AI系统的供应链风险：基础模型、API、数据

AI系统的供应链风险：基础模型、API、数据本文档提供：三层供应链依赖定界表一张，按基础模型、API接口、训练与微调数据分层列出依赖形态、风险信号和证据要求；基础模型供应商评估表一张，含文档交付、下游信息权、许可兼容性和退出可行性四组核查项；API依赖韧性评估表一张，含SLA、熔断阈值、降级路径和单点故障暴露；数据供应链证据清单一份，覆盖来源许可、毒化检测和数据SBOM字段；合同条款审查清单一份，按正常运行时间、数据权属、审计权、退出支持、许可兼容性五个位置列出合格条件；监控指标与阈值总表一张，按调查级和动作级分列；某食品企业视觉质检系统从基础模型API依赖到训练数据补证和合同重谈的完整案例一个，含三次判断转折；决策规则六条，覆盖供应商文档缺失、API单点故障、数据毒化、许可传染、退出空白和跨期失效六个分叉点；三套场景操作对照表一张，逐项列出检查项和证据增减。2026-11-08表1目录与定位这一节的标题读完你能拿到什么这一节在全文中的功能一、三层依赖先分清：模型、接口、数据各缺什么证据三层供应链依赖定界表在签合同或接API之前，锁定每一层依赖的评估重心和证据要求二、基础模型：供应商的义务会通过合同传导给你基础模型供应商评估表，含文档交付、下游信息权、许可兼容性和退出可行性审查基础模型供应商是否交付了你需要的信息，以及信息不足时合同能否兜底三、API：单点故障的代价在食品场景里按分钟计API依赖韧性评估表，含SLA、熔断阈值、降级路径和单点暴露判断一个API依赖在故障时有没有可执行的降级和切换路径四、数据：训练数据没有SBOM，毒化在数据量面前不稀释数据供应链证据清单，覆盖来源许可、毒化检测和数据SBOM字段在数据进入训练管道之前，把来源、许可和毒化证据补齐五、合同：五个位置把供应链风险写进纸面合同条款审查清单，按正常运行时间、数据权属、审计权、退出支持、许可兼容性分列在与模型供应商或API提供商谈判时，逐条落实可执行的保护条款六、监控：三类依赖放进同一张监测表监控指标与阈值总表，按调查级和动作级分列让基础模型输出异常、API故障和数据结构偏离共用一个告警入口七、六条决策规则：什么条件走哪条路六条“如果—则—如果—则”格式的决策规则覆盖文档缺失、单点故障、毒化信号、许可传染、退出空白和跨期失效八、三次判断转折：一条视觉质检线的供应链处置完整案例，含起点、三次转折和终点看三层依赖、合同和监控在一个真实食品场景里如何依次暴露并处置九、完整版、精简版、极简版各查什么三套场景对照表，逐项列出检查项和证据增减按场景选版本按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、三层依赖先分清：模型、接口、数据各缺什么证据AI供应链的风险不集中在一个位置。食品企业使用一个视觉质检系统，可能同时依赖：一个外部的基础模型或预训练模型，这层决定能力上限和许可条件；一组API接口，这层决定系统能不能持续运行；训练和微调数据，这层决定模型在你的产线上是否可靠。三层的风险信号和证据要求不同，混在一起评估会漏掉某一层的关键缺口。2026年黑鸢第三方泄露报告的数据给出了一个量级参照：每一起供应商泄露事件平均牵连5.28家下游组织，从事件发生到公开披露的中位间隔为117天。宾夕法尼亚州司法部长2025年5月与Home365的和解进一步说明，企业以“工具是从供应商买的”作为抗辩，在监管面前站不住。供应链风险的承担主体是用这个系统的企业，合同和监控是把这个风险往回分配和提前拦截的工具。