI安全评估容易集中在模型参数、准确率、幻觉率或是否使用生成式AI，忽视了同一模型在不同业务场景中的安全含义差异。→本标准的思路将分析对象定义为"人工智能应用"，把服务对象、运行环境、业务任务、自动化程度和人工控制能力一起纳入判断。分析对象的四个维度模型能力来源算法、参数、训练数据数据输入与输出训练数据、用户数据、生成内容业务任务与流程应用目的、业务流程、决策边界环境系统与现实运行环境、耦合系统、物理影响02标准总体框架OVERALLFRAMEWORKCHAPTER02·SCOPEANDDEFINITION适用范围与核心概念定义适用范围本标准规定了人工智能应用安全分类分级方法，适用于人工智能应用开发者、运营者在开展人工智能应用安全分类分级活动时使用，也可为网络安全监管部门、第三方评估机构开展相关工作提供参考。核心概念定义人工智能应用在利益相关方场景中运行、使用具有功能特性的人工智能，以实现预期结果的应用。强调场景、运行和预期结果三要素，而非孤立的模型。安全分类分级分类：识别应用涉及的安全风险类型；分级：确定各类风险的安全等级。分类是分级的前提，分级是分类的目的，二者共同构成完整的安全评估。CHAPTER02·OVERALLAPPROACH分类分级总体思路：三步分析法01描述应用分析应用场景属性分析应用任务属性分析智能化能力形成应用画像→02识别风险对照风险清单逐项确认风险类型记录排除项理由形成风险目录→03确定级别评估影响严重程度评估发生概率映射安全级别整体校准定级关键逻辑：先描述应用在哪里运行、做什么、能自主到什么程度，再逐项识别涉及的安全风险类型，最后根据每条风险的影响程度和发生概率确定安全级别。多类风险按就高从严原则确定整体级别。CHAPTER02·PRINCIPLES基本原则与三层分析框架分析层文件关注的问题形成的结果分类应用处于什么场景，执行什么任务，具有什么智能化能力应用涉及哪些风险类型分级每类风险发生的可能性有多高，后果有多严重每类风险对应的安全级别综合判断多类风险之间如何形成整体判断，风险是否发生变化应用整体安全级别四项基本原则科学客观基于风险理论，评估方法可复现、可验证动态更新应用属性、技术和环境变化时重新评估就高从严多类风险按最高级别确定整体安全等级行业协同参考行业风险清单，多行业分别梳理03应用安全分类方法SECURITYCLASSIFICATIONMETHODCHAPTER03·CLASSIFICATIONOVERVIEW分类方法概述：三组属性回答三个问题应用场景属性在哪里运行？服务对象应用领域使用环境用户数量及覆盖范围使用频率及持续性跨系统联动影响应用任务属性要完成什么？应用目的内容生成类决策辅助类自主控制类多类任务组合智能化能力能自主到什么程度？任务处理能力运行自主程度学习适应能力透明度与可控性三组属性回答不同问题，不能互相替代，共同形成应用安全分类CHAPTER03·SCENARIOATTRIBUTES(1/2)应用场景属性：服务对象与应用领域服务对象需要确认AI应用面向的用户群体类型：特定专业人员/组织机构/公众用户/特定人群（如未成年人、老年人、患者等）判断要点：服务对象越广、越涉及弱势群体，外部影响通常越大。应用领域是否涉及重要领域：关键信息基础设施/社会治理/公共安全/自动控制/医疗信息服务/心理咨询/金融信息服务等判断要点：领域越关键，安全事件的社会影响越严重。重要领域风险等级示意领域类型典型应用主要风险方向关注重点关键信息基础设施能源、电信、交通智能调度现实安全、系统安全高优先级医疗与金融辅助诊断、智能风控决策安全、信息安全高优先级CHAPTER03·SCENARIOATTRIBUTES(2/2)应用场景属性：环境、范围与联动使用环境在线还是线下封闭还是开放网络受控还是非受控条件是否与信息系统或物理系统深度耦合用户数量及覆盖范围仅内部使用区域性服务面向全国跨区域或跨行业使用使用频率及持续性偶发查询定期使用持续参与业务流程长期不间断运行跨系统联动影响：是否连接多个系统或行业，发生安全问题后是否可能扩散或产生系统性影响。这是场景属性中最容易被忽视但至关重要的要素——AI应用与其他系统的耦合度越高，安全事件的扩散效应越强。重要判断：服务对象越广、运行越持续、连接系统越多，应用的外部影响范围通常越大。