让决策可核验：贷款计算、AI 量表与 CSP 审计

共同原则：先记录假设，再看结果

贷款计算、AI 评估和 CSP 看似不同，却共享一条重要规则：先记录输入与假设，再生成结果或评分。没有上下文的精确数字、高分或很长的安全策略，价值都很有限。

工具应帮助组织决策，而不是自动承担责任。财务、组织和安全关键审批仍需要明确负责人、最新规则和可审计记录。

• 记录输入来源和时间。
• 保留并显示不确定性。
• 测试反例和边界情况。
• 明确最终审批责任人。

正确阅读贷款情景

年金公式在周期利率不变时计算等额还款。初期利息占比较高，随着余额下降，本金占比提高。延长期限可能降低月供，却增加总成本。

不要只比较月供，还要核对实际年利率、费用、保险、税费、浮动利率、提前还款和官方舍入规则。ByteQuant 结果是数学情景，不是具有约束力的报价。

• 不要混淆月利率与年利率。
• 纳入所有一次性成本。
• 比较多个期限。
• 以银行正式计划和法定披露为准。

用量表而不是直觉评估 AI 回答

优秀量表应针对具体任务，定义少量可区分标准、权重和可观察问题。准确性、来源、不确定性、安全性和受众适配应分别评分，因为流畅语言可能掩盖事实错误。

四级标准有助于校准。让多位评审者独立评价同一批样本，比较差异并改进描述。量表得分不能证明内容真实或模型安全。

• 权重应与潜在影响一致。
• 每项标准都需要可观察证据。
• 测试边界案例和故意错误回答。
• 记录评审者之间的差异。

分阶段部署 CSP，避免生产故障

Content-Security-Policy 限制浏览器可从哪些来源加载脚本、样式、图片等资源。default-src、base-uri、object-src 和 frame-ancestors 是合理起点。通配符、不安全 HTTP、unsafe-eval 与内联脚本会扩大攻击面。

严格策略也可能阻断正常功能。应先使用 Content-Security-Policy-Report-Only，在不包含敏感数据的前提下收集违规，盘点真实来源，并尽量用 nonce 或 hash 取代宽泛例外。完成浏览器与功能测试后再正式强制。

• 先建立资源来源清单。
• 结合 Report-Only 与自动化页面测试。
• 不要在报告中发送秘密信息。
• 每次新增第三方集成都重新审计。

定义明确的停止与审批条件

每个流程都要有停止条件：贷款结果与正式计划不符、AI 评审者一致性不足，或 CSP 报告出现无法解释的拦截。遇到这些情况应返工，而不是自动批准。

记录版本、输入、结果、评审者和最终决定。这样，浏览器工具才能成为受控流程的一部分，而不是看似给出最终答案的机器。