网站出现敏感信息整改报告

上周三下午四点十七分，网站我盯着后台审核日志里一条被标红的出现记录，心里咯噔一下。敏感那条内容挂在“用户评价”板块已经整整两天，信息直到巡检脚本跑第三轮才被揪出来。整改问题不复杂，报告但足够让人后背发凉——一段嵌在图片OCR文本里的网站联系方式，绕过了关键词库的出现过滤规则。

这已经不是敏感第一次了。过去三个月，信息我们站点累计触发敏感信息告警四十七次，整改其中真正落到人工复核环节的报告有十九次，剩下二十八次被自动规则拦截。网站数字看着还行，出现可那十九次里，敏感有六次是用户主动举报才发现的。换句话说，机器漏掉的，靠人补。这就像家里装了防盗门，结果窗户一直开着。

一、到底漏在哪

我拉了一份详细分类。十九次人工复核中，变体谐音占七次，比如把“微信”写成“薇信”或者“V信”；图片内文字占五次，主要是截图里的二维码和手写体；剩下七次是跨板块拼接——用户在A板块留半截信息，在B板块留另外半截，单独看都没问题，合起来就是完整联系方式。

最麻烦的是第三类。审核系统按单条内容判断，没有做跨帖关联。有个用户把手机号拆成三段，分别发在三个不同的二手交易帖里，间隔不到十分钟。直到有人举报，我们才串起来看。这种玩法不算高明，但确实戳中了规则盲区。

二、改了什么

第一刀砍在关键词库上。原来的词库是静态的，每两周更新一次。现在改成每天凌晨自动抓取站内高频变体，结合外部黑词库做增量。谐音、拆字、拼音首字母这些，全部纳入实时匹配。效果立竿见影——上线头三天，变体类告警从日均十二次降到三次。

第二刀加在图片处理链路。原来OCR只提取文字，不分析图像结构。现在对疑似二维码、手写体、密集小字区域做二次裁剪和放大识别。准确率从原来的百分之六十七提到了百分之八十九。剩下的百分之十一，交给人工抽检。抽检比例从百分之五提到百分之十五。

第三刀最费劲——跨帖关联。技术那边搭了一个简易的图计算模块，把同一用户半小时内的发帖、评论、私信内容做实体抽取，手机号、微信号、QQ号、邮箱这些实体一旦在多个位置出现，自动合并告警。测试跑了一周，抓出四组隐藏拼接，其中两组是真实交易引流。

三、还没解决的

手写体识别依然不稳定。有个用户用毛笔字写微信号，笔画连得亲妈都认不出来，OCR直接罢工。人工看了三遍才确认。这种低频但高难度的案例，目前只能靠举报和抽检兜底。

另外，跨帖关联模块误报率偏高。正常用户在不同帖子下回复同一句话，比如“同问”“蹲一个”，也会被标记。技术正在调阈值，但平衡点不好找。太松了漏，太紧了烦。

还有一件事让我不太踏实。整改报告写完的当天，我又在草稿箱里发现一条测试帖，用emoji拼出了手机号。九个表情符号，对应九个数字。规则库还没覆盖这种玩法。已经提交给技术排期了，但什么时候能上，没给准话。

说到底，敏感信息治理就是个猫鼠游戏。规则永远滞后于变体，人工永远补机器的漏。能做的只有把响应速度压到最短——从发现到处置，目前平均四小时十二分钟。目标是一个半小时以内。还差得远，但至少方向对了。