但影响范围大并不自动等于高安全级别，仍需和具体风险及其发生概率、影响程度结合判断。CHAPTER03·TASKATTRIBUTES应用任务属性：三类功能类型功能类型文件中的含义常见任务形态内容生成类面向用户生成内容或提供对话交互服务智能写作、聊天机器人、音乐生成、图片生成、视频生成决策辅助类基于数据进行决策，或为人的决策提供分析和建议产品推荐、金融风控、医疗诊断辅助、司法辅助、招聘筛选自主控制类具有自动决策能力，并直接控制现实系统运行自动驾驶、智能工业控制、智能机器人、智能交通调度关键区别：三类任务的区别在于AI输出对现实业务的作用方式。内容生成主要影响信息和认知，决策辅助影响人的重要判断，自主控制则可能直接影响设备、交通、生产等现实系统。实际应用可能同时包含多类任务，不能只选择一个最方便的标签。CHAPTER03·INTELLIGENCECAPABILITY应用智能化能力：四项能力要素任务处理能力能否理解复杂信息、应对复杂场景、处理不确定性问题。任务越复杂，出错的可能性和后果通常越严重。运行自主程度仅提供建议，参与部分决策，还是进行全流程自主决策与执行。自主程度越高，人工干预的机会窗口越小。学习适应能力是否持续学习、自我优化或动态调整策略。持续学习可能导致行为漂移，增加风险的不确定性和不可预测性。透明度与可控性决策过程和结果是否具备必要透明度，是否支持人工干预、纠错或紧急接管。可控性是风险兜底的关键保障。CHAPTER03·CLASSIFICATIONRESULT分类结果记录：从应用属性到风险条目完成三组属性分析后，对照已知安全风险逐项确认，按"行业领域—总体风险分类—具体风险分类"逐层展开记录：行业领域教育/金融/医疗风险大类网络/信息/现实具体分类数据和个人信息泄露应用分类全部风险条目集合记录示例：【教育】【技术应用安全风险】【信息安全风险】【数据和个人信息泄露】——这种写法比"教育AI应用属于中风险"更有用，因为它留下了风险从哪里来、属于哪一层、具体指向什么问题的完整记录。核心原则：分类不是贴标签，而是记录风险从哪里来、具体指向什么问题。不相关的风险项也需要记录排除理由，确保分类过程可追溯、可复核。04安全风险目录SECURITYRISKCATALOGCHAPTER04·RISKCATALOGOVERVIEW风险目录总体结构：两大部类六大风险域技术应用安全风险网络系统安全组件漏洞、供应链安全网络攻击、算力滥用信息安全数据泄露、不良信息内容真实性、生态质量现实安全经济社会运行、违法犯罪特殊领域安全认知安全信息茧房、舆论影响公众判断干扰应用衍生安全风险社会和环境安全劳动就业结构变化资源供需平衡影响伦理安全社会公平、科研伦理拟人化依赖、长期不确定性使用原则：通用风险清单不意味着每个应用都要对所有风险作同等论证。企业需根据场景、任务和能力判断哪些风险真正相关，不相关项需记录排除理由。已有行业风险清单的应进一步参考行业文件。CHAPTER04·CYBERSECURITYRISK网络系统安全风险风险方向与排查要点组件和算力安全：开发框架、计算框架、算力设施和执行平台是否存在漏洞、后门、恶意消耗或跨边界传递风险。网络暴露面扩大：本地部署和智能体连接是否新增端口、权限、文件和接口暴露，是否扩大了攻击面。供应链安全：第三方模型、组件和服务的安全性，是否存在供应链投毒风险。网络攻击滥用：模型是否可能被用于生成攻击工具、恶意代码，或被反向利用。排查时要问的关键问题AI应用的引入是否改变了原有系统的安全边界？智能体的工具调用权限是否经过最小化评估？模型训练和推理框架是否及时修补已知漏洞？第三方依赖是否经过安全审查？这些问题需要安全团队和开发团队共同回答。CHAPTER04·INFORMATIONSECURITYRISK信息安全风险四大风险方向数据和个人信息泄露：训练数据中的敏感信息是否可能被模型记忆和恢复，用户输入数据是否可能被不当使用或泄露。输出不良信息：输出是否可能包含欺诈、暴力、色情、极端主义等违反法律法规和公序良俗的内容。生成内容真实性识别：生成内容是否清晰标识来源，是否可能被用于制造虚假信息和深度伪造。网络内容生态质量：大量AI生成内容是否可能降低内容生态质量，造成信息过载和价值稀释。