Agent Skills
返回列表
腾讯会议全链路安全审计

腾讯会议全链路安全审计

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_4bfc9f62/tmeeting-360-audit。

技能介绍

要解决什么问题

企业里腾讯会议往往是对外协作、录屏留档和 AI 纪要的入口，风险却分散在会前链接、会中身份、会后录制 URL 和纪要正文里。运维与安全同学很难靠人工逐项核对：链接是否可被劫持、等候室与录制权限是否过宽、是否有未受邀或匿名入会、录制是否可被未授权下载、纪要里是否夹带密码或 Token。

本技能在官方 tmeet CLI 之上做深度集成，把上述检查收敛成可重复执行的审计流程，并输出百分制评分与 critical / high / medium / low / info 五级风险归类，便于对齐整改优先级。

如何工作

共 44 项独立检测规则，按会议生命周期分组执行，单项失败不会拖垮其余项：

  • 会前（14 项）：链接侧含协议、域名、会议号、权限、有效期与防劫持；配置侧含等候室、入会密码、屏幕共享、录制权限、水印与成员管理。
  • 会中（16 项）：人数超限、外部人员、异常角色与多设备等参会行为；未受邀、外部域名、匿名与重名等待身份核验；等候室拒绝记录、通过率与审批痕迹。
  • 会后（10 项）：自动/云录制、录制权限、下载地址、文件完整性与多份录制等录制安全与审计项。
  • 纪要（4 项）：对纪要内容扫描密码/密钥、Token/凭证、个人隐私与敏感业务关键词。

输入支持 HTTP/HTTPS 会议链接或纯会议号；实现上通过 subprocess 调用 tmeet CLI，终端彩色输出并生成 JSON 报告。相对官方 tmeet-skill，本工具侧重全链路安全检测与评分体系，基础会议操作能力仍保留对齐。

适用边界与注意点

若 tmeet CLI 未登录，行为会自动降级为 v1.0：仅做链接安全检测，会中/会后/纪要相关项无法覆盖，审计前应先确认 CLI 登录状态。

检测结果依赖 CLI 可拉取的会议元数据与权限；纪要扫描的有效性取决于纪要文本是否可得。规则是启发式审计，不能替代渗透测试或腾讯侧官方合规认证，高风险项建议结合企业 IAM 与会议管理后台人工复核。

使用场景

  • 对外客户或供应商会议开始前，用链接或纯会议号执行会前 14 项链接与配置检测，核对等候室、入会密码与录制权限是否过宽。
  • 安全值班收到外部域名或匿名入会告警后，针对该场会议跑会中 16 项参会核验与等候室审计，并留存 JSON 报告用于复盘。
  • 合规要求保留云录制的项目结束后，对会后 10 项录制与下载地址规则做审计，确认是否存在未授权录制或可外泄的下载链。
  • AI 或人工纪要要同步到知识库或邮件群发前，对纪要正文执行密码/密钥、Token、个人隐私与敏感业务词四类扫描。

适合人员

  • 负责企业腾讯会议账号与策略的 IT 运维，需要在变更窗口或季度巡检时批量验证会议链接与入会权限配置。
  • 对接等保、内审或客户安全问卷的信息安全工程师，需要可重复的 44 项全链路结果与 critical/high 分级便于整改排期。
  • 组织跨部门/外部协作的项目经理，在外部人员参会后想确认是否存在未受邀入会、异常角色或多设备异常等行为。
  • 整理会议录制与纪要入库的知识管理或法务支持同学，在对外发布前必须排查纪要中的凭证泄露与个人隐私表述。