先说背景最近排查一起数据泄露绕了一大圈最后发现既不是 U 盘拷文件也不是邮件外发而是研发同事把一段核心代码连同客户信息整段粘进了 AI 对话框。事后想查发现终端上根本没有能还原这个过程的日志。这暴露了一个共性问题很多企业的终端安全装了杀毒、加了防火墙但终端上到底发生了什么没有一套完整的行为记录。迪康端点安全一体化管理系统原迪康 Defender要解决的就是这个问题。本文把迪康在终端行为审计、尤其是 AI 使用审计上的能力完整讲解一遍。一、迪康的终端行为审计覆盖哪些内容终端行为审计不是某一个功能而是把终端上人对数据、对系统做的所有动作记录下来。迪康在这一块覆盖的内容如下审计类别迪康能看到什么主要价值进程行为程序启动/退出、路径、命令行、父子进程、使用人发现异常程序、违规软件文件操作文件创建/读取/修改/删除/重命名、路径和来源数据流转、文档外发追溯网络行为外连域名/IP、端口、连接状态、访问方向网页访问、违规外联、AI 访问外设使用U 盘、移动硬盘、蓝牙、光驱、无线网卡外设拷贝、私接设备打印刻录打印内容、页数、刻录文件、操作人纸质/光盘外泄剪贴板复制/粘贴内容、来源应用、目标应用跨应用搬运、喂给 AI屏幕操作屏幕录像、截屏、远程协助操作还原、事后取证AI 使用AI 工具、提示词内容、上传附件、时间AI 泄密发现与管控系统变更服务、启动项、计划任务、注册表、账户提权、持久化、绕过前几类是传统终端审计的基础AI 使用审计是这两年新增的一类也是当前最容易出问题、最容易被漏掉的一类后面重点讲。二、迪康的 AI 使用审计能看到什么AI 泄密之所以难查是因为它和传统外传完全不同没有拷贝文件的动作员工只是打字、粘贴提示词随请求直接发到第三方 AI 服务器企业不可控而且客户端、网页、IDE 插件多个入口容易漏。迪康把三类入口都纳入了审计入口迪康怎么采集易漏点桌面客户端按进程识别记录窗口和提问内容小众、新出的 AI网页版识别外连域名结合终端代理取内容浏览器内无独立进程IDE 插件识别编辑器子进程和 AI 域名程序员大量走插件员工用了豆包、千问、DeepSeek、元宝、Mimo 中的哪一个、问了什么、谁问的、什么部门、什么时间在迪康后台都能看到提问内容和上传的附件也会记录下来支持按人员、工具、时间检索和导出。这里有个绕不开的技术点提示词承载于 HTTPS 加密请求纯旁路抓包拿到的是加密流量解析不出明文。所以迪康是在终端侧通过统一的终端代理来采集提示词内容网络层只负责发现访问了哪个 AI这也是为什么这类能力必须在终端上做。三、迪康怎么识别内容并分级风险光记录还不够要能自动判断哪些提问有风险。迪康会对提示词和上传的附件做敏感内容检测识别源代码、证件号、银行卡号、客户数据、机密关键词、未公开方案等。结合内容来源迪康会把风险分成不同等级内容来自核心代码目录、涉密文档目录或者直接命中敏感规则的风险会自动升级。规则支持分级维护、先宽后紧避免一上来就把正常提问也拦下来。四、迪康怎么靠关联还原泄密过程这是终端审计最关键的一环。单条动作往往都正常连起来才构成泄密。比如下面这条链路每一步单看都不违规先读取核心代码文件再把内容复制到剪贴板随后浏览器访问 AI 网页最后粘贴发送。但四条记录按时间、用户、进程串起来就是把核心代码喂给了 AI。迪康的进程、文件、剪贴板、网络、AI 数据都来自同一套终端代理天然能在一个平台上打通。它会按同一用户、同一时间窗口把连续动作串成会话跨类别还原数据流转路径再结合来源路径和累计风险评分判断是否构成异常会话。只看单条关键词容易漏报或误报上下文关联才是准确率的关键。五、迪康的告警和管控在完整记录的基础上迪康的告警覆盖这几类短时间高频提问、批量上传、命中敏感内容、深夜或节假日异常访问、多网卡或个人热点等违规外联、以及新增服务、启动项、账户提权等系统变更。命中规则会自动告警全程日志留痕。管控方面迪康支持把 AI 工具分成可用、受限、禁用三类可用的正常使用但全程审计受限的限制上传和敏感内容禁用的通过应用程序拦截、网页域名阻断、终端防火墙联动一起堵。应用层和网络层同时覆盖避免封了客户端、网页还能用的绕过。六、迪康的日志、报告与合规迪康会把终端日志集中上报到服务端统一存储支持设置留存周期提供多维度检索和导出并能定期生成行为审计报告用于风险通报和审计检查。考虑到日志涉及员工行为迪康对日志访问也做了权限控制和操作留痕。总结终端行为审计的本质是把谁、在什么时间、用什么工具、对什么数据、做了什么完整记录下来并能按时间和人员关联还原。迪康端点安全一体化管理系统原迪康 Defender用一套终端代理把进程、文件、网络、外设、剪贴板、AI 等九类行为采全再通过内容识别、上下文关联、分级告警和多点联动把 AI 泄密这类看不见的外传变成可发现、可追溯、可管控。落地时记住三句话采集要全、识别要准、分析要靠上下文。有了完整的行为记录企业既能让员工放心用 AI 提效又能守住自己的核心数据。