模型服务日志治理不应在“全量保存Prompt”和“完全不记录”之间二选一。全量留存便于复现问题，却可能把用户输入、知识片段、工具结果和敏感信息集中到日志系统；完全不留内容可以减少暴露，却让越权调查、质量复盘和用户申诉缺少证据。平衡点来自审计任务、字段分层、访问范围、期限与例外，而不是一个全局开关。

治理边界：文章提供选择性留存框架，不给出统一法定期限或合规结论；企业需由安全、数据治理、业务和法务/合规协作角色确定适用要求。

先问日志要完成什么任务

不同日志任务需要的信息不同。容量和成本分析通常只需模型、令牌或资源用量、延迟、状态与项目归属；权限审计需要主体、应用、模型、知识域和策略结果；内容争议调查可能需要受控查看输入输出；故障排查则关注请求链、错误、版本和依赖。

如果不先定义任务，平台容易默认把完整Prompt和响应写入通用日志。这样既增加存储，也让运维、开发和第三方工具接触到超出职责的信息。反过来，只记录HTTP状态，又无法回答某次拒绝依据和模型版本。

建议为每类审计任务写“必要字段、是否需要内容、可见角色、保留窗口、删除方式、例外条件”。同一请求可以产生不同层级的记录，而不是复制一份完整内容给所有系统。

把日志拆成元数据、内容和处置证据三层

下图展示全量事件如何经过筛选进入元数据常规层、内容受控层和事件证据层。阅读任务是把现有日志字段放到对应层，并删除没有明确用途的默认留存。

元数据层可包含请求ID、受控主体和应用标识、模型与版本、知识域、策略结果、时间、延迟、资源用量和状态。内容层包括Prompt、响应、检索片段和工具参数，应采用默认不留、脱敏、抽样、短期或事件触发留存。处置证据层保存告警、审批、查看记录、导出、删除和复核结论。

审计可用性主要依靠稳定标识与决策记录，不必默认依靠完整Prompt。当确实需要内容时，也应明确目的、范围和退出，而不是永久复制到通用日志。

四种内容策略可以按场景组合

默认不留适合普通运行监控：只保存元数据、错误码和模型版本。脱敏留存适合需要观察输入模式但不需要原值的场景，前提是验证脱敏对文本、附件和工具参数都有效。抽样留存可用于质量评估，但样本选择、访问与删除要受控，避免抽样变成长期全量。

事件触发留存适合高风险告警、用户申诉或故障调查。在触发后短期保存相关请求上下文，由授权人员查看，完成后按流程删除或归档受控证据。某些业务可能要求用户明确选择是否提交内容用于改进，这也需要清晰说明和可撤回路径。

不同应用可以选择不同组合。内部低敏感助手与处理敏感知识的应用，不能共享一个日志模板。流式输出、文件上传、RAG片段和工具调用也要单独检查，不能只配置Prompt字段。

脱敏并不自动等于不可识别

文本中的姓名、联系方式或编号可能被规则处理，但上下文、罕见事件和组合信息仍可能指向个人或业务。代码、配置、图片和附件还可能包含凭据或内部路径。脱敏质量需要用代表性样本验证，并承认残余风险。

脱敏最好在内容进入通用日志前完成，避免先全量落盘再处理。对无法可靠识别的高敏感应用，可采用不留内容或仅在受控事件仓短期保存。原始内容与脱敏内容应使用不同访问域，不让普通运维顺利获得调试开关绕过。

脱敏规则本身需要版本与回归。新增业务字段、语言或附件类型后重新测试；发现漏脱敏时评估历史日志影响，采取限制访问、补处理或删除等措施。

访问控制和查看行为也是日志的一部分

日志系统常被视为运维基础设施，管理员可以广泛搜索和导出。但模型日志可能比原业务系统更集中，包含跨部门Prompt、知识片段和工具结果。访问应按任务、业务域和时间限制，敏感内容需要额外审批或双人复核，具体级别由企业制度决定。

谁查看了什么、为何查看、是否导出、何时删除，应形成二级审计。管理员权限也需分离：平台维护者不必默认读取内容，内容复核者不必拥有日志配置权限，安全调查人员的临时访问到期后要撤销。

