一、开场：主文件的续集

上一期拆解了新加坡金管局发布的《AI 模型风险管理》信息文件，这一期是续集——把主文件之外的配套法规拼成完整拼图：FEAT 原则、Veritas 方法论、Mind Forge 运营手册、GenAI 网络风险与数据治理五份材料，十二步讲透 MAS 的 AI 监管到底是怎么长出来的。

二、落地四问：为什么需要配套文件

主文件告诉银行：识别 AI、建清单、做重要性评估、全生命周期管控。但真到落地，四个问题立刻冒出来。第一，十四条原则听上去很美，拿什么逐条检查？第二，模型公平不能靠感觉，怎么度量才算数？第三，生成式 AI 的幻觉和提示注入，传统模型风险框架根本不管用。第四，数据质量一塌糊涂，评估做得再漂亮也是空中楼阁。配套文件，就是这四问的答案。

三、七年演进线：从价值到方法到运营

MAS 的监管路线，是一条七年递进的演化线。二零一八年，FEAT 原则定价值——公平、伦理、问责、透明。二零一九年，Veritas 计划给方法——把原则翻译成检查清单和工具。二零二三年，Project Mind Forge 补运营——专门对付生成式 AI。二零二四年，网络风险与数据治理两份文件打专题补丁。最后，二零二五年预告的监管指引，把良好实践变成检查标准。

四、FEAT 十四条原则：AI 监管的宪法

第一份配套，FEAT 十四条原则。公平四条：决策可辩护、数据无偏见、模型稳健、审慎对待个人属性。伦理两条：不伤害、符合组织价值观。问责五条：有明确责任人、管理层监督、纳入风险管理、客户能申诉、对外披露。透明三条：主动告知、解释数据与决策、解释后果。还有一条灵魂设定：七项考量校准治理强度——不是所有 AI 都值得同等用力。

五、Veritas 方法论：把原则翻译成可审计的清单

第二份配套，Veritas 方法论。十八个问题分五组：描述系统目标、检查数据与模型、衡量不利影响、论证个人属性使用、检查监控与审查。配套四组清单：治理、伦理问责、公平、透明。公平度量用行业惯用的百分之二十阈值。而且整套逻辑开源成 Veritas 工具包，新加坡华侨银行直接把它接进了自己的机器学习平台。

六、Project Mind Forge：生成式 AI 的运营手册

第三份配套，Project Mind Forge，面向生成式 AI 的运营手册。白皮书先给出七大风险维度：公平偏见、伦理影响、问责治理、透明可解释、法律合规、监控稳定、网络安全。执行手册再落地成十七条考虑，分四大板块：治理与监督、风险管理、生命周期、能力基建。关键是补了两个传统框架没有的阶段——模型接入构建，和模型使用输出，幻觉就在输出阶段爆发。

七、踩坑一：Veritas 七行试点暴露的四大缺口

先看方法论自己踩的坑。Veritas 第三阶段找了七家银行试点：纽约梅隆、星展、汇丰、华侨、Singlife、渣打、大华。结果暴露四大工具缺口。第一，图像签名这类非结构化数据，公平性工具完全没有。第二，Singlife 做交易监控，工具不支持无监督学习。第三，没有人口统计特征的时候，个人层面的公平没法评估。第四，开源工具不支持 Spark 和 Python 之外的技术栈。试点最大的价值，是诚实地承认了工具能做什么、不能做什么。

八、踩坑二：生成式 AI 的网络攻击面

再看网络风险，生成式 AI 的攻击面。第一，深伪视频骗过东南亚银行的面部识别，冒充高管发起转账，香港一位财务总监被骗两千五百万美元。第二，犯罪版大语言模型让钓鱼邮件批量定制。第三，提示注入和越狱，三星员工把机密代码粘进外部 AI 工具，直接被拿去训练。第四，训练数据投毒，污染数据源让模型输出被操控。对策一句话：活体检测、二次验证、数据分类边界、检索源白名单。

九、踩坑三：数据地基塌方

第三层坑，数据地基。金管局对系统重要性银行做了专题检查，对照巴塞尔二三九原则，发现问题扎堆。终端计算工具——就是 Excel 这类——泛滥成灾，关键数据在表格里算完就算完，没人管。数据血缘缺失，问题数据影响哪些报告，追不到源头。独立验证职能不够独立，开发方自己验证自己。数据质量没有评分卡，八个质量维度一项都说不清。数据治理不补课，AI 评估全是空中楼阁。

十、效力梯度与五份文件的咬合

一个重要认知：这些文件的效力不一样。信息文件是观察分享，良好实践是行业标杆，指引是监管期望的正式表达，巴塞尔二三九对系统重要性银行是强制底线。五份配套怎么咬合？举个例子，一家银行上线生成式 AI 信贷审批助手：FEAT 判定这是高重要性用例，Veritas 走十八问做公平审计，Mind Forge 登记进用例清单做红队测试，网络风险文件要求提示注入防护，数据治理确保信贷数据血缘清晰。五份文件，一套流程。

十一、验证数据：七年建成的工程

把整套体系的数据摆出来：十一份核心文件，七百九十四页。十四条 FEAT 原则，十八个评估问题，十七条运营考量，七大风险维度，八个数据质量维度，百分之二十的公平阈值，七家银行的试点样本。从二零一八到二零二五，从价值到方法到运营，MAS 用七年时间把 AI 监管从口号建成了工程。

十二、总结

FEAT 定义什么是对的，Veritas 教你怎么证明，Mind Forge 管生成式 AI 怎么运营，网络风险文件堵攻击面，数据治理文件打地基。五份配套加上主文件，就是 MAS AI 监管的完整拼图。二零二五年监管指引落地之后，这些良好实践就是检查标准。对每个用 AI 的团队，今天就是按图施工的最好时机。

以上内容根据公开资料整理，具体以官方文件为准。