AI供应链安全（5）：成效展示——AI供应链

台账建了、清单出了、检测也跑了，可真出事时还是答不上来——这套体系现在到底能挡住什么？

说白了，能力建成不等于生效。台账没人维护就成了幻觉，报告没人跟进也是幻觉，哈希存了却复现不了结论更是幻觉。判断标准就一条：能不能在规定时间内给出答案。

成熟度分五级，多数人卡在 L1 到 L2。真正分水岭是 L3，体系能自动触发响应，小时级甩出受影响名单，而不是靠人工翻清单。稳在 L3、慢慢补上 L4 的度量，对大多数组织已经够用。

到了 L4 设指标，坑特别多。只统计发现问题数，团队就会刷用例、报低危凑数；只看覆盖率不看准确率，100% 覆盖也比 80% 更糟；把“未评估”算成“通过”，合规率直接被虚高。

最容易翻车的，是四个失效模式。台账建完没人看，叫“建而不用”；运行期变更没捕捉到，叫“用而不准”；有结论不处置，叫“准而不闭环”；改完不复测，问题只是被掩盖，看着像闭环其实最隐蔽。

资源有限就抓三件事：先建台账和清单，再接入工单和应急响应，最后才设指标找短板。