紧急故障可能需要扩大访问。可建立有期限的紧急授权，记录事件编号、范围与审批，结束后复核导出和本地副本。平台能实施权限，企业负责角色与例外判断。

留存期限应由任务与风险决定

不同记录不必同寿命。运行元数据可能用于趋势和容量，安全事件证据按调查需要保存，原始内容则通常更敏感，宜缩短或不保存。企业应结合业务、合同、适用要求和技术能力确定期限，文章不提供统一天数。

到期删除必须可验证。主存储删除后，还要考虑索引、缓存、备份、导出和下游分析副本。无法即时清除的备份可限制恢复用途与访问，并记录最终处理计划。删除失败应告警，而不是只修改台账状态。

法律保全、调查或用户申诉可能触发例外保留。例外要限定事件、内容范围、批准人和结束条件，不能把一个事件变成全局无限期保存。

用一张留存矩阵协调安全、业务与运维

以下矩阵可作为讨论起点：

矩阵需要落到具体系统：网关、模型服务、应用、知识库和工具分别记录什么，哪个是审计真源，如何用请求ID关联。重复保存同一内容不仅浪费，也扩大可见面。

平台能力不能替代企业的留存判断

平台可以提供字段开关、脱敏、采样、分层存储、访问控制、删除和审计，但它不知道每项业务的法律与风险背景。企业需要指定日志所有者、数据分类、审计任务和例外审批，并定期抽查配置与实际落盘是否一致。

同时要防止应用自行记录。即使模型平台关闭Prompt日志，应用调试、代理、APM或错误上报仍可能保存内容。治理范围应覆盖完整调用链，并在版本发布时检查新增日志字段。

更多模型服务和平台运行治理内容可在 AI基础设施分类 查看。完成留存矩阵后，可结合实际审计任务评估 AI解决方案 的相关能力，仍以POC证据为准。

下一步：从三项审计任务倒推日志配置

先选择容量分析、权限复核和事件调查三项真实任务，列出必需字段、是否需要内容、查看角色与结束条件。盘点网关、应用、模型、知识库和工具的实际日志，删除无目的全量内容，补齐请求标识与策略版本。再演练一次事件触发留存、受控查看和到期删除，确认主存储、索引和导出都有回执。

常见问题

模型服务必须保存完整Prompt才能审计吗？

不必须。多数访问、性能和权限审计可以依靠请求ID、受控主体、应用、模型版本、知识域、策略结果、时间、状态和资源用量完成。完整Prompt主要在内容争议、质量抽查、用户申诉或安全事件中提供额外语境，可采用脱敏、抽样或事件触发的短期受控留存。

是否保存要从审计任务倒推，并评估内容敏感度、访问范围和删除能力。即使不留正文，也要确保元数据能关联应用、模型和策略；即使留了正文，也不能因此声称满足所有审计要求。企业需按业务与适用要求决定，平台默认配置不应直接成为合规结论，并要定期抽查实际落盘与配置是否一致。

脱敏后的Prompt还能支持问题追查吗？

通常可以支持部分追查，但取决于调查目标和脱敏粒度。性能、路由、策略命中和一般质量问题往往只需结构、长度、类别和受控占位符；若需要核对具体语义、上下文或工具参数，过度脱敏可能丢失关键证据。可以保留请求ID和原始内容的受控引用，在正式调查时按权限访问。

脱敏也有残余风险，罕见语境和多字段组合可能重新指向主体。应使用代表性样本测试规则，对文本、附件、代码和工具结果分别处理，并记录规则版本。发现漏脱敏时要评估历史日志。脱敏是降低暴露面的手段，不是保证匿名或替代访问控制。

谁应该有权查看受控留存的原始内容？

应按任务最小化，而不是所有平台管理员都可查看。内容审核人员可以处理指定业务和事件，安全调查人员按事件临时访问，业务负责人查看与其应用相关的必要范围，法务/合规协作角色在特定判断中参与。基础设施运维通常只需元数据和错误信息。

原始内容访问应有申请理由、事件或工单、时间限制、查看与导出记录，必要时采用双人复核。紧急访问结束后撤权并检查本地副本。具体角色由企业制度决定，平台提供技术执行。任何长期“超级管理员可看全部”的安排都应明确风险、补偿控制和定期复核。