AI 取证实战 · 第 07 期

截图靠人眼抄、流水对不上账、笔录誊到半夜：
四个模块，把新型网络犯罪的取证活接走

图片转文字 · 电子数据检查笔录 · 资金关联分析 · 人物关系图谱 —— 一个 MCP 取证实战工作台

上个月，一个做电诈案的朋友给我打电话，说了这么一段话：「案件一上来就是两台手机、1200 多张截图。光把截图上的字抄出来，两个人抄了快三天。银行流水和第三方账单格式还对不上，对账对到半夜。最后那几页笔录，誊得我手指头都是软的。」

这一期，就把这套东西完整讲一遍。它不是某个单点小工具，而是一台以超级取证大师 MCP （超级取证大师MCP获取：超级取证大师 MCP 工具赋能电子数据取证 官方链接在：超级取证大师×MCP：AI 直接"操作"取证软件，办案不再熬夜翻记录）(超级取证大师官方还送4个月的试用，链接在：2026下半年取证备赛利器！超级取证大师免费试用4个月)为数据底座、跑在 DSH 工作台上的电子数据取证 AI 工作台，四个模块对应四件最磨人的活：图片转文字、电子数据检查笔录、资金关联分析、人物关系分析。我讲五个东西：为什么必须走 MCP 接取证软件、四个模块各自怎么设计、跑一个案子串起来是什么样、这套系统怎么打包发出去不泄密，以及它到底哪些活能干、哪些活永远不该让它干。

1｜为什么不把检材直接丢给大模型，要接一层 MCP

先回答那个最关键的问题：AI 这么能读，为什么不直接把聊天记录、截图文件夹、数据库一股脑喂给它，让它自己看？

原因有三条，每一条都是拿真实案子换来的教训：

• 检材不是能乱喂的东西。
  原始检材要保真、要只读、要能质证。让大模型直接读原始库，等于把证据原件交给一个会"自由发挥"的环节，出了错没法交代。
• 原始数据太脏。
  微信库里的字段、支付宝不同版本导出的结构、话单的时间格式，全是各写各的。AI 直接看，一半精力花在猜"这一列到底是什么"上。
• 能力不能重造。
  镜像固定、应用数据解析、加密库解密，这些是专业取证软件吃饭的本事，自己拿 Python 重写一遍既不现实也不合规。

所以架构定成一句话：取证软件负责「提取」，AI 工作台负责「研判」，中间用 MCP 协议对接。MCP（Model Context Protocol）说白了就是一套标准化的工具调用协议，把「读某张图片的文字」「查某张资金表」「取某个聊天库的结构」这些能力，封装成一个一个可以按名字调用的接口。工作台是 Host，超级取证大师 MCP 是 Server，每次调用传什么参数、返回什么结果、几点几分调的，全部记进审计日志。

图1｜工作台主界面：案件与检材经超级取证大师提取为结构化数据后接入（数据底座）

好处是三层：取证能力更新只动服务端，工作台不用跟着改；每次调用都能留痕，自动化的每一步可回查；服务端只开只读权限，从机制上保证不碰原始检材。整个系统分五层：数据接入层收检材导出结果，工具服务层放超级取证大师 MCP 的四类能力（OCR、检材读取、账话单分析、文档处理），编排层由 DSH 负责调度、允许人随时暂停插手，业务层就是下面要讲的四个模块，最上面是输出与审计层。

流程也固定成一条：先提取、后研判。检材副本进目录，原件保持只读；工作台经 MCP 只读取数，AI 只碰已经结构化好的数据；结果回到界面让人核验，核完才导出草稿。镜像提取和证据固定永远由传统取证设备完成，工作台只在其导出结果之上干活。这一步想清楚，后面所有模块都不会跑偏。

图2｜使用流程：检材副本入目录 → 超级取证大师 MCP 只读取数 → 四模块研判 → 人工校验导出

2｜图片转文字：先筛图再识别，结果能回原图

模块一解决的是最磨人的活：涉案截图靠人眼抄录。1200 张截图，一个人对着屏幕敲三天，敲完还不敢保证没抄漏。这个模块的思路不是"一股脑全识别"，而是先做四道闸：

• 按类型和文件名筛图
  ：可以只认 jpg、png、bmp、gif，也可以直接点名文件名关键字，把目标图片从几万个图标、表情包里捞出来，不让无关图片挤占识别额度；
• 无文字图片单独归档
  ：识别返回「（无文字）」的图不进结果流，单独记一个清单，要不要复查由办案人员定，不静默丢也不硬塞；
• 去重闸门
  ：识别过且没变化的图不重复送接口，省额度也省时间；
• 结果可检索、可高亮
  ：识别完的文字支持关键词搜索，命中位置直接高亮，办案人员要核对某个涉案要素时，不用再一张张翻图。

