隐私保护与OSINT合规边界

要解决的问题

工程师在运维、安全测试或自动化场景中，容易遇到“帮我找某个账号全网痕迹”“下载 OSINT 工具”“用照片和帖子复刻某个人的 AI 分身”这类请求。它们看上去像数据采集、身份画像或数字人训练，实际会把系统拖入敏感区：批量抓取陌生人信息、跨平台关联账号、复用他人肖像与发言，可能同时触发个人信息保护、民事人格权和网络安全专项整治问题。技能要解决的不是“能不能做”，而是把红线、工具自身风险和合规替代讲清楚。

技能如何工作

技能把这类请求放进三层判断框架。

• 法律风险：先指向《个人信息保护法》第 10 条，说明非法收集、使用、加工、传输他人个人信息不被允许；再引用《刑法》第 253 条之一，提示出售或提供公民个人信息可能入刑。
• 民事风险：如果目标是复刻他人“数字分身”，技能会点明可能侵害姓名权、人格权、肖像权，并引用《民法典》第 1014 条、第 1019 条。
• 执法风险：对人肉开盒、网络骚扰、诈骗溯源等用途，技能会说明这类工具属于网安整治重点，多地公安机关已有专项打击。

对工具下载类请求，技能不提供链接或教程，而是解释风险：

• Maigret、Sherlock 这类批量检索容易触发平台风控，导致 IP 封禁，也可能违反站点用户协议。
• 网上二次打包版本可能夹带木马或挖矿程序，安装即把本机隐私暴露给供应链攻击。
• 即使使用开源原版，授权边界也只允许检索本人用户名；检索他人属于违规滥用。

当用户真实需求是“做自己的数字分身”时，技能会区分数据来源：只用本人照片、发言和授权数据，才属于合规方向；若换成他人数据，则进入侵权判断。

适用边界

技能适合作为请求分流与合规提示层，不能替代企业法务、隐私影响评估或正式授权流程。对已取得明确授权的渗透测试、内部账号盘点、身份验证场景，仍需单独确认法律依据、授权范围和最小化原则。对未知来源的 OSINT 工具、爬虫脚本、数据集和“仅用于教育目的”的绕过说法，技能应保持拒绝并记录风险。