AI 法务合规审计工具包

这个 pack 包含什么

这是给公司合规官、SOC2 准备负责人、隐私官在跑企业审计周期时搭的栈 — 跟一位律师审一份 MSA 的问题完全不一样。这里的受众负责的是一个反复跑的项目：每季度更新的风险登记册、能撑过审计师 walkthrough 的控制映射、既能采集又得防篡改的证据、以及一套工程一上线就开始漂移的政策库。

整套栈围绕三条合规工作里必需、但消费级 AI 工具基本不给的原则建：

1. AI 在审计里的作用要写下来，不要藏起来。审计师越来越会问 AI 在证据采集或控制测试里是怎么用的。这里每个工具都能产出审计师能读的记录。
2. 敏感材料绝不往 vendor 漏。内部政策、风险评估草案、客户 PII 要么走脱敏、要么留在你控制的基础设施上。
3. AI 提议，人决定。Materiality、风险接受、任何会落进意见书里的判断，永远是人的责任。工具负责草拟、抽取、映射 — 不替你签字。

本 kit 里没有任何东西是法律意见，也不能替代合格的合规专员、外部审计师或法律顾问。这些是合规工作里机械性那一层的基础设施，让人类把工时留给判断。

推荐安装顺序（收件 → 政策差距 → 风险登记 → 控制映射 → 审计日志 → 出报告）

1. Claude Code Agent: Compliance Auditor — 编排器。一个针对合规任务的子 agent profile，懂 GDPR、HIPAA、PCI DSS、SOC 2、ISO 27001 系列控制的术语。作为入口用：它会问你对的是什么框架、要测什么 scope、已经采集了什么证据。把它的输出当 senior analyst 的第一稿，不是最终立场。
2. Claude Code Agent: Compliance Auditor — Regulatory Checks — 偏法规检查的姐妹 agent，跟上一个互补。两个一起跑：第一个圈范围、第二个压测特定的法规暴露（跨境数据、行业规则、违规通报时限）。两个 agent 抓得到一个 agent 漏的东西。
3. Agent Governance Toolkit — Policy Guardrails for Agents — 政策差距分析层。合规团队现在越来越要管全公司的 AI 使用；这个 toolkit 让你把护栏（哪些模型、哪类数据、哪些区域）写一次，在 agent 层面执行。补的是 2026 年问得最多的 SOC2 CC 类差距：组织内 AI 是怎么治理的。
4. Open Policy Agent (OPA) — 控制即代码。政策决策用大白话写下来之后，可以自动化的那部分编成 Rego 策略。OPA 让你用一种语言表达「生产数据不准流到模型 X」「没工单不许 SSH」并在所有服务上执行。审计证据就是 Rego 文件加决策日志。
5. CloudQuery — Sync Cloud Infrastructure to SQL for Security and Compliance — 控制映射的证据引擎。CloudQuery 把 AWS、Azure、GCP、Okta、GitHub 等几十个系统的清单和配置状态拉进 SQL 数据库。然后「S3 桶必须私有」这条控制就是一条你下次审计能重跑的查询。审计师喜欢 SQL 证据；截图他们勉强接受。
6. Presidio — Detect and Anonymize PII — 敏感内容和任何 AI 工作流之间的 DLP 层。微软开源的 PII 检测和脱敏库。把风险评估叙述、客服记录、证据摘要送进云端模型之前，先过 Presidio。把「vendor 出事变成你出事」这个面积压小。
7. Wazuh — Open Source XDR & SIEM Security Platform — 持续监控（SOC 2 CC7）加事件检测，一个开源平台搞定。合规团队一般不直接操作 Wazuh，但你需要一个 SIEM、它的审计证据（告警处置、日志保留、文件完整性记录）你在审计时拉得出来。Wazuh 是你能自托管的开源选项，证据语料留在你手里。
8. Immudb — Immutable Database with Cryptographic Verification — 防篡改的审计日志。合规体制越来越要求审计日志是 append-only 且可加密验证的。Immudb 用 Merkle 树证明写每一条；审计师问起，你能精确证明什么时候记了什么、之后没被悄悄改过。
9. Bernstein — Audit-Grade Orchestrator for CLI Agents — 把临时性的 agent 运行包成可审计证据的 wrapper。Compliance Auditor agent 生成差距分析草稿时，Bernstein 把 prompt、模型、输入、输出和 chain-of-custody 链路一起捕获。这是你回答审计师那个问题「你怎么知道这里 AI 的分析是可复现的」的方式。
10. Guardrails AI — Validate LLM Outputs in Production — 任何要附进证据的 AI 产出的输出校验层。schema 校验 LLM 响应、拦截幻觉出来的控制 ID、拒绝不符合你审计流程要求结构的输出。大多数合规幻觉都在这里被抓住，不是在人工 review。

它们怎么协同

  政策文件 / 合同 / 证据 ─► Claude Compliance Auditor
                                  │
                                  ▼
               Regulatory-Checks Compliance Auditor（姐妹）
                                  │
                                  ▼
    ┌────────── Bernstein 外壳（chain-of-custody）──────────┐
    │                                                       │
    │  ┌─ Agent Governance Toolkit ──► 政策差距分析          │
    │  ├─ OPA ──────────────────────► 控制即代码            │
    │  ├─ CloudQuery ────────────────► 控制映射 + 证据(SQL) │
    │  ├─ Presidio ──────────────────► 调云前的 PII 脱敏    │
    │  └─ Wazuh ─────────────────────► 持续监控证据         │
    │                                                       │
    └────────────────┬──────────────────────────────────────┘
                     ▼
        Guardrails AI（schema 校验每条 AI 输出）
                     │
                     ▼
         Immudb（不可篡改、加密可验证的日志）
                     │
                     ▼
         人类签字的草案报告 → 审计师 walkthrough

你会遇到的取舍

• 一个统一合规套件 vs 这套开源栈。托管 GRC 平台（Vanta、Drata、Secureframe）上手更快、自带预映射的控制库。本 pack 赢在数据主权（证据留在你控制的地方）、不被按席位锁死、能编码 vendor playbook 里没有的控制。大多数成长期企业最后都两个一起跑：托管平台跑标准控制集，本栈跑长尾控制和 AI 治理相关的、托管平台还没跟上的部分。
• AI 辅助差距分析 vs 审计师主导。前沿模型能在几分钟内读完你的政策和某个框架的控制目录，列出貌似合理的差距。它也会编出听起来合理的控制 ID。AI 跑第一遍；引用的每一条控制都对着框架原文核对；永远不要把只有 AI 跑过的分析交给审计师。
• 云端前沿模型 vs 纯本地。这里有些工具（Presidio、OPA、Wazuh、Immudb、CloudQuery）完全是本地基础设施、不碰 LLM。另一些（Compliance Auditor agent、Bernstein、Guardrails AI）假定有 