收益：
- 了解波动顺序、图像采集、哈希和监管链等收集步骤是人类的责任，而人工智能在这里仅产生计划和模板
- 能够安全地使用人工智能，通过图像拍摄后的文件分类、OCR、摘要和资产提取来加速审查
- 能够区分分类不是消除而是优先级，并且从低优先级组中采样对于避免假阴性的风险是必要的。
您已到达犯罪现场：桌上有一台打开的计算机、一个外部驱动器、两部电话和一个服务器机房。每台设备都是潜在的证据来源；每一个错误的举动都是会在法庭上被拒绝的证据。证据获取是指依法获取和复制完整、可验证的数字证据的过程。在本单元中，您将了解人工智能可以安全地协助该过程的哪些步骤以及它绝对应该留在后面的哪些步骤。从一开始就遵循的关键规则：人工智能不收集证据，也不拍摄图像；它有助于审查和加快收集和验证证据的得出。
收集顺序和易失数据
收集证据有一个优先原则：波动顺序——从最快消失的数据收集到最永久的数据。顶部是易失性数据——当设备关闭、打开网络连接、运行进程时，RAM 内容会丢失；然后是磁盘，然后是外部录音。易失性数据一旦丢失就无法恢复；因此，在运行的系统中，RAM 先于磁盘转储。
人工智能在此阶段不会做出决策，但在生成清单和程序大纲方面很有用：“在这种情况下，我应该收集什么，以什么顺序，使用什么工具，应该记录什么？”收集过程本身（写阻止绑定、图像采集、哈希验证、密封）由人负责，并且每个步骤都有记录。
提示：在开始拣货之前，向AI解释您的场景并起草一份“波动性顺序拣货计划”；然后将此草案与您所在机构的标准程序（例如当地立法和实验室 SOP）进行比较。 AI是提醒，不是权威。
成像和哈希：不可侵犯的链
从每个收集到的设备中获取精确的图像。导入映像时，源受到写入阻止程序的保护；图像完成后，将计算哈希值（首选 SHA-256；单独的 MD5 现在被认为较弱）。该散列是图像的指纹：在整个检查过程中的每次散列检查中它都必须相同，否则图像就会损坏。监管链表格（证据由谁、何时、在何处获取、放置在何处、交付给谁）每次易手时都会更新。
人工智能在这里完成两项安全工作：（1）生成监管链和证据标签模板，以便在收集过程中填写； (2) 组织您收集的哈希值和时间戳以进行一致性检查（“这三个哈希值是否相同，哪个图像属于哪个设备？”）。人工智能本身并不计算哈希值——它使其成为一种取证工具； AI只编辑记录。
审稿加速：人工智能的真正力量
一旦证据得到验证并捕获图像，人工智能就会真正大放异彩。典型加速区域：
- 文件分类：按类型、内容和可能的相关性对数以万计的文件进行分组，并推荐优先级。
- 文本和文档摘要：长合同、电子邮件、聊天记录的主题和当事人提取。
- OCR 和视觉内容：从扫描文档中提取文本（OCR — 光学字符识别，转换图像中的文本）并标记图像中的对象/文本。
- 实体提取（NER — 命名实体识别，从文本中查找命名实体，例如人员、机构、帐户、IP）：从数千个文档中列出人员、IBAN、电话、电子邮件、加密钱包地址。
- 代码和命令描述：用简单的语言解释找到的脚本或命令历史记录的作用（待验证）。
在每一个中，输出都是一个起点；相关性和证据价值的决定取决于专家。
注意：AI 说“此文件不相关”不足以在不检查该文件的情况下删除该文件。分类会降低优先级，但在关键情况下，也会从低优先级集群中进行采样。假阴性（因为“不相关”而忽略真实证据）是计算机取证中最昂贵的错误。
三个迷你箱子
案例 1 — 使用 OCR 的机密文件。一项腐败调查扫描了 14,000 页；它们都不是可搜索的文本。通过人工智能驱动的 OCR，所有页面都被转录并搜索“离岸”、特定公司名称和 IBAN 等模式。 40 分钟内找到 9 个关键页面；手工阅读需要数周时间。然后对每一页进行专业验证。
案例 2 — 实体推理关系网络。一份欺诈文件包含 6,200 封电子邮件。通过 NER，可以提取所有联系人、帐户和电话并创建关系列表；因此，两个以前未被注意到的经纪账户出现了。 AI标记连接；检察官证实了电子邮件中的证据。
