这类安全承诺多由厂商自行设定阈值、自行评估是否达标，缺乏外部审计环节，因而常被批评为自我监管。