STAR for AI 是云安全联盟（CSA）于 2025 年 10 月发布的 AI 安全保证框架，也是全球第一个面向人工智能的 STAR 保证体系。基于 CSA 人工智能控制矩阵（AICM）建立。AICM 包含 18 个安全域、247 项控制目标，与 ISO/IEC 42001、NIST AI RMF 等标准对齐，是 CSA 制定的 AI 安全控制基线。
 

在 AICM 基础上，STAR for AI 提供两级保证：Level 1 为企业自评估，Level 2 为第三方审核。两个层级的结论均提交至 STAR Registry 公开登记，任何组织都可以查询企业披露的 AI 安全控制内容及其验证方式。
 

图 1　STAR for AI 的构成：AICM 基线、AI-CAIQ、两级保证与公开登记

二、两级保证：Level 1 与 Level 2

Level 1 · 自评估。企业按照 AICM 完成 AI-CAIQ 自评估问卷，逐项声明控制实施情况，提交至 STAR Registry 形成公开披露，每年更新一次。这一层级适合希望以较低成本建立透明度、需要向客户作出标准化披露的组织。
 

Level 2 · 第三方审核。企业取得 ISO/IEC 42001（人工智能管理体系）认证，并通过 CSA Valid-AI-ted 完成 AI-CAIQ 的标准化评分，证书与评分组合提交后获得 STAR for AI Level 2 标识。这一层级适合 AI 应用处于中高风险环境、需要向客户与监管方提供独立验证证明的组织。
 

图 2　Level 1 与 Level 2 两级保证的内容与适用对象

两个层级可以递进：企业可先通过 Level 1 建立披露基线，再推进 ISO/IEC 42001 认证升级至 Level 2。

STAR for AI 的早期采用者包括 Microsoft、Zendesk、Anthropic、Sierra 等。

 

三、申请路径与公开验证

Level 1 路径分四步：对照 AICM 梳理现状并完成 AI-CAIQ 自评估；将自评估提交至 STAR Registry；获得 Level 1 刊登、全球可查；每年更新披露内容。

Level 2 路径分四步：由认证机构完成 ISO/IEC 42001 管理体系审核；完成 Valid-AI-ted 的 AI-CAIQ 标准化评分；将证书与评分组合上传 STAR Registry；获得 Level 2 标识并公开展示。
 

图 3　两条申请路径与公开验证

无论哪个层级，结果都以 STAR Registry 登记为准，不是企业的自我声明。STAR Registry 目前收录 2,500 余条公开条目，是全球范围内使用最广的云安全与 AI 安全信任登记库。


四、与 AISMM 认证的关系

CSA 大中华区目前在 AI 方向提供两项认证，二者回答的问题不同：
 

• AISMM 人工智能安全成熟度认证回答"我们的 AI 安全管理做到什么程度了"。它对组织的 AI 安全管理工作做成熟度分级评价（L1–L5），覆盖 3 大领域、12 项能力类别，产出改进路线。
• STAR for AI 回答"对外披露了哪些控制、谁来验证"。它以 AI-CAIQ 和 ISO/IEC 42001 为依据，对控制实施情况做标准化披露与独立验证，结论全球公开。

图 4　AISMM 与 STAR for AI 的定位与配合路径

两项认证互补，可以配合推进：先通过 AISMM 评估确定目标等级与差距，按 AICM 落地控制措施，再通过 STAR for AI Level 1 公开披露，进而申请 Level 2，之后按年度持续改进。

 

五、认证能够提供什么

对供应商：以国际统一的口径向客户说明自身 AI 安全控制情况；Level 2 提供第三方审核结论，减少投标与采购问答中的重复说明；登记在 STAR Registry 后，披露内容可被全球客户直接查证。

对采购方：获得统一格式的 AI 安全披露，可跨供应商比较；可通过 Registry 核实披露内容与验证方式，降低对供应商自述的依赖。

 

六、适用对象

• 向客户提供 AI 产品或服务（含模型、平台、应用、集成服务）的供应商；
• 在内部部署 AI 系统、需要向管理层或监管方说明安全控制情况的组织；
• 已有 ISO/IEC 27001 或正在实施 ISO/IEC 42001 的组织；
• 需要同时提交 AI 安全与云安全证明（STAR 与 STAR for AI）的企业。

七、常见问题

Q：STAR for AI 与传统的 CSA STAR 是什么关系？
STAR for AI 是 STAR 保证体系在人工智能领域的延伸，控制基线由云控制矩阵（CCM）换为 AI 控制矩阵（AICM），披露工具相应使用 AI-CAIQ。两者可并行持有。

Q：没有做 ISO/IEC 42001 认证，可以先申请吗？
可以。Level 1 只要求完成 AI-CAIQ 自评估并提交 Registry，不要求管理体系认证。Level 2 才需要 ISO/IEC 42001 证书。

Q：披露的内容会被公开吗？
会。Level 1 与 Level 2 的结论均刊登在 STAR Registry，公开可查，这也是该认证区别于企业自我声明的主要特征。

Q：AISMM 和 STAR for AI 应该先做哪个？
两者定位不同，不构成先后条件。常见做法是以 AISMM 评估确定建设重点，落地控制后用 STAR for AI 对外披露；也可以只申请其中一项，视客户与业务要求而定。

Q：申请周期需要多久？
Level 1 自评估主要取决于企业自身准备情况；Level 2 涉及 ISO/IEC 42001 审核与 Valid-AI-ted 评分，周期与认证机构排期相关。具体周期可在咨询时结合企业现状评估。

 

咨询与申请

如需了解 STAR for AI 的认证范围、评估流程或申请方式，请联系云安全联盟大中华区 叶女士 19925407556  candyye@c-csa.cn