合规要点提示信息安全风险与《个人信息保护法》《生成式人工智能服务管理暂行办法》《人工智能生成合成内容标识办法》等法规直接相关。企业需建立训练数据审查机制、输出内容过滤机制和AI生成内容标识机制，确保数据处理合法合规。CHAPTER04·PHYSICALSECURITYRISK现实安全与认知安全风险现实安全风险经济社会运行安全：应用是否进入能源、电信、金融、交通等关键行业，错误决策或外部攻击是否影响服务连续性。违法犯罪活动：是否可能降低实施诈骗、造谣、黑客攻击等违法犯罪活动的门槛，或为犯罪提供工具支持。特殊领域安全：是否可能被不当利用于生物、化学、核等特殊领域，降低危险知识和技术的获取门槛。特点：当AI与现实系统联动时，风险不再只表现为数据泄露，还可能表现为服务中断、错误控制和影响扩散。认知安全风险信息服务定制化的认知影响：个性化推荐是否持续收窄用户接触的信息范围，形成"信息茧房"效应。网络空间信息传播影响：应用是否可能生成或传播带有特定倾向、影响公众判断的内容，操纵舆论走向。深度伪造与信任危机：AI生成的虚假音视频是否可能破坏公众对媒体和信息的信任基础。特点：认知安全需要业务部门参与评估，传统安全团队往往缺乏相关经验和工具。CHAPTER04·DERIVATIVERISKS应用衍生安全风险：社会环境与伦理社会和环境安全劳动就业结构：AI应用可能改变传统劳动力需求和就业结构，部分岗位被替代，同时创造新的就业形态，需要关注转型期的社会冲击。资源供需平衡：算力设施、模型部署和运行可能消耗大量电力、土地、水等资源，数据中心的能耗和碳排放需要纳入评估。数字鸿沟：AI技术的普及可能加剧不同地区、不同人群之间的数字鸿沟，影响社会公平。伦理安全社会公平：需要观察应用对不同人群的差异影响，防止算法偏见导致歧视和不公平。自主学习与创新：AI对学习研究和创作能力的影响，是否会削弱人类的独立思考和创新能力。科研伦理：AI在科研领域的应用需要遵守科研伦理规范，防止学术不端。拟人化交互依赖：情感陪伴类AI可能导致用户过度依赖，影响正常人际交往。长期发展不确定性：AI能力持续进化带来的长期社会影响需要持续关注。05应用安全分级方法SECURITYGRADINGMETHODCHAPTER05·GRADINGOVERVIEW分级总体思路：概率与影响共同定级Step1逐条风险识别对分类阶段识别的每条风险，单独进行分级评估，不合并、不简化Step2双维度评估评估影响严重程度（低/中/高）和发生概率（低/中/高）Step3映射定级查映射表确定单条风险等级，整体按就高原则确定两个核心特点特点一：风险级别不是由应用名称或模型类型直接决定，而是由具体风险条目的后果和发生可能性共同决定。特点二：多个风险条目完成定级后，应用整体按照就高从严原则确定，以最高风险等级作为应用整体安全级别。CHAPTER05·IMPACTASSESSMENT影响严重程度评估：三级判定标准等级影响范围对国家安全和社会稳定对公民权益和组织利益低影响范围很小，局限于个别用户或局部场景基本无影响，不涉及国家安全和社会稳定潜在危害轻微，可快速恢复，无重大损失中影响范围有限，涉及一定数量用户或特定区域影响较小，不构成系统性威胁，可控可处置产生一定损失，需要投入资源处置和恢复高影响范围广，涉及大量用户、跨区域或跨行业可能严重影响国家安全、社会稳定或公共利益造成严重损失，可能不可逆或难以恢复评估要点：影响程度应说明受影响对象、影响范围、是否可恢复以及是否存在跨系统扩散，不能只给结论不给依据。CHAPTER05·PROBABILITYASSESSMENT发生概率评估：依据与判定方法概率评估的五类依据来源历史事件同类应用过去发生安全事件的频率和趋势测试结果渗透测试、红队评估、安全检测的发现运行统计运行异常率、拦截率、投诉量等统计数据行业数据行业报告、威胁情报、公开漏洞库的统计专家研判领域专家的综合研判三级概率判定参考低概率：有充分防护措施，历史上极少发生，测试和运行数据均未发现明显问题，专家判断发生可能性很低。中概率：存在一定防护但有薄弱环节，历史上偶有发生，测试或运行数据发现部分问题，专家判断有一定发生可能。高概率：防护措施不足或存在明显漏洞，历史上频繁发生，测试或运行数据发现严重问题，专家判断很可能发生。