技能介绍

要解决的问题

Agent 应用在执行业务时，经常遇到需要将数据传输到境外的场景：把用户信息同步给境外供应商、调用海外 API、把数据交给境外关联方处理。按《个人信息保护法》第 36-40 条的要求，这类出境操作必须先判断适用哪条合规路径、是否完成了告知与单独同意、境外接收方是否有足够保障能力，否则一旦出事，就是监管处罚级别的问题。

现实中常见的做法是让工程师对着法规原文逐条比对，或者直接假设"不算个人信息所以不用管"。前者耗时且容易漏项，后者容易把场景评估和 PII 脱敏混为一谈——而两者的合规要求完全不同。

技能如何工作

xborder-guard 不做文本脱敏，也不扫描具体 PII 字段。它的输入是数据出境场景的描述文本，输出是针对该场景的合规裁决。评估覆盖 5 个维度：

出境场景识别：判断是否落入 PIPL 第 36-37 条规制范围；
合规路径评估：对照安全评估、标准合同、认证三条路径（PIPL 第 38 条 /《数据出境安全评估办法》）；
告知与单独同意：检查是否满足 PIPL 第 39 条的要求；
境外接收方保障能力：评估接收方在数据生态侧的责任与能力；
个人信息保护影响评估：对应 PIPL 第 55-56 条。

运行时纯本地、零网络请求，输入一段场景文本即可完成评估，按风险等级输出裁决结果。

适用边界与注意点

只评估场景，不做字段级脱敏：需要识别/脱敏结构化个人信息时，应搭配 pipl-guard 使用；金融场景可换用 pipl-guard-finance。
不是法律意见：裁决结果是工程侧的风险参考，正式合规决策仍需法务介入。
依赖输入质量：场景描述越具体，评估越准；模糊描述可能导致误判。
法规时效：参考依据含 PIPL、出境安全评估办法、标准合同办法及 2024 年 3 月的《促进和规范数据跨境流动规定》，后续法规更新需同步核对。