审计日志：棋牌AI合规的“黑匣子”怎么落地

棋牌AI的合规不能建立在我们保证不操纵的口头承诺上，监管检查、玩家投诉、平台自查都需要可回放的证据链。审计日志因此不是合规部门的文档工作，而是AI系统的核心组件——每一次决策、每一次策略变更都要落盘。

飞机的黑匣子回答为什么出事，棋牌AI的审计日志回答为什么这么打、为什么这么调。两者共同的工程要求是三条：不可篡改、完整覆盖、随时可导出。缺任何一条，日志在检查场景下都不构成有效证据。

审计日志要覆盖两层：决策层记录每一次AI动作，策略层记录每一次人工配置变更。只留决策不留策略，无法解释AI为什么突然变强；只留策略不留决策，无法举证某一局没有暗改。两层日志用同一套存储与校验机制，缺一层就是证据缺口。

• 决策层字段：session_id、时间戳、玩法、action、cards、latency_ms、emotion、chat_suggest、audit_ref
• 策略层字段：配置项、修改前后值、操作人、生效时间、关联的灰度批次
• 会话聚合：同一session的全部决策可通过audit_ref串成完整链路
• 完整性校验：日志写入后哈希存证，防止事后删改

audit_ref是决策返回中的证据锚点：客户端与服务端各持一份引用号，事后任何一方对某一步为什么这么打有疑问，都可以凭引用号调取完整决策上下文。它的存在本身，就是合规姿态的一部分。引用号要在响应与日志两侧一致，对不上号的证据等于没有证据。

// WebSocket /v1/sessions/{session_id}/stream 返回示例（节选）
{
  "action": "play",
  "cards": ["7", "7", "7"],
  "latency_ms": 42,
  "emotion": "enabled",
  "chat_suggest": "这把先稳一手",
  "audit_ref": "aud_20260909_8f3k29"
}

从行业实践看，监管或渠道侧的检查问题通常落在三类：有没有操纵对局结果收割用户、有没有针对特定用户的不公平策略、AI的使用有没有按协议向用户披露。三类问题在审计日志里都有对应的证据链可调取，这正是双留痕设计的意义。

• 问是否操纵结果：调取目标账号全量对局的audit_ref，回放决策与胜率曲线
• 问是否区别对待：调取策略层变更记录，证明target_range对全体用户一致
• 问是否告知用户：调取接入方协议版本与生效时间，对照日志中的配置生效时间
• 检查前的演练：每季度做一次内部抽查，三类问题各模拟一题

日志保留期限建议不低于1年：行业普遍做法在6个月到2年之间，取1年可以覆盖绝大多数纠纷的追溯窗口，同时控制存储成本。涉诉或被投诉对局的相关日志，应单独延长保留并冻结。冻结动作本身也要留痕，记录谁在什么时间因什么案件冻结了哪些会话。

导出备查的工程要求是格式通用与权限分离：导出为标准JSON或CSV格式供第三方审阅，导出权限独立于运营权限并留痕。审计日志的可信度，一半来自内容完整，一半来自谁看过它同样有记录。权限分离做不好，日志会从证据变成新的风险敞口。