注册人工智能安全评估专业人员（CISP-AISA）三色笔记

人工智能安全强调全生命周期风险管控，覆盖数据、算法、模型和应用等多个层面，目标是将风险控制在可接受水平，而非追求绝对无误或仅关注性能指标。

数据投毒攻击发生在模型训练阶段，攻击者通过向训练数据中掺入恶意样本，破坏模型学习过程，导致模型输出异常或后门行为。

对抗样本是在原始输入上施加人眼难以察觉的微小扰动，使模型以较高置信度输出错误结果的输入样本，属于算法与模型层面的典型安全威胁。

考查STRIDE分类与AI训练数据资产的对应关系。训练数据是模型构建过程的受保护资产，内部人员未经授权对其做批量改写，属于典型的篡改威胁；仿冒针对身份真实性，抵赖针对行为可追溯性，拒绝服务针对可用性，均与本题情境不符。

考查ATLAS的定位。ATLAS由MITRE维护，是面向机器学习系统的对抗战术与技术知识库，以ATT&CK为参照并扩展出ML模型访问、ML攻击准备等AI特有战术，可直接用于威胁建模中的威胁枚举；其余选项分别混淆了OWASP、NIST AI RMF与模型评测基准的用途。

考查逃避攻击与投毒、后门攻击的区分。该人员在推理阶段构造对抗性输入，使已训练好的模型产生错误判断，属于逃避攻击；数据投毒与后门攻击均需在训练阶段介入（后门还须植入触发器），模型窃取则以复制模型功能或参数为目标，均不符合本题情境。

考查《生成式人工智能服务管理暂行办法》关于提供者发现违法内容的处置义务。该办法第十四条规定，提供者发现违法内容的，应当及时采取停止生成、停止传输、消除等处置措施，采取模型优化、强化训练等整改措施，并向有关主管部门报告。A项免除报告义务、C项以协议免责、D项消极等待均不符合规定。

考查深度合成服务提供者提供生物特征编辑功能的特别义务。该规定要求，提供人脸生成、人脸替换、人脸操控、姿态操控等生物特征编辑功能的，应当提示使用者依法告知被编辑的个人，并取得其单独同意。A项提示不足以替代单独同意，C项将同意主体错置为平台，D项人脸替换本质即针对特定个人，匿名化后无法实现功能且不能免除告知义务。

考查生成合成内容标识的类型区分。显式标识是指以文字、声音、图形等方式添加、能够被用户明显感知的标识；隐式标识是指采取技术措施在生成合成内容文件数据中添加的、不易被用户明显感知的标识，包括文件元数据中写入的生成合成内容属性信息、服务提供者名称或者编码、内容编号等制作要素信息。A、B、D项均为用户可感知的显式标识。

考查评估准备阶段的输出物。评估方案在准备阶段编制，明确评估对象、范围边界、依据标准、方法、进度与人员分工，经委托方确认后作为实施依据，故选A。工具测试原始记录表产生于实施阶段，风险等级判定汇总表形成于风险分析与判定环节，整改复测结论报告属于整改验证阶段产物，均不能作为实施前的依据文件。

考查评估实施阶段的取证方法区分。人员访谈是通过与被评估方相关人员交流获取管理、流程类信息的方法，对应题干中的“交流、询问”行为，故选B。文档查阅针对制度文件与记录材料，配置核查针对系统参数与安全配置，工具测试针对通过技术工具对系统发起验证，均与题干描述不符。

考查人工智能安全风险评估的基本流程。资产识别是评估起点，需确定评估对象边界，识别训练数据、算法模型、推理接口等资产并赋值；威胁识别、脆弱性识别和风险计算均在此基础上展开。