案例 3 — 漏报的危险。一个团队希望完全消除一组被 AI 称为“低兴趣”的 30,000 个文件。资深专家从这个集群中随机抽取了 2%，并在其中发现了一条关键记录：由于不寻常的扩展名，AI 对该文件进行了错误分类。抽样纪律挽救了这个案子。
四个可复制模板
1）征集计划草案：
您的角色：犯罪现场法医收集专家。场景：[在 PC、2 部手机、1 NAS、运行服务器上]。按照波动性的顺序为我概述一个收集计划：为每个设备收集什么，推荐什么工具，记录什么。请注意，这是草案，需要根据当地立法进行确认。
2）监管链模板：
为我生成监管链表格模板：包括证据编号、设备描述、序列号、收集器、日期/时间、收集方法、哈希 (SHA-256)、接收者、交付者、存储位置和每次移交的线路。
3）批量文件分类请求：
我会给您一个文件列表（名称、大小、日期、扩展名）。按法医兴趣的高/中/低可能性分组并写下理由。注意：“低”并没有被消除，它只是被优先考虑。单独标记那些扩展内容不匹配的内容。
4）解释找到的脚本：
在取证上下文中解释此脚本/命令历史记录：它的作用是什么，它具有哪些文件/网络访问权限，是否有任何持久性或数据泄露的痕迹？将每个断言链接到脚本中的一行。如果您不确定，请将其标记为“必须验证”。
弱提示/强提示
弱提示：
根据重要文件将这些文件分开。
“实质性”未定义；人工智能会筛选自己的假设，可能会错过关键证据。
强力提示：
您的角色：法医分类分析师。背景：我们正在调查勒索软件事件、加密和数据泄露。我将为您提供包含名称、大小、创建/修改日期和扩展名的文件列表。任务：加密工具、压缩/存档、异常扩展名、过去 72 小时内更改以及将大型导出文件标记为高优先级；写下每个决定的理由。如果扩展名与预期内容不匹配，也会发出警告。不要说“删除/丢弃”任何文件；只是优先考虑。
上下文、目标和“不要说删除”约束使输出既有用又安全。
收藏与评论：AI 角色图
舞台
人工智能安全吗？
人工智能的工作
男人的工作
易失性数据收集
否（决定）
计划草案
收集、记录
图像采集
不
模板
写拦截器、哈希
哈希验证
不
记录订单
通过车辆计算并确认
文件分类
是的
优先顺序
决策、抽样
OCR/文本提取
是的
转换
准确性验证
实体推理
是的
列表生成
相关性决策
常见错误
- 试图让人工智能“做”挑选。 AI不添加；它只生成计划和模板。图像和哈希是人类的作品。
- 将分诊结果误认为是彻底消除。不要跳过“低兴趣”集群中的采样。
- 引用 OCR 输出而不验证它。 OCR可以混合字母（0/0、1/l）；与来源确认临界值。
- 盲目信任扩展。扩展名可能已更改；检查内容类型。
- 将个人数据上传至未佩戴口罩的车辆。 TC/IBAN/健康数据可能会在批量推理中泄露。
总之
证据收集是人类的责任：波动性、图像、哈希和监管链的顺序都在人类手中；这里人工智能只产生计划和模板。一旦证据得到验证并捕获图像，人工智能就会在加速审查（分类、OCR、摘要、实体提取、代码注释）方面增加真正的价值。但每一个输出都是一个有待验证的标志；相关性和证据价值的决定权在于专家，专家还考虑了误报的风险。
应用任务
描述一个虚构的事件场景（例如，一名员工涉嫌泄露数据）。首先用《征集计划草案》模板画出计划，并与当地程序进行比较。然后准备一个20行的示例文件列表，并使用“批量文件分类”模板对其进行优先级排序；手动采样至少 10% 并验证 AI 的分类。
清单
- [ ] 我按照波动性的顺序制定了收集计划，并将其与程序进行了比较。
- [ ] 我通过人/工具获取了图像和哈希值；我没有让AI完成它。
- [ ] 每次易手时我都会更新监管链表格。
- [ ] 我从分类结果的“低”簇中采样。
- [ ] 我与源验证了 OCR 和资产输出；我屏蔽了个人数据。