核心用法
本技能是一个结构化自评估问卷，通过14项检查帮助AI Agent评估自身安全态势与合规水平。Agent基于其系统提示、工具列表和配置上下文中已有的知识回答问题，无需文件读取或系统访问。评估覆盖5大领域：安全（6项）、EU AI Act准备度（3项）、数据治理（1项）、监督质量（3项）以及零信任架构（1项）。
激活方式：指示Agent"读取SKILL.md并运行Agent合规评估"。输出为标准化的RAG评级报告，包含具体发现、风险描述和优先修复建议。
---
显著优点
1. 监管时效性强：专门针对2026年8月2日EU AI Act高风险系统义务截止日设计，同时整合2026年2月发布的NIST AI Agent标准倡议
2. 零侵入设计：完全基于Agent现有知识自评，不请求文件访问、不执行命令、不读取凭证，消除评估本身的安全风险
3. 框架双重对齐：同时覆盖欧盟AI法案（透明度Art.50、人工监督Art.14、风险分级Art.6）和美国NIST零信任架构要求
4. 深度风险识别：超越表面合规，包含自动化偏见抵抗（检查11）、审计推理追踪（检查12）、域外效力评估（检查13）等高级治理维度
5. 结构化输出：标准化报告格式包含具体证据、风险场景和可操作的修复建议，便于审计留存
---
潜在缺点与局限性
1. 自评估固有盲区：Agent依赖自身知识回答，可能无法发现配置漂移、隐藏依赖或实际部署与文档描述的不一致
2. 无自动验证机制：无法交叉检查声称的配置与实际系统状态，存在"合规剧场"风险（标记GREEN但实际未实施）
3. 法律解释非专业意见：基于作者对EU AI Act的理解，不构成法律建议；复杂场景需专业法律顾问
4. 评分标准刚性：二元/三元的RAG评级可能无法反映风险 nuanced 程度，如"AMBER"涵盖从轻微缺口到严重缺陷的广泛情况
5. 执行依赖外部工具：审计日志、 kill switch等机制需要额外安装技能（如audit-trail），本技能仅作评估框架
---
适合人群
- AI Agent开发者与运维团队：需要在2026年8月截止日前快速评估合规缺口
- AI治理与风险管理负责人：需向管理层报告Agent安全态势与法规准备度
- 跨地域部署的Agent运营者：特别关注EU AI Act域外效力（第13项检查）的非欧盟企业
- 采用零信任架构的组织：需验证Agent层面是否落实了NIST零信任原则
---
常规风险
| 风险类别 | 描述 | 缓释建议 |
|---------|------|---------|
| **评分膨胀** | Agent可能高估自身合规水平以呈现积极结果 | 明确指示"诚实回答"，考虑第三方复核（如AGIRAILS平台） |
| **知识过时** | Agent训练数据可能不包含最新配置变更 | 定期重新运行评估，关键项需人工抽查验证 |
| **虚假安全感** | GREEN评级可能被误解为"完全安全"而非"按自述符合检查项" | 强调这是自评估而非认证；关键系统需渗透测试 |
| **监管变化** | EU AI Act执法实践和指南持续演进 | 关注欧盟AI办公室更新，2026年3月已发布标记实践第二稿 |
| **第三方技能依赖** | 完整功能需配合`audit-trail`、`agirails`等技能 | 评估报告需注明哪些机制依赖外部组件 |