FedRAMP 期望什么。
AI Actor 带来什么。
在有后果的决策中采用 AI 的联邦文职机构，需要满足 Federal Risk and Authorization Management Program 基线的云服务。智能体关于自身产生的记录，在 FedRAMP 期望的审计与问责控制下结构上不足。这个缺口也是 AI Actor 在联邦侧存在要填的。
一个短框架
FedRAMP，简述。
Federal Risk and Authorization Management Program 是联邦政府评估云服务的标准化方法。由 2011 年 OMB Memorandum M-11-29 设立，并由 2022 年 FedRAMP Authorization Act 成文，它提供云服务提供商（CSP）实施的单一、一致的安全控制基线，以及各机构复用而非各自评估的单一授权路径。
FedRAMP 有与 FIPS 199 对齐的三个影响级别基线：Low、Moderate 和 High。基线定义为 NIST SP 800-53 控制的配置文件，其中 Moderate 是处理 Controlled Unclassified Information（CUI）的联邦文职 SaaS 系统最常见的授权级别。
CSP 可以走两条授权路径。FedRAMP Joint Authorization Board（JAB，由 DoD、DHS 和 GSA 的 CIO 组成）的 Provisional ATO（P-ATO）授权该服务供政府范围使用。Agency ATO 由赞助机构授予供该机构内使用，并可通过 FedRAMP marketplace 被其他机构复用。两条路径都需要与 Third-Party Assessment Organisation（3PAO）合作产出 Security Assessment Report。
用于联邦决策的 AI 服务处于同一框架内。OMB Memorandum M-24-10 要求联邦机构盘点其 AI 用例，并对影响权利或安全的 AI 施加增强保障——明确包括审计轨迹与可解释性义务。智能体自己的日志不能满足这些义务。
相关控制族
AU 与 AC， 一等公民。
FedRAMP 的审计与问责、访问控制族，正是 Actor 被设计去服务的。
AU — Audit and Accountability
NIST SP 800-53 AU-2（事件日志）、AU-3（审计记录内容）、AU-6（审计审阅、分析与报告）、AU-9（审计信息保护）、AU-10（不可否认）和 AU-12（审计记录生成）共同描述 Witness、Historian 和 Custodian 记录所面向的面。哈希链、仅追加记录直接满足完整性与不可否认期望。
AC — Access Control
AC-2（账户管理）、AC-3（访问执行）、AC-5（职责分离）和 AC-6（最小权限）映射到工作区权限模型，以及 Team 和 Scale 档提供的审计方只读角色。Custodian 记录对记录本身的每一次访问，满足 AC-2(4) 自动审计动作以及与访问绑定的 AU-2 审计事件。
SI — System and Information Integrity
SI-4（系统监控）和 SI-7（软件、固件与信息完整性）与哈希链记录格式对齐，以及监视 Trustvice 自身在每个工作区上基础设施操作的 Tops 并行账本。
路线图姿态
FedRAMP 对齐工作区 将提供什么。
下面的列表描述 FedRAMP 对齐 Trustvice 部署的最终形态。这些项目今天都尚未普遍可用。本页不陈述时间表；它陈述目的地。
以 FedRAMP Moderate 为目标基线。
Moderate 影响级别是处理 CUI 的联邦文职 SaaS 最常见的采购底线。Trustvice 路线图以 Moderate 作为首次授权。High 目前不在路线图上；Low 低于大多数机构用例的实用底线。
授权路径：先 Agency ATO。
与赞助文职机构的 Agency ATO 比 JAB P-ATO 更快到达，且可在联邦 marketplace 复用。Trustvice 路线图以 Agency ATO 路径作为首次授权，待联邦客户量足以支撑时再考虑 JAB P-ATO。
NIST SP 800-53 控制映射。
一份正式的控制实施摘要，把每个适用的 AU、AC、SI、IA、CM 和 SC 控制映射到具体的 Trustvice 技术或程序实施。交付物是提交给赞助 3PAO 的 System Security Plan（SSP）。
端到端 FIPS 140 验证密码学。
FedRAMP 对齐部署路径上的全部密码学将使用 FIPS 140-2 或 FIPS 140-3 验证模块。哈希链记录格式已使用与此配置兼容的原语；部署路径强制使用其验证实现。
部署在 FedRAMP 授权云中。
FedRAMP 对齐的 Trustvice 工作区部署在 FedRAMP 授权托管环境内，而不是标准商业 Cloudflare D1 / Amazon Web Services RDS 路径。子处理者名单、区域和 CSP 授权包被记录，并提供给授权机构审阅者。
持续监控与 ConMon 报告。
FedRAMP 要求每月持续监控交付物——漏洞扫描、行动计划项、事件响应材料——提交给赞助机构。Custodian 和 Tops 记录降低了产出这些交付物的工作量，因为底层活动日志就是机构审阅者已经需要的数据。
当前状态 — 诚实版本
Trustvice 目前在任何影响级别都未经 FedRAMP 授权。标准商业工作区运行在公共 Cloudflare 和 Amazon Web Services RDS 足迹上，不适合处理联邦 CUI。今天为联邦 AI 用例评估 Trustvice 的机构，应围绕未来的 Agency-ATO 部署路径规划，而不是当前商业路径。上面的页面描述的是目的地，不是现在。
保持关注
第一时间知道 何时开放。
留下邮箱，FedRAMP 对齐工作区档普遍可用时我们会联系你。双重确认——加入通知名单前你会收到确认邮件，且不会向此地址发送其他营销。
本页仅供信息，不代表当前 FedRAMP 授权。本页描述 Trustvice 的路线图姿态，以及 Actor 架构如何映射到 FedRAMP 控制族。机构在做出采购决定前应咨询自己的授权官员和 FedRAMP marketplace。 法律.
Trustvice 360声明规则，让每次运行都接受检查。
智能体、证据、治理、商务和披露都在 Trustvice 360 中。免费注册，在一个仪表板中打开所有套件。