表2三层供应链依赖定界表依赖层依赖形态核心风险可观察信号需要的证据基础模型通过API调用或本地部署的预训练/通用模型供应商义务不透明；许可条款限制使用场景；模型大幅修改后义务转移到企业供应商不提供下游信息文档；许可条款含未披露的使用限制第53条对应的技术文档摘要、下游信息（AnnexXII）、许可条款全文API接口实时推理调用、批处理接口、管理控制台单点故障导致产线停摆；限流或政策变更中断服务；退出时数据无法迁移错误率上升、P99延迟超标、供应商状态页异常SLA文本、熔断配置、降级路径演练记录、退出支持条款训练/微调数据公开数据集、采购数据集、自有采集数据、合成数据来源许可不清导致侵权；毒化样本在数据量增大时仍能存活；数据版本不可追溯数据集许可标注缺失；训练后模型在特定触发模式上行为异常数据SBOM、来源授权链、毒化压力测试结果、版本哈希二、基础模型：供应商的义务会通过合同传导给你基础模型供应商的义务在EUAIAct下有相对清晰的轮廓，但这些义务不会自动落到使用模型的企业头上，需要通过合同和尽职调查来承接。第53条要求GPAI模型提供者编制附件XI的技术文档、向部署者提供附件XII规定的信息、运行版权合规政策、发布训练内容摘要。第55条对训练计算量超过阈值的模型追加模型评估、系统性风险缓解和事件报告义务。执法权从2026年8月2日起生效。对企业最关键的一条是“大幅修改”的边界。欧盟委员会2025年7月的指南明确，下游修改者只有在修改导致模型的通用性、能力或系统性风险发生显著变化时，才成为修改后模型的提供者，从而承接第53—55条义务。这意味着：在基础模型上做轻量微调，义务留在供应商；做深度改造或大幅扩展能力，企业可能变成新的提供者。合同需要把这条边界写清楚，并约定供应商在义务转移时的配合义务。第53条赋予下游企业的间接权利同样值得利用。供应商有义务提供附件XII规定的能力、局限和集成信息。如果供应商不提供这些信息，企业无法判断该模型能否用于自己的场景，也无法履行自身在AIAct或采购尽调中的说明义务。合同中的“文档交付”条款应当把附件XII的信息清单作为附件列明，而不是笼统写“提供必要的技术信息”。表3基础模型供应商评估表核查组具体核查项合格条件不合格时的合同动作文档交付是否提供附件XII规定的下游信息（能力、局限、已知风险、集成条件）信息清单逐项可查，与模型版本对应在合同中附信息清单作为交付物，逾期交付触发服务抵扣下游信息权模型版本变更时是否通知并更新文档变更通知在生效前发出，文档同步更新约定变更通知的提前期和未通知的违约责任许可兼容性模型许可是否允许预期商业用途；是否含未披露的使用限制许可条款全文可查，预期用途在许可范围内要求供应商书面确认用途兼容性；无法确认时评估替换退出可行性停止使用该模型时，微调权重、提示词历史、输出日志能否导出导出格式和范围在合同中写明约定退出时的数据导出义务和过渡期支持三、API：单点故障的代价在食品场景里按分钟计食品企业的AI系统对API的依赖有两种典型形态：视觉质检线的实时推理调用，以及供应链风险评分或需求预测的批处理调用。实时推理的中断直接停线，批处理的中断延迟决策。两种形态对SLA和降级路径的要求不同。SLA的底线看两个数：正常运行时间和P1事件的响应时间。食品杂货买家的合同指南建议生产系统争取99.9%或更高的正常运行时间，P1事件在15分钟内确认。SLA违约的救济需要写成可计算的机制：每低于目标0.1%对应月费的一定比例服务抵扣，连续违约触发便利终止权。熔断和降级是API依赖的第二层保护。行业实践中，30秒滑动窗口内5xx、429和超时合计占比超过50%，或P99首token延迟超过8秒且持续60秒，触发熔断。熔断后的降级路径需要预先设计并演练：视觉质检的API中断时，降级到规则引擎或缓存的上一次合格判定，同时转人工复核；核心任务可用率保持在80%以上，或明确转人工。降级路径没有演练过的，故障发生时降级动作不会自动生效。