还有两条铁律贯穿始终：每条识别文本都能定位回原图路径，杜绝"无源文本"进入下游；OCR 识别结果只当研判素材，识别异常的退回原始取证工具重查。界面同屏显示图片和文字，办案人员对照修正完，文本可以导成 txt、csv，也可以直接推给后面的笔录模块和关系模块复用。

这里有个合规细节值得单独说：调用 OCR 用的云端密钥，只留在服务端，前端只显示掩码（sk-****后四位），调用参数和异常信息自动脱敏——界面、日志、审计里都不会出现完整密钥。后面讲发布版的时候，这条还会再出现一次。

图3｜图片转文字模块：按类型/文件名筛图、识别结果与关键词高亮同屏展示

3｜电子数据检查笔录：一份模板 docx，把誊抄的功夫省掉

笔录的功夫，一半在措辞，一半在誊抄组装。检查笔录这种文书，格式是固定的：时间、地点、指挥人员、侦查人员、检查对象、检查依据、检查设备、检查过程和结果、备注、签名区，一段一段都是模板。传统做法是复制一份旧笔录，把名字、编号、数据一项项改——改到第 30 页，手一抖就串行。

这个模块做得很"笨"：直接以一份真实可用的《电子数据检查笔录》docx 为母版做成了模板，标题黑体加粗、正文仿宋三号、固定行距、首行缩进，全部保留原版式。办案人员在界面上填三个东西——检材手机、检材编号、第 5 条统计数据，点生成，一份格式完全合规的 docx 直接落盘。

三个细节讲清楚：

• 第 5 条统计数据不是手敲的。
  「在检材手机×××中提取到×××等数据」这一句，办案人员留空不填时，系统自动从超级取证大师的取数结果里带出真实统计（应用数据多少条、媒体文件多少个、微信数据多少条），口径和检材实际提取结果一致，还能在导出前手动改；
• 该留空的就留空。
  时间、地点、办案人员姓名单位、签字区，模板里都是全角空格加下划线占位，Word 里直接打字就能补；第 6、7 条内容留空，留给办案人员按案情填写；
• AI 不参与内容编造。
  这份 docx 是模板引擎直接生成的，AI 没有自由发挥的空间。笔录草稿必须经办案人员核对原始证据后，按法定程序才能成为正式文书。

实测跑一遍：从点生成到 docx 落盘，几秒钟。原来誊一份检查笔录怎么也要一两个小时，现在省下的是反复复制粘贴和排版对格式的时间。

图4｜电子数据检查笔录：填检材手机/编号，第 5 条统计自动带数，一键导出 docx

4｜多源数据分析：流水先"三桶分流"，再做资金关联

资金分析是新型网络犯罪案子的重头戏。难点从来不是"钱多"，而是数据口径乱：银行流水一个格式、支付宝账单一个格式、微信转账又一个格式，字段名各叫各的，时间格式各写各的。模块先做一层清洗：统一时间格式和字段名称、处理乱码和缺失值，再自动适配不同版本导出结构的差异——字段缺失时，从备注里把交易对象和金额抠出来，避免整批交易因为结构差一点就被漏掉。

清洗之后，真正的设计在"三桶分流"：

为什么要分桶？因为聊天里说"转了 5000"和流水里真的有一笔 5000，证明力完全不一样。真流水能直接算账，文本线索只能当"这里有故事"的提示。把两者混在一个数里，统计就失真；分开放，两边都干净。

三桶汇总之后，模块算资金往来总量、主要对手、按日按小时分布，再往下推演两步资金链路、识别互转闭环、找资金汇聚节点，最后输出一张资金关联图谱：节点按资金角色着色，连线粗细反映金额量级，图上的每一条边都能点回原始交易记录或文本线索。办案人员要查"这 30 万到底谁转给谁的"，不用再抱着 Excel 一列列对了。

图5｜多源综合数据分析：流水清洗、三桶统计与资金关联分析一体面板

5｜人物关系：社交 + 资金 + 语义，三条线合成一张图

团伙角色，光看好友列表是看不出来的。甲和乙是好友，只能说明认识；甲天天给乙转钱、乙把收到的钱秒转给丙、三个人还都在同一个群——这才叫有戏。所以关系模块吃三路数据：

• 社交维度
  ：好友关系、共同群聊、聊天互动频次，从社交检材里读；
• 资金维度
  ：直接接数据分析模块的中间数据集——"谁和谁存在资金往来"这张表，谁给谁转过多少钱、双向还是单向、频次多少；
• 语义维度
  ：聊天和截图文本里的涉案关键词、转账表述，折算成关系权重。

三个维度加权之后画一张图，节点是人，边是关系，每条边都带着证据引用，点击就能回到原始聊天、流水或截图。模块还会给节点打参考标签——组织者、代理、操盘手、卡农、受害者这一类的。

