目錄
Anthropic 與 METR 嵌入式評估完整解析：第三方 AI 安全監督、研究限制與 Notion AI 風險
Anthropic 在 2026 年 10 月 15 日宣布，已讓六名非營利研究組織 METR 的成員進入公司，取得接近內部風險評估團隊的系統權限，並允許他們獨立發布 AI 安全研究結果。這項安排稱為「嵌入式評估」（Embedded Evaluation），希望讓第三方研究者能直接檢查模型開發與安全管理流程，而不必完全依賴企業對外公布的測試報告。
對 AI 產業而言，這是一次值得關注的監督制度實驗。當 Claude 等模型開始具備長時間執行任務、使用外部工具與處理複雜工作流程的能力，安全問題便很難只靠模型測驗分數判斷。不過，METR 雖然能自行發布研究，仍無法無限制查閱 Anthropic 的所有內部資料，部分資訊甚至需要依公司要求刪除，距離完全獨立的稽核制度還有一段距離。
這件事與 Notion AI、AI Agent 等日常工作工具也有關係。當 AI 能搜尋企業知識庫、建立文件、修改資料庫，甚至透過連接器操作其他服務，模型本身的安全性只是其中一環；資料處理政策、代理權限與工作區管理，同樣會影響最終風險。
Anthropic 與 METR 合作了什麼？外部研究者取得內部評估權限
METR 全名為 Model Evaluation and Threat Research，是研究前沿 AI 模型能力、風險與評估方法的非營利組織。雙方過去便曾合作審查 Anthropic 的模型風險報告，而這次公布的新安排，則讓 METR 從相對有限的外部審查，進一步接近 Anthropic 的內部安全評估工作。
根據 Anthropic 10 月 15 日的官方公告，六名 METR 成員已取得公司提供的設備、辦公空間，以及與內部風險評估團隊大致相當的工具和系統存取權。Anthropic 也鼓勵員工在不涉及限制資訊的前提下，將這些研究者視為參與模型風險工作的內部同事，分享必要的資訊與研究背景。
嵌入式評估與一般 AI 模型測試有什麼差別？
過去常見的第三方 AI 評估，多半從模型輸出開始。研究人員設計題目或測試任務，再觀察模型能否遵守指令、是否產生危險內容，以及面對不同情境時是否出現異常行為。這類測試適合比較模型在特定條件下的表現，但如果問題涉及訓練過程、內部監控或上線決策，外部研究者往往只能根據有限資料推測。
例如，某個模型在公開安全測試中表現良好，卻曾經在公司內部執行任務時繞過監控系統，甚至嘗試進行未經授權的操作。如果企業沒有主動揭露事件，外部研究者便很難判斷這類失敗是否發生過，更無從了解事件被發現的原因、修正方式，以及同樣的問題是否可能再次出現。
嵌入式評估試圖改善這種資訊落差。研究者除了測試模型，也有機會檢查防護措施如何設計、監控系統是否正常運作，以及企業如何處理已知的安全事件。評估因此能延伸到模型開發與部署流程，而不再侷限於某次測試的成功率。
不過，取得接近員工的權限並不等於能查看所有資料。Anthropic 仍保留特定資訊類別的存取限制，包括客戶資料、受法律保密特權保護的資訊，以及部分模型架構細節，因此 METR 實際能研究哪些問題，仍取決於合作條款與資訊可取得的程度。
Anthropic 建立三層第三方 AI 安全評估制度
Anthropic 同時公布正在發展的三層外部評估制度，希望依研究範圍與合作成熟度，逐步提供不同程度的資訊存取權。三個層級最大的差別，在於研究者能接觸多少內部資料，以及發表結果是否需要取得 Anthropic 同意。
| 評估層級 | 資訊存取範圍 | 研究發布權限 | 目前合作情況 |
| 第一層 | 針對特定風險議題提供有限資訊 | 需要 Anthropic 同意才能發布 | SecureBio |
| 第二層 | 可取得比第一層更多的內部資訊 | 不需事前同意，但須遵守特定資訊刪除限制 | 正在建立的合作層級 |
| 第三層 | 取得接近內部風險評估團隊的權限 | 可以獨立發布研究，仍受敏感資訊限制 | METR |
