审计与留痕
摘要
这一页写给审计与合规角色：数字员工的运行过程如何留痕、如何追溯、看板在脱敏与安全上守住什么边界。
全程留痕：四问四答
| 问题 | 留痕内容 | 看板入口 |
|---|---|---|
| 谁派的活？ | 发起同事（按档案与身份识别）、来源通道、时间 | 消息通路 · 流水表；工单详情 |
| 怎么收敛的？ | 意图判定：直接答复咨询，还是收敛为任务工单 | 消息通路 · 管线图与去向列 |
| 执行到哪？ | 每一轮的工具调用、真实命令与回执 | 工单执行 · 执行轨迹 |
| 交付了什么？ | 最终回复与回写去向，附带用量计量 | 工单执行 · 详情抽屉 |
追溯链
一条工单可以沿「用户消息 → 逐轮工具调用 → 最终回复」完整回放：每一轮记录调用了什么工具、传入什么参数、得到什么结果，以及时间戳与用量。审计时不必拼接多份记录，单条工单内部即是完整链路。
脱敏与安全边界
- 密钥不出明文：模型接入等涉及凭据的字段，看板一律只显示「已脱敏」标记。
- 长标识符哈希化：较长的通道与账号标识显示为短哈希，原文不出现在看板上。
- 只读、零输入：看板页面没有任何输入控件，本身不可被用来改动数字员工的配置或工单——看板不构成新的操作风险面。
- 配置可对账：看板展示配置版本、修改时间与指纹，配置变更前后可核对。
与权限体系的关系
数字员工按「身份与权限」判定谁能问什么、谁能派活；工作台把这层关系以同事关系表的形式呈现（谁 · 经哪个通道 · 以什么身份接入），审计时可直接核对权限口径与实际接入是否一致。