但标签这件事，必须把话说明白：标签是 AI 给的研判参考，不是定性结论。系统里标注得清清楚楚——须经人工逐条核验、剔除误判后，才能作为侦查线索使用。曾经有个测试样本，系统把两个互相发广告的人判成"买卖客户关系"，人工复核时发现机主全程零回复，是单向营销推送，直接剔除。这种克制比识别能力本身更重要：宁可少连一条边，不能误导办案方向。

图6｜人物关系分析：力导向图谱 + 维度体系，每条边可回溯原始证据

6｜串起来跑一个电诈案：四个动作的耗时对照

拿开头那位朋友的电诈案场景推演一遍：两台手机完成镜像取证，调来银行流水和第三方支付账单，聊天截图 1200 余张，聊天记录约 8 万条、流水几万条。要干的活就四件：截图识别、检查笔录、账话单清洗、团伙角色梳理。

传统人工和这台工作台的对照如下（场景推演口径，实际效果待试点验证）：

必须诚实地说一句：系统省掉的是抄录、初筛、初绘这类机械环节。证据核验、事实认定、法律判断还是办案人员自己干，工作量从"手工抄"变成了"核机器抄的对不对"。截图识别错了要人发现，可疑标记误报了要人剔除，关系标签给歪了要人纠正——这些兜底从来都在。省下来的时间，应该花在案情分析上，而不是抄字上。

7｜把系统发出去：key 剥离 + 模拟新机 22 项自检

工具做出来是要给同行用的。但往外发版本，有个绕不开的问题：系统里接的云端 OCR 密钥是我的，不能跟着包走。谁拿到包谁就能用我的额度，这个口子必须堵死。

发布版做了三件事：

• 密钥彻底剥离
  ：代码里不内嵌任何 key，打包前对整个包做扫描，确保一个完整的 sk- 开头的密钥字符串都不存在；
• 使用者自配
  ：拿到版本后，在自己机器的 ~/.dsh/cybercrime/config.json 里填自己的阿里云百炼 key，界面实时显示「密钥已接入（sk-****后四位）」；不填就用不了 OCR，界面会明确提示，不降级、不静默；
• 模拟新机自检
  ：发布前在一台"全新机器"上跑 22 项自检——没有我的 WorkBuddy 配置、没有我的案件数据、没有装超级取证大师，四个模块逐一验证：该引导的引导、该降级的降级、该报错的报错，全程零真实外呼（fetch 0 次、拉起子进程 0 次），22 项全过才敢发。

有人会问：那使用者没有超级取证大师怎么办？答案是：数据底座本来就是办案单位自己的取证设备，工作台只是把它的能力用 MCP 标准接口接进来。OCR 识别这类云端能力可以自配，取证取数这层永远留在本地办案环境里，数据不出本机。

8｜哪些活它干不了：边界比功能更重要

写到最后，把这套系统的边界划清楚，都是踩过坑才敢写的：

• 它不做镜像固定和证据固定。
  提取检材永远是专业取证设备的活，工作台只在其导出结果之上分析，不越职权半步；
• 已删除且无法恢复的数据，它无从分析。
  能力上限受检材质量和设备恢复能力制约；
• 犯罪暗语黑话会降低语义识别准确率。
  「过水」「跑分」「料」这类词，模型可能理解偏，要靠人工纠正；
• 它的产出不是司法鉴定意见。
  定位是侦查阶段的线索筛选和材料整理工具，AI 输出统一标注"辅助研判生成，仅供侦查参考，必须人工核验原始证据"；每项输出都能回溯到原始图片、聊天或流水，异常以原始取证工具结果为准；
• 数据强制本地闭环。
  涉案数据不上公网，MCP 服务本地运行，检材留在办案本地主机。

一句话总结这台工作台的价值：把办案人员从"人肉 OCR、手抄笔录、Excel 对账、脑补关系图"里解放出来，让精力回到证据核验和案情判断上。技术终究只是侦查辅助，取证判断要回到原始证据与司法审查上来。

写在最后

回到开头那位朋友的电话。他问的是"能不能让软件自己把活干了"，我答的是"能，但要把数据先交给取证软件提出来"。这套系统的整个设计，就是围绕这个"但"字展开的：先提取、后研判，MCP 做桥，四模块干活，审计留痕，AI 只做初筛。

下一步的方向也清楚：扩展更多社交软件和黑灰产检材适配、做 AI 结论和原始证据的自动比对（发现矛盾主动提示复核）、针对电诈、网赌、传销、帮信预制成套流程模板。路径还是那句话：先解决自己手里最烦的那一步，工具就会自己长。

你的案子上，最磨人的是读截图、对流水，还是誊笔录？评论区聊聊，说不定后几期就讲它。下一期的预告：如何运用AI做题。

— 小谢 · AI 取证实战 · 第 07 期 · 完 —

敬请各位大佬关注：小谢取证