CHAPTER05·GRADINGMATRIX安全级别映射矩阵发生概率影响程度\概率低中高低低安全风险级一般安全风险级一般安全风险级中一般安全风险级较大安全风险级较大安全风险级高较大安全风险级重大安全风险级特别重大安全风险级使用方法：对每条风险，先确定影响严重程度（行）和发生概率（列），交叉单元格即为该条风险的安全级别。多条风险分别定级后，应用整体按最高级别确定。CHAPTER05·FIVESECURITYLEVELS五级安全标准定义低安全风险级具有轻微威胁性，影响范围很小，对国家安全、社会稳定和公民权益基本无影响，潜在危害轻微。一般安全风险级具有一定威胁性，影响范围有限，影响较小，潜在危害可控。较大安全风险级具有明显威胁性和局部性影响特征，可能带来较大影响，产生局部社会面危害。重大安全风险级具有重大威胁性和区域性影响特征，可能带来严重影响，产生重大社会面危害。特别重大安全风险级具有灾难性和系统性威胁特征，造成颠覆性或不可逆转的特别严重影响。安全级别从低到高递增，管理要求和防护措施相应加强CHAPTER05·CALIBRATIONANDPRINCIPLE整体校准与就高从严原则就高从严原则多个风险条目完成定级后，应用整体安全级别按照就高从严原则确定。示例：一个应用同时涉及：·数据泄露风险→较大安全风险级·现实运行风险→重大安全风险级整体级别=重大安全风险级就高原则确保不低估应用的整体安全风险，避免因某类风险较低而忽视其他高风险项。整体校准机制如果按概率和影响计算出的级别，与该级别通常代表的影响含义明显不匹配，应重新分析。校准原因：·AI应用具有一定不可预测性·现阶段对风险严重程度和发生概率的判断无法完全消除主观性·需要通过整体校准减少明显偏差校准要求：校准意见需记录在案，说明调整理由和依据，确保定级过程可追溯。06企业落地实施ENTERPRISEIMPLEMENTATIONCHAPTER06·IMPLEMENTATIONWORKFLOW企业落地总体流程：五步法1登记建立AI应用清单梳理模型、接口、数据2分类分析三组属性识别风险类型3定级评估概率与影响确定安全级别4控制制定防护措施评审与上线管控5复核动态变更管理定期重新评估落地关键原则每个结论都要有依据："发生概率低"不能只写结论，要说明依据来自历史事件、测试结果、运行统计、行业数据还是专家研判。每次变化都要有复核记录：新建应用、扩大范围、接入新系统或能力变化时，必须重新分析并记录复核过程。融入现有流程：分类分级可嵌入需求评审、上线评审和变更管理流程，不必另起炉灶。CHAPTER06·RISKREGISTER应用风险表构建指南风险表核心字段应用基本信息：名称、负责人、上线范围、版本、运行状态场景属性：服务对象、领域、网络环境、用户规模、使用频率、联动系统任务属性：应用目的、功能类型（生成/辅助/控制）智能化能力：任务复杂度、自主程度、学习适应、人工接管能力风险分类：行业、风险大类、具体条目、排除项理由风险分级：影响程度、发生概率、风险级别、整体级别、校准意见动态复核：复核时间、触发条件、级别变化、批准人建议保留的支撑材料应用登记表、系统架构图、版本记录、数据流图、网络拓扑、用户和调用量统计、接口清单、需求说明、业务流程图、模型和应用配置、权限清单、人工确认记录、接管和停用方案、风险识别表、影响分析、概率依据、专家研判记录、评估结论、复核记录、变更单、重新评估报告。CHAPTER06·LIFECYCLEMANAGEMENT全生命周期动态管理生命周期阶段分类分级动作触发重新评估的条件立项设计完成初步分类，预判风险等级，设计安全方案应用目的、功能类型或目标用户发生重大变化开发测试细化风险识别，验证防护措施，更新风险表模型架构、训练数据或核心算法发生重大变更上线评审完成正式定级，安全评审通过后方可上线上线范围、用户规模或使用频率超出预期运行维护持续监控，定期复核，记录异常和处置情况接入新数据或新系统、从辅助决策变为自主执行、外部威胁重大变化退役下线评估下线风险，确保数据清理和系统解耦退役过程中发现未预期的数据残留或系统依赖核心要求：分类分级不是一次性工作，而是贯穿应用全生命周期的持续过程。任何重大变化都应触发重新评估，确保安全级别与实际风险保持一致。CHAPTER06·INDUSTRYPRACTICE行业实践与差异化建议分行业落地重点金融行业：重点关注决策辅助类风险