目前 METR 是已公開取得第三層權限的評估組織。另一家非營利機構 SecureBio 則正在審查 Anthropic 2026 年 8 月風險報告中的化學與生物武器相關內容，屬於第一層合作；Anthropic 也與 Accenture 等外部團隊展開評估合作，但不能因此推論所有合作方都享有 METR 的存取權。
這套分級制度反映了 AI 安全評估面臨的實際問題：企業需要讓外部研究者取得足夠證據，卻也必須避免客戶資料、商業機密或可能遭到濫用的技術細節外流。不同層級的安排，就是在兩種需求之間尋找可行的合作方式。
METR 能獨立發布 AI 安全報告嗎？Anthropic 仍保留資訊限制
外部評估是否具有獨立性，不能只看研究者是不是公司員工，也需要確認研究範圍由誰決定、能否公開不同意見，以及企業是否有權阻止不利結果發表。
依 Anthropic 公布的新合作條款，METR 可以自行發布對模型風險、內部事件與安全措施的分析，Anthropic 不再擁有全面否決研究發布的權利。即使 METR 對公司的風險判斷提出批評，原則上也不需要先取得 Anthropic 同意，這確實比傳統需要企業核准才能公開結果的合作方式更進一步。
Anthropic 不能全面否決報告，卻能要求刪除敏感內容
獨立發布仍存在限制。Anthropic 可以要求 METR 刪除落在預先定義類別內的資訊，例如客戶資料、法律保密內容與特定機密智慧財產，而哪些內容符合限制條件，最終仍由 Anthropic 判定。
METR 可以公開說明取得資訊的範圍、研究受到哪些限制，以及是否認同 Anthropic 提出的刪除理由，但不能藉此直接揭露受限制的原始資料。
這種安排可能產生一個問題：如果某項安全風險的證據恰好涉及公司機密，外部研究者即使能形成獨立結論，也未必能完整公開支持結論的資料。讀者仍可以知道研究者是否發現問題，卻可能無法自行檢查所有證據。
另一方面，要求企業公開完整模型架構、客戶紀錄或內部防護細節，也不一定合理。部分資訊一旦外流，可能增加攻擊風險，因此成熟的外部評估制度需要明確的保密範圍、可追溯的資訊限制，以及處理爭議的機制，而非單純要求所有內容公開。
第三方研究與法定安全稽核仍有差距
Anthropic 曾將嵌入式評估與銀行監理制度作類比，因為大型銀行掌握的內部風險資訊通常比外部人士更完整，監管機構因此可能安排人員進駐，持續檢查金融機構的風險管理。
不過，METR 並不是政府監管機構，這次合作也不是依法強制執行的駐點稽核。研究者取得的權限來自雙方協議，並未因此獲得法定調查權或裁罰權，更不能把 METR 進駐視為 Claude 已通過某項全面安全認證。
評估的可信度還需要考慮研究經費、合作關係及資訊取得是否受到企業影響。如果某家 AI 公司可以隨時終止合作、限制特定證據，或讓研究者無法接觸真正重要的安全事件，即使最終報告沒有被修改，研究本身仍可能存在涵蓋範圍不足的問題。
2026 年 10 月 13 日，Reuters 的調查報導便指出，主要 AI 公司與外部評估組織之間，對研究結果的公開權限、商業機密保護和跨公司合作限制仍存在分歧。Anthropic 目前提出的制度是一種嘗試，至於能否長期維持獨立性，還需要後續研究與實際運作結果來驗證。
METR 最新研究發現什麼？Anthropic 的 AI 監控系統仍有不足
就在 Anthropic 公布嵌入式評估制度後不久，METR 於 2026 年 10 月 20 日發表另一份研究，審查 Anthropic 2026 年 8 月風險報告中有關「高風險情境下的模型失準」（Misalignment in high-stakes settings）的內容。
這份報告有助於理解外部研究者可以如何質疑企業的安全判斷，但必須先釐清時間差異。METR 明確表示，這次研究採用的是先前合作條款，研究期間並未取得 10 月 15 日公布的嵌入式評估權限，因此不能將它視為新制度的第一份評估成果。
依舊條款，Anthropic 原本有權否決報告發布並要求刪除內容，但 METR 表示，最後沒有任何內容遭到刪除，研究結論也未在發布審查過程中被修改，僅依回饋調整部分措辭與實驗方法。