单点故障的暴露程度可以用一个简单问题检验：这个API供应商如果明天停止服务，产线能不能在可接受的时间内切换到备选？备选可以是第二个API供应商、本地部署的轻量模型，或纯人工流程。切换时间写入《API依赖韧性评估表》，超过业务可接受中断时间的，该依赖被标记为高暴露。表4API依赖韧性评估表评估项具体指标合格条件高暴露标记SLA正常运行时间；P1确认时间；服务抵扣机制正常运行时间≥99.9%；P1确认≤15分钟；抵扣可计算无SLA或抵扣不可执行熔断配置错误率阈值；延迟阈值；熔断后的状态转换错误率或延迟阈值有明确数值；熔断后半开探测无熔断配置或配置未演练降级路径降级触发条件；降级后的可用能力；恢复条件降级路径有书面流程并完成过至少一次演练降级路径仅存在于文档单点暴露备选供应商或备选方案的切换时间切换时间在业务可接受中断时间内无备选或切换时间不可估计四、数据：训练数据没有SBOM，毒化在数据量面前不稀释训练数据供应链的风险集中在两个位置：许可来源和完整性。许可来源决定数据能不能用于商业训练；完整性决定数据有没有被毒化。许可来源的证据形态正在从“数据集许可标签”向“数据SBOM”演进。Data-SBOM（DSBOM）的最小字段集包括数据来源、许可、去重和清洗逻辑；ETSI2026年的提案进一步把训练数据、微调样本、RAG文档、向量嵌入和agent记忆都纳入“数据供应链证据清单”，要求回答“数据从哪来、是否授权用于此目的、是否经过毒化检测、是否经过敏感信息检测、是否签名和版本化”。对食品企业的操作含义：每一批进入训练或微调管道的数据，至少记录来源方式、许可状态、哈希值和毒化检测结果。没有这些记录的数据集，在审计和纠纷中无法自证合规。毒化的量级特征需要单独强调。近期的实验显示，约250个毒化样本就足以对从6亿到130亿参数的模型植入后门，且后门在追加干净训练后仍然存活。“把数据集做大来稀释毒化”的防御假设不成立。对食品视觉质检系统，毒化的具体形态可能是：训练集中被混入少量带有特定纹理或颜色模式的“合格”样本，模型学会把该模式与“合格”绑定，产线上出现含该模式的真实缺陷时被判为合格。毒化压力测试（PoisonStressTest）的作用是在部署前用小规模、可控的触发模式测试模型的行为一致性，而不是等生产中出现漏检后再追溯。数据供应链证据清单证据项记录字段取数位置缺失时的动作数据来源来源方式（公开/采购/自采/合成）、来源标识、获取日期《数据集来源登记表》来源不可追溯的数据集不进入训练管道许可状态许可类型、商业使用是否允许、授权文件位置《数据集来源登记表》的“许可”字段商业用途许可不清的数据集替换或移除版本哈希数据集文件的SHA-256、版本号《数据集版本记录》无哈希的数据集不进入管道；已有哈希不匹配时隔离该批次毒化检测检测方法、样本量、触发模式、检测结果《毒化检测报告》未做毒化检测的高风险数据集不进入微调数据SBOM上述字段的结构化清单，随模型工件一并交付《数据SBOM文件》供应商不提供数据SBOM时，企业侧自行构建或拒绝该数据集五、合同：五个位置把供应链风险写进纸面供应链风险有一部分可以通过合同分配。五个条款位置覆盖了从正常运行到退出转移的主要暴露。正常运行时间和SLA。写到可计算的指标和可执行的救济。仅写“供应商应保证高可用性”不够，需要写明正常运行时间百分比、测量窗口、服务抵扣的计算方式和连续违约后的终止权。数据权属和禁止训练。企业上传或由系统产生的数据，权属归企业；供应商获得的是有限、可撤销的许可，仅用于提供服务。供应商不得使用企业数据训练面向其他客户的模型，除非企业明确选择加入并取得对价。这条条款在AI服务合同中容易被供应商的标准条款覆盖，需要逐字核对。审计权。