案例13｜每次模型呼叫都留下可稽核軌跡

一、案例定位

本案例聚焦生成式人工智慧（Generative Artificial Intelligence, GenAI）系統的稽核軌跡、使用紀錄與集中監控。

本案例依原書第 8 章的最佳實務、範例或情境重組，並非原書正式案例研究。

二、學習目標

盤點一次 LLM 呼叫應記錄的欄位。
理解 SIEM／SOC 整合用途。
建立可追蹤異常與事件的日誌結構。

三、案例情境

原書要求每次大型語言模型（Large Language Model, LLM）呼叫都留下使用者查詢、模型版本、回答所使用的情境、使用者 ID、時間戳記、輸出與中繼資料，並把日誌整合至既有的安全資訊與事件管理（Security Information and Event Management, SIEM）及安全營運中心（Security Operations Center, SOC）流程，例如 Splunk，以支援集中監控、異常偵測與事件建立。

四、開始資料

日誌欄位	原書要求
使用者查詢	記錄
模型版本	記錄
使用情境	若用於回答則記錄
使用者 ID／時間戳記	記錄
輸出／中繼資料	記錄
集中監控	整合 SIEM／SOC，例如 Splunk

五、Excel／AI 分析方法

將呼叫日誌匯入 Excel，以欄位完整度、模型版本、使用者與時間建立檢查表；AI 可協助找出缺欄位或異常模式，但不能替代正式事件判定。

六、計算結果

原書沒有提供可直接計算的數據，因此不補造結果。

七、結果分析與管理解讀

若系統只保留最終答案而沒有查詢、版本、情境及時間資料，後續很難重建事件。原書因此要求從模型呼叫層就保留可稽核資訊。

八、AI 提問詞

請檢查模型呼叫日誌，找出缺少查詢、模型版本、情境、使用者 ID、時間戳記、輸出或中繼資料的紀錄，並整理成稽核缺口表。