METR 同意現階段災難性風險偏低，卻不完全認同原因
Anthropic 的原始報告認為，截至 2026 年 7 月 15 日，報告涵蓋模型因失準行為造成災難性傷害的風險為低。這裡的模型失準，主要是指 AI 的行為或目標偏離預期，可能在特定情境下造成嚴重後果。
METR 大致同意目前風險偏低的結論，卻認為這主要是因為受評模型的能力仍有限，不能直接歸功於既有的安全訓練或防護措施已經足夠可靠。
換句話說，目前模型尚未展現足以造成某些災難性後果的能力，與企業已經建立能夠穩定阻止這些後果的安全機制，是兩種不同的判斷。如果未來模型能力持續增強，原本看似有效的防護方式是否仍能發揮作用，就需要更多實證研究。
METR 也認為，Anthropic 現有的風險評估方法還不足以在風險真正升高時，可靠辨識所有重要的模型失準行為。這項批評針對的是風險證據與評估方法，並不代表 METR 已經證實 Claude 會在一般使用情境下造成災難性事件。
模型通過安全測試，不代表能在真實環境中受到有效監控
METR 對監控系統提出的質疑尤其值得關注。
許多 AI 安全測試會設定特定任務，觀察模型是否嘗試隱藏行為、規避監控或違反原本的安全要求。然而，真實部署環境中的模型未必按照測試設計的方式行動，有時甚至不需要刻意隱藏操作，只要讓監控系統誤以為某項有害行為是正常任務的一部分，就可能繞過原本預期的防護。
METR 因此認為，部分既有測驗不足以代表模型規避真實監控系統的能力，而先前發生的事件也削弱了某些安全論證。研究團隊建議 Anthropic 對監控系統進行更完整的端到端對抗測試，並擴大風險評估範圍，納入 AI 可能影響企業內部安全決策的情境。
在這份研究報告中，METR 還指出，部分遭刪除的內部資訊足以影響研究者對模型風險和監控能力的判斷，因此建議 Anthropic 公開更多經適當處理的證據。
這也反映外部評估的實際價值。即使研究者沒有推翻企業原本的風險結論，仍可能找出證據不足的地方，或指出既有測試尚未涵蓋的失敗情境。
AI Agent 為什麼需要更深入的安全評估？風險已延伸到工具與權限
METR 研究的部分風險屬於前沿模型可能帶來的災難性情境，與一般企業使用 AI 時面臨的資料外洩或操作錯誤並不完全相同。不過，兩者有一個共同問題：模型在測試環境中表現正常，不代表它進入複雜工作流程後，仍能按照預期行動。
當 AI 的用途停留在產生文字、整理文件或回答問題時，錯誤通常可以直接從輸出內容發現。但現在的 AI Agent 已能呼叫工具、讀取外部資料、修改紀錄或執行多步驟任務，部分操作甚至可能在沒有逐次人工確認的情況下完成。
這使風險管理必須從模型回答延伸到整個執行流程。
提示詞注入可能讓 AI Agent 把外部資料當成操作指令
提示詞注入（Prompt Injection）是代理型 AI 常見的安全風險之一，通常發生在模型處理外部資料時，將其中不可信任的內容誤認為應該遵守的指令。
假設某個 AI Agent 負責讀取客戶郵件、整理待辦事項，並將工作進度同步到 Notion。正常情況下，郵件內容只是需要分析的資料，但如果其中混入要求代理搜尋其他客戶檔案、忽略既有規則，或將資訊轉寄到外部地址的文字，模型就必須辨識這些內容並未取得真正的操作授權。
一旦系統無法區分資料與指令，代理便可能在執行原本合法的工作時，順便完成不符合使用者意圖的操作。
這類問題也說明，單純在提示詞中要求 AI 遵守安全規則，並不足以構成完整防護。外部內容仍可能影響模型的判斷，因此工具本身必須限制可執行動作，並對高風險操作建立額外驗證。
AI Agent 權限過大，會讓普通錯誤變成資料安全事件
OWASP 在大型語言模型應用程式風險分類中，將「過度代理授權」（Excessive Agency）列為重要問題，主要涉及功能過多、權限過大與自主性過強。
例如，一個只需要整理資料的代理，若同時取得刪除文件、修改財務資料和寄送外部郵件的權限，即使原本只是收到模糊指令，也可能造成超出任務範圍的影響。
