Red Hat 發起 asago 開源社群，想將 AI 治理文件一路駁到執行控制

將政策文件接返工程流程

企業做 AI 治理，最常見卡位係法務寫完政策，工程團隊仍然要逐句估應該測咩、加咩控制、點樣留下證據。Red Hat 發起嘅 asago（AI Safety And Governance Orchestration），就係想駁通呢條鏈。iThome 報道提到微軟、NVIDIA、IBM Research、MIT Lincoln Laboratory 同 Alan Turing Institute 等機構有參與；講準確啲，Red Hat 官方名單將佢哋列為社群成員或支持機構，各方有幾多程式碼已經合併，暫時未有清楚分工表。

圖片：Wikimedia Commons — Jiří Sedláček - Frettie（CC BY-SA 3.0）

asago 想點樣由一句政策變成控制

第一步係讀取 PDF、Word 或 HTML 政策文件，再搵出每段涉及嘅 AI 風險。現有 Policy Mapper會用 IBM AI Atlas Nexus 做風險知識底層，配合關鍵字搜尋、語意模型同 LLM，將政策內容對照 NIST AI RMF、OWASP LLM Top 10、OWASP Agentic Top 10 等分類。結果會保留原文證據位置同信心分數，方便人手覆核，唔使淨係信模型交出嚟嗰個風險標籤。

Red Hat 描述嘅完整藍圖仲有幾步：按風險產生針對個別用途嘅安全測試，測完建議 guardrails 或營運控制，最後輸出 Kubernetes、Terraform 同 Ansible 設定。每一步都會留低 audit trail，將政策條款、測試結果、採用理由同正式環境控制串埋。咁樣審計人員就可以由某項控制追返相關政策，工程團隊亦睇到條規則點解要加。

同 prompt guardrail、模型評測差喺邊

一般 prompt guardrail 多數守住模型輸入同輸出，例如擋提示注入、敏感資料或危險內容；模型評測就用一組題目量度準確度、安全性同偏差。asago 嘅範圍闊好多，起點係公司政策，跟住揀風險、測試同控制，再記錄成一條證據鏈。換句話講，guardrail 同評測工具可以成為 asago 編排嘅零件，asago 本身亦要靠呢啲零件先做到後續控制。

微軟嘅 Agent Governance Toolkit就近似正式環境嗰一截：佢已提供 Python、TypeScript、.NET、Rust 同 Go 套件，可用確定性程式碼攔截 tool call，執行 allow、deny 或人手批核規則，亦涵蓋身份、sandbox 同 audit log。asago 嘅重心擺得更上游，負責理解政策同揀啱測試及控制。兩邊喺 policy engine、audit trail 同 agent 控制確實有重疊，但暫時未見官方公布兩個項目點樣整合，微軟加入社群亦唔代表兩套程式碼已經打通。

有原始碼，但仲未係完整產品

asago GitHub 組織直認項目處於 formation stage。現階段最完整係 Apache 2.0 授權嘅 Policy Mapper：要求 Python 3.11、uv、IBM AI Atlas Nexus 原始碼，同一個 OpenAI 相容 LLM endpoint；embedding 預設可以用 CPU 跑，亦有 Jupyter Notebook 範例，輸出支援 JSON、YAML 同 HTML。另一個實驗項目 MiDojo 可以經 MCP、PI 或 OGX 測試 agent 點樣應付提示注入，不過部分 sandbox backend 仍然標明係 scaffold。

所以官方講嘅統一介面、完整自動安全測試、連續 audit trail，同 Kubernetes、Terraform、Ansible 部署設定，大部分仲係發展方向。現有 repository 冇一鍵安裝嘅完整 asago 平台、穩定版本承諾或正式環境支援矩陣。企業而家可以試 Policy Mapper 同 MiDojo，但應該當成早期組件，唔好當成現成治理產品。

對照法規唔等於自動合規

呢點要講清楚：NIST 自己將 AI RMF定位為自願框架；EU AI Act 責任亦會跟系統風險級別、供應者同使用機構角色而變。asago 幫手建立風險對照同證據，確實可以減少法務同工程之間反覆翻譯，但 LLM 仍可能理解錯政策，分類表亦可能追唔上法規更新。信心分數、人手批核、獨立法律意見同正式環境驗證仍然少唔得。

有自行部署 AI agent、處理客戶或內部敏感資料嘅企業，可以先喺隔離環境用佢整理政策同測試風險。下一步要睇 asago 幾時交出可重複驗證嘅下游控制、穩定版本，同真正可用嘅部署設定；做到嗰度，先適合認真評估正式環境採用。

參考來源

• iThome — Red Hat攜手微軟、Nvidia成立asago開源專案，協助AI治理政策落實至正式環境 — original report
• Red Hat：asago 官方公布 — 核實完整藍圖、支持機構、授權、部署目標同項目成熟階段
• asago GitHub 組織 — 核實現有組件、社群狀態同公開原始碼範圍
• asago Policy Mapper — 核實安裝要求、風險對照方式、輸出格式、評測資料同 Apache 2.0 授權
• IBM AI Atlas Nexus 文件 — 解釋 asago 用嚟串連多套風險分類嘅知識圖譜底層
• Microsoft Agent Governance Toolkit — 比較兩個項目喺正式環境規則執行、身份、sandbox 同 audit log 嘅定位
• NIST AI RMF 1.0 — 核實 AI RMF 係自願、跨行業風險管理框架，避免誤寫成法規認證

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。