企业有权审计供应商的AI系统、数据处理和合规状态，或接受供应商提供的等效审计报告（如第三方认证）。审计权在食品行业尤其重要，因为食品安全事件追溯时，AI系统的决策逻辑和日志是调查的一部分。退出支持。合同终止或供应商停止服务时，供应商有义务导出企业的数据、微调权重、提示词历史和输出日志，并在过渡期内提供合理的技术支持。退出条款的合格条件写到导出格式和过渡期长度，不写“合理协助”这类无法执行的标准。许可兼容性。供应商的模型或代码许可不得对企业的自有系统或产品许可造成传染。供应商需要披露组件许可清单；GPL/AGPL类组件与自有代码紧密集成的，合同要求隔离或替换安排。OWASPLLM03的缓解清单中，“检查许可”和“维护AI物料清单（AIBOM）”被列为独立的动作项。表5合同条款审查清单条款位置审查问题合格条件不合格时的动作正常运行时间与SLA指标是否可计算？救济是否可执行？正常运行时间、测量窗口、服务抵扣、终止权四项齐全要求补充；供应商拒绝时在风险台账中记录自留风险数据权属与禁止训练数据权属是否归企业？供应商训练用途是否被限制？企业拥有数据和输出；供应商训练需明示选择加入并附对价逐字核对供应商标准条款，不接受默认的数据使用授权审计权企业或独立第三方能否审计AI系统和数据处理？审计权可执行，或接受等效第三方审计报告要求补充审计权或报告提交义务退出支持数据、权重、日志能否导出？过渡期多长？导出格式和范围写明；过渡期≥30日将退出支持作为合同生效的前提条件之一许可兼容性组件许可清单是否披露？传染性组件是否有隔离安排？清单可查；GPL/AGPL类组件有隔离或替换计划要求披露清单；无法隔离的组件评估替换成本六、监控：三类依赖放进同一张监测表供应链监控需要回答的问题：基础模型的输出行为有没有偏离预期，API有没有出现故障前兆，数据管道有没有出现结构漂移或毒化信号。三类信号来源不同，可以放进同一张监测表，按“调查级”和“动作级”分档。基础模型的监控侧重输出行为：分类结果的置信度分布、生成内容的合规率、与上一次模型版本的输出差异。API的监控侧重可用性和性能：错误率、P99延迟、限流触发次数。数据的监控侧重分布和完整性：输入特征的PSI或KS、标签比例、毒化压力测试的触发模式检出率。表6监控指标与阈值总表依赖层监测指标调查级阈值动作级阈值取数位置基础模型输出置信度分布偏移均值偏移超过基线1个标准差偏移超过2个标准差且伴随业务指标恶化《模型输出监测表》的“置信度均值偏移”字段基础模型模型版本变更后输出差异率差异率>10%差异率>25%《模型版本对比记录》的“输出差异率”字段API错误率（30秒滑动窗口）>20%>50%《API调用日志》的“status_code”字段，按窗口聚合APIP99首token延迟>5秒持续60秒>8秒持续60秒《API调用日志》的“latency_ms”字段数据输入特征PSI>0.10>0.25《输入分布监测表》的“PSI”字段数据毒化压力测试触发模式检出率>0且干净样本性能正常检出率可复现且影响范围超过单一批次《毒化检测报告》的“触发模式检出率”字段七、六条决策规则：什么条件走哪条路规则一：如果基础模型供应商无法提供附件XII规定的下游信息，且合同中没有将信息交付作为可执行的交付物，则该模型不进入对高风险决策有直接影响的生产场景；已经使用的，在合同补充或替换供应商之前，叠加人工复核作为临时控制。规则二：如果API依赖的单点暴露评估显示“无备选或切换时间不可估计”，且该API支撑的是实时质检或放行决策，则在一个季度内完成备选方案的设计和至少一次切换演练；演练未完成的，该依赖在风险台账中标记为“高暴露”，每月复核。规则三：如果毒化压力测试在模型上检出可复现的触发模式，且该模式对应的输入在产线上有出现的可能，则该模型不进入生产放行；先隔离受影响输出，追溯训练数据来源，修复后重新执行毒化检测并附报告。