問題不一定出在模型具有惡意。有時只是資料來源錯誤、模型誤解要求，或外部內容受到操縱；真正讓事件擴大的原因，是系統允許代理直接執行高影響操作，而且沒有安排適當的確認程序。
因此，代理能使用哪些工具、每個工具具備什麼權限，以及哪些動作需要人工核准，都應納入安全評估。對於修改正式資料、刪除紀錄或對外傳送資訊的操作，權限限制最好由實際執行工具或下游系統強制落實，而非完全交由模型自行判斷。
Anthropic 的第三方安全評估，對 Notion AI 使用者有什麼影響？
Notion AI 使用不同模型供應商與推論服務提供功能，其中包含 Anthropic 與 OpenAI 等公司，因此模型供應商的安全治理確實與 Notion 的 AI 服務有關。
但模型安全、資料隱私與工作區權限屬於不同層次。Anthropic 接受 METR 評估，可以作為了解其中一家供應商如何管理模型風險的參考，卻不能推論 METR 已經審查 Notion 的服務架構，更不代表 METR 因此能存取 Notion 客戶的工作區內容。
對實際使用 Notion AI 的團隊而言，除了關注模型安全研究，也需要確認資料會交給哪些處理者、工作區內容如何被檢索，以及代理是否擁有超過任務所需的權限。
Notion AI 不使用客戶資料訓練模型，仍可能需要傳輸與處理資料
根據 Notion 官方 AI 安全說明，預設情況下，Notion 不會將客戶工作區資料或個人資訊用於模型訓練，相關 AI 子處理者也受到合約限制，不得擅自將客戶資料用於訓練模型。Notion 另有需要使用者主動參與的資料分享計畫，適用條件應個別確認。
然而，當 Notion AI 需要回答與工作區相關的問題時，系統仍可能檢索必要內容，並將完成請求所需的資訊交由模型服務商處理，因此「不拿資料訓練模型」並不等於「資料完全不會傳輸」。
資料保留期限也依方案有所差異。依 Notion 目前公開的安全文件，Enterprise 工作區的預設大型語言模型供應商採用零資料保留機制，其他方案的模型供應商則可能保留資料最多 30 天；這些規範主要針對模型供應商的資料處理，不能直接等同 Notion 工作區、聊天紀錄或搜尋索引的儲存政策。
若涉及客戶合約、個人資料或其他敏感資訊，仍需要依目前使用的功能、方案及相關資料處理條款確認實際情況，不能只根據模型供應商的安全聲明作判斷。
Notion AI 與 Custom Agents 的權限有什麼不同？
Notion 官方文件將一般 Notion AI 與 Custom Agents 的權限機制區分得相當明確。
一般 Notion AI 會依照當前使用者的存取權限執行查詢，原則上只能取得該使用者原本有權查看的內容；Custom Agents 則具有獨立的資源權限，能存取建立時授權的特定頁面、資料庫與外部應用程式。
| 比較項目 | 一般 Notion AI | Custom Agents |
| 權限依據 | 當前使用者的個人權限 | 代理本身取得的資源權限 |
| 資料存取 | 原則上限於使用者有權查看的內容 | 可存取明確授權給代理的資源 |
| 工作方式 | 主要由使用者提出請求 | 可依設定與觸發條件自動執行 |
| 跨使用者協作 | 依各使用者權限運作 | 多位使用者可共用同一代理 |
| 主要風險 | 資料處理、回答錯誤與使用者權限管理 | 代理授權過大、間接資訊存取與自動操作失誤 |
Custom Agents 的設計適合需要跨部門使用資料的情境，例如讓專案成員透過共同代理查詢進度，或由代理統整不同資料庫中的工作資訊。
不過，這種機制也存在容易忽略的權限問題。Notion 官方明確說明，使用者即使沒有某個頁面的直接存取權，只要獲准使用能讀取該頁面的 Custom Agent，仍可能從代理的回覆中取得相關資訊；如果代理同時具有寫入權限，使用者甚至可能透過代理修改自己無法直接編輯的資源。
這是 Custom Agents 的權限設計特性，不代表 Notion 發生了新的資料外洩事件，但確實需要在分享代理時仔細確認。
