一次演示成功，只能说明模型在那次输入上给出了满意答案。上线需要回答更严格的问题：换一种表达还能完成吗，资料缺失时会不会编造，恶意输入能否越过边界，外部工具失败时会发生什么。

把“效果好”拆成指标

不同任务需要不同评估。抽取关注字段准确率和格式通过率；知识问答关注检索依据、事实一致性和拒答；内容生成关注必须要点、禁用表述和人工接受率；工具型任务关注动作选择、参数正确和最终完成率。

建立一组固定离线样本，包含正常、边界、对抗和历史失败案例。每次修改提示词、模型、知识或工具以后运行同一组样本，防止一个问题变好时另一个问题悄悄退化。

自动评分与人工评审结合

格式、枚举、数字和关键词可以由程序评分。开放式文字可以用规则、模型评审和人工抽检结合，但模型评审也可能偏向特定措辞，必须用人工标注校准。

高风险任务不能只看平均分。即使总体准确率很高，一次错误退款、错误医疗建议或敏感信息泄露也可能不可接受。应单独定义必须为零或必须人工复核的失败类型。

防范提示注入和数据泄露

用户输入、网页、文件和检索内容都可能夹带恶意指令。把外部内容标记为数据，限制可用工具和目标资源，并在工具执行层重新验证权限。不要把密钥、系统提示和其他用户的数据放进模型可回显的上下文。

输出也应经过检查。涉及 HTML、SQL、命令或代码执行时，不能直接信任模型生成内容；使用转义、参数化接口、沙箱和允许列表缩小影响范围。

观察真实运行

上线后记录模型版本、提示版本、耗时、token、错误类别和任务结果，但避免把完整敏感正文写入普通日志。为超时、供应商故障和限流设置降级方案，例如切换备用模型、返回可重试状态或交给人工。

保持人工责任

用户应知道自己面对的是 AI，重要结论应能查看依据，错误应有反馈和纠正渠道。涉及法律、医疗、财务、人事和外部写操作时，明确哪些决定必须由人确认。

可靠上线不是消除所有不确定性，而是知道不确定性在哪里，能够发现错误、限制影响，并在系统无法完成时安全地停下来。