规则四：如果供应商的组件许可清单中出现GPL/AGPL类许可，且该组件与自有推理代码在同一进程内紧密集成，则在部署前完成隔离设计、替换组件或取得例外许可；无法完成的，该组件不得进入生产管道。规则五：如果合同中的退出支持条款只写“合理协助”而没有导出格式和过渡期长度，在续约或新签时按表5的合格条件补充；供应商拒绝补充的，在内部评估中将该依赖的退出风险标记为自留风险，并在业务连续性计划中安排替代方案。规则六：如果基础模型版本、API提供商或训练数据来源发生变更，已归档的供应链评估记录标注“变更日期”，新版本按变更后的条件重新评估；变更评估完成前，新版本不进入生产。八、三次判断转折：一条视觉质检线的供应链处置以下案例为示例案例，细节为合理设定。人物用“某食品企业数字化与质量负责人”。案例背景参照公开的AI视觉质检实践形态，具体数据为合理设定。起点：企业的一条辣椒原料分拣线使用AI视觉质检系统，系统通过API调用一个外部基础模型完成推理，训练和微调数据由供应商提供。系统上线后不良率控制在较低水平。企业此前只关注了模型的准确率，没有对供应链层做评估。第一次转折。质量负责人在整理供应商合同时发现，合同中的“服务可用性”条款只写“供应商应尽商业合理努力保持服务可用”，没有SLA数值、没有服务抵扣、没有P1响应时间。供应商的基础模型文档只有一页产品介绍，没有附件XII要求的能力、局限和已知风险信息。第一反应是要求供应商补文档。供应商回复“商业客户通常不需要这些技术细节”。换哪条路：合同层面，在续约谈判中把SLA和文档交付写成可执行条款——正常运行时间99.9%、P1确认15分钟、附件XII信息清单作为交付物；在文档补齐之前，企业侧对API输出增加人工抽检比例，抽检结果作为临时监控证据。第二次转折。API在一次供应商侧的区域性故障中中断了约40分钟，产线降级到人工分拣，但人工分拣的速度跟不上线速，部分原料被迫暂存。追溯发现，企业没有熔断配置，降级路径只存在于供应商的“建议”文档中，没有演练过。换哪条路：在API网关层配置熔断——30秒窗口错误率超过50%或P99延迟超过8秒持续60秒触发熔断；熔断后的降级路径设计为“缓存上一次合格判定模型＋人工复核”，并在两周内完成一次故障注入演练。同时评估备选API供应商，切换时间目标定在15分钟以内。第三次转折。供应商交付了一份数据来源说明，其中两个数据集标注为“公开研究用途”。毒化压力测试在模型上检出了一个与辣椒蒂部特定纹理相关的触发模式，含该纹理的样本被以较高置信度判为合格，而人工检查确认为霉变。这意味着模型对一类真实缺陷存在系统性漏检。换哪条路：模型暂停用于放行，隔离受影响批次；要求供应商移除“研究用途”数据集并重新训练，重新训练后的模型重新执行毒化检测；在数据供应链侧建立DSBOM字段，每一批训练和微调数据记录来源、许可和哈希，后续数据变更走版本比对。终点：最终产出五份记录——合同条款修订记录（SLA、文档交付、退出支持）、熔断配置与演练记录、毒化检测报告和模型隔离记录、数据SBOM字段模板、备选API切换演练记录。系统在合同、API韧性和数据完整性三处补齐后才恢复全量放行，人工抽检比例在下一季度根据监控数据逐步下调。表7案例变量表变量案例中的情形变量变化时的处置调整供应商文档配合度初始拒绝提供附件XII信息，后补交供应商始终不提供时，该模型退出高风险决策场景，或替换供应商API故障时长40分钟，超出可接受中断时间故障时长在可接受范围内时，降级演练可作为主要控制，备选切换可延后毒化触发模式与真实缺陷的对应触发模式对应霉变缺陷，属于真实风险触发模式在产线上不可能出现时，风险等级下调，但仍记录并监控数据许可状态两个数据集为研究