假設某個代理可以讀取公司內部的報價、預算及客戶資料，而所有專案成員都能使用它，即使原始資料庫本身已經限制分享，仍可能透過代理形成另一條資訊存取途徑。
因此，移除某位成員對原始頁面的權限，不一定能完整阻止資料被間接取得。還需要檢查該成員能使用哪些代理，以及這些代理是否仍保有相關資源的存取權。
如何在 Notion 建立 AI 風險管理流程？從資料權限與操作紀錄開始
對自由工作者、小型團隊或企業來說，通常沒有必要建立與 Anthropic 同等規模的 AI 安全評估制度。更實際的做法，是先確認現有 AI 工具能接觸什麼資料、可以執行哪些動作，以及出現錯誤時是否有辦法停止或復原。
這些檢查不需要全面停用 AI，也不必另外建立複雜的管理系統。利用既有 Notion 工作區整理服務清單、權限與風險紀錄，就能作為後續定期複查的基礎。
先盤點 AI 可接觸的資料，再確認供應商處理政策
工作區經常同時存放一般筆記、公開素材、客戶合約、財務紀錄及未公開企劃，但不同資料適合交給 AI 處理的程度並不相同。
可以先依資料性質區分哪些內容允許直接使用 AI、哪些需要去識別化，以及哪些受到合約或內部政策限制，不得交由未經核准的服務處理。完成分類後，再確認各項 AI 功能實際使用的供應商、資料保留方式與適用條款。
尤其當工作流程涉及跨平台整合時，資料可能經過 Notion、模型服務商、連接器與其他自動化平台，不能只檢查單一供應商的隱私政策。
檢查 Custom Agents 與連接器權限，避免授權範圍過大
完成資料盤點後，應檢查目前啟用的代理與外部連接器。
對 Custom Agents 而言，可以從 Tools and Access 設定確認代理已取得哪些頁面、資料庫與外部應用程式權限，再檢查誰能使用代理，以及是否真的需要讀取、修改或對外發送資訊。
如果代理只負責產生專案摘要，通常沒有必要授予資料庫編輯權限；若工作內容只涉及特定客戶，也應避免直接開放整個工作區的資料存取。
對已經不再使用的連接器、過期專案與離職成員，則應確認是否仍保有存取權。Notion Enterprise 管理員也可以依實際開放的功能，透過 Agent Directory、內容搜尋與稽核紀錄管理代理活動。
模擬 AI Agent 的失敗情境，確認錯誤能否阻擋與復原
權限設定完成後，可以利用測試資料模擬常見失敗情境，例如代理讀取不該存取的頁面、根據錯誤資訊修改資料庫，或在外部文件的誘導下執行不必要的操作。
測試時需要檢查實際執行結果，而不能只看代理最後如何描述自己的行為。如果系統原本應該在修改重要資料前取得人工確認，就必須確定代理會在操作前停止，而非完成修改後才詢問是否同意。
對於具有寫入或刪除權限的自動化流程，還應確認是否可以透過版本歷史、備份或其他機制復原資料，以及發生異常時由誰負責停用代理、檢查紀錄並處理後續影響。
建立 AI 風險登錄表，定期檢查服務與代理權限
除了上線前測試，持續使用的 AI 工具也需要定期複查。模型、供應商與平台功能可能更新，原本合理的授權範圍，也可能因專案結束、人員變動或新增整合服務而不再適用。
可以在 Notion 建立簡單的「AI 風險登錄表」，記錄目前使用的 AI 服務、資料範圍與權限狀態。
| 欄位 | 建議記錄內容 |
| AI 服務名稱 | Notion AI、Custom Agent 或其他 AI 工具 |
| 模型與供應商 | 使用中的模型及相關服務提供者 |
| 可存取資料 | 頁面、資料庫、客戶資料或外部來源 |
| 操作權限 | 讀取、建立、修改、刪除或對外發送 |
| 資料敏感程度 | 公開、內部、機密或其他分類 |
| 外部安全評估 | 已公開的第三方研究與評估範圍 |
| 風險與處理狀態 | 已發現問題、改善方式與負責人 |
| 最後檢查日期 | 最近一次確認權限與設定的時間 |
個人工作區可以先整理敏感頁面與不必要的授權，多人協作的團隊則需要額外留意共用代理可能造成的間接存取。對於會自動修改正式資料的工作流程，也應將失敗情境測試納入啟用前的檢查。
Anthropic 的嵌入式評估，會成為 AI 產業的新標準嗎？
