会议脱敏官

为什么需要自动化脱敏

会议纪要与逐字转写往往混杂凭证、手机号、身份证号、未公开并购计划等敏感内容。直接分享原始记录容易在合规和安全上踩坑；手动逐条涂抹不仅效率低，还可能漏项、破坏上下文，或把原文覆盖掉导致无法追溯。

核心能力与工作流程

会议脱敏官把「可复核」放在首位。它默认只读腾讯会议源数据，不覆盖输入，不自动发送结果，所有改动都生成新文件。

关键步骤

• 确定输入与受众：根据分享对象选择 internal、partner 或 public 模式；未说明时默认生成 partner 预览并标注假设。
• 规范化与只读接入：粘贴文本按纯数据处理；从腾讯会议读取时只调用官方 tmeet 查询命令，不暴露内部 meeting_id。
• 确定性脱敏：运行 scripts/sanitize_meeting.py，按策略遮盖凭证、私钥、证件号、银行卡、手机号、邮箱、IP、金额及自定义实体，并在单次运行内保持假名一致。
• 语义复核：读取脱敏稿，检查未公开计划、谈判底价、漏洞细节和组合可识别信息；高置信实体重新入策略，边界不清只标记人工复核，不自由改写业务结论。
• 独立残留扫描：执行 scripts/verify_redaction.py，返回 0 仅代表通过当前规则，返回 3 时阻断「可发布」结论，并要求修正策略而不是降低强度。

适用边界与注意点

• 不替代法务或行业合规审查，报告必须保留范围、策略、未决项和局限性。
• 默认不持久化「原名→代号」映射，处理结束即丢弃；风险报告不保存完整敏感原文、映射表、令牌或密码。
• 低置信语义判断不会直接删除，而是列为人工复核项并说明原因。
• 权限不足时不自动申请，输入编码或 JSON 结构不支持时保留原文件并报错，不生成半成品。
• 输出路径与输入相同或已存在时拒绝覆盖；数据量过大按段落或场次分批，但最终稿仍需整体残留检查。