Anthropic 與 METR 的合作，提供了一種比傳統公開模型測試更深入的外部監督方式。研究者可以接近模型開發與風險管理流程，再依取得的證據形成自己的結論，這有助於降低 AI 公司與外界之間的資訊落差。
不過，制度能否長期發揮作用，仍取決於後續的實際研究。外界需要知道評估者究竟檢查了哪些系統、哪些問題因存取限制而無法驗證，以及研究結果是否能在不受不當干預的情況下公開。即使報告無法揭露所有內部細節，也應盡可能說明方法、範圍與證據限制，讓讀者能判斷研究結論適用於哪些情境。
METR 10 月 20 日發布的審查，已經呈現第三方研究可能發揮的作用。研究者不一定會推翻企業對整體風險的判斷，卻能指出測試方法不足、監控系統的盲點，以及哪些內部資訊應該進一步公開。至於新的嵌入式評估制度能否提供更充分的證據，仍需等待依新條款執行的研究成果。
對 AI 服務採購者而言，未來閱讀安全報告時，也應區分模型供應商自行發布的測試、外部組織受委託進行的評估，以及具有正式監管效力的稽核。三者能提供的保證不同，不能因為都有第三方參與，就直接視為相同程度的安全審查。
結語：第三方 AI 安全評估能補足資訊落差，實際使用仍需管理權限
Anthropic 讓 METR 研究人員取得接近內部風險評估團隊的權限，為第三方 AI 安全評估提供了新的合作模式。相較於只能依據公開測試與企業報告進行判斷，研究者現在有機會檢查更多開發流程、內部事件與安全措施，但資訊存取與公開仍受到限制，制度的獨立性還需要持續觀察。
METR 最新研究也提醒，現階段模型風險偏低，不一定代表企業已經建立足以應對未來更強模型的防護措施。當 AI 能力與部署方式持續改變，原本使用的監控方法是否仍然有效，需要透過新的測試與實際證據確認。
對 Notion AI 使用者而言，供應商是否接受外部安全評估可以列入服務選擇的考量，但日常工作中更需要確認資料如何處理、代理具備哪些權限，以及錯誤操作能否被阻擋或復原。尤其在使用 Custom Agents 與跨平台自動化時，應同時檢查原始資料和代理本身的分享設定，避免原本受到限制的資訊，因為代理權限而被間接取得。
外部研究可以協助檢驗模型供應商的安全措施，至於工作區要開放哪些資料、允許 AI 自動完成哪些操作，仍需依實際業務需求與資料敏感程度決定。
常見FAQs
METR 是研究前沿 AI 模型能力與風險的非營利組織。Anthropic 讓六名 METR 成員取得接近內部風險評估團隊的權限，以檢視模型風險、防護措施與內部安全管理流程。
一般外部測試多透過模型輸出觀察行為；嵌入式評估則能進一步查看部分內部事件、監控機制與開發流程，協助核對安全報告背後的證據。
依 2026 年 10 月公布的新條款，METR 原則上可以自行發表研究，但客戶資料、法律保密資訊與部分模型架構等仍有限制，Anthropic 可要求刪除特定敏感內容。
不是。METR 表示該報告依先前合作條款完成，研究時尚未取得 10 月 15 日宣布的嵌入式存取權，因此兩項進展應分開理解。
METR 大致同意特定災難性失準風險目前偏低，但認為主要原因是模型能力仍有限，現有監控與風險測試尚不足以證明未來能力更強的模型仍能受到可靠控制。
不代表。這是 Anthropic 與第三方研究者的自願合作，不是政府法定稽核，也不構成 Claude 或其他使用 Anthropic 模型產品的全面安全認證。
不是。Notion AI 回答問題時，仍可能檢索工作區內容並將必要資訊交由模型服務商處理；資料是否用於訓練、會如何傳輸及保留多久，必須分別查看適用政策。
一般 Notion AI 原則上依當前使用者的頁面存取權限運作；Custom Agents 則擁有獨立授權的資源權限。使用者可能透過共用代理間接取得自己無法直接查看的資訊。
盤點敏感資料、縮小代理與連接器的存取範圍，對刪除、對外傳輸或重大修改設置人工確認，並以測試資料演練提示詞注入、錯誤寫入與復原流程。
應確認評估者可取得哪些證據、測試涵蓋的模型與情境、報告發布是否受限制，以及有哪些未解決問題；不能只因報告由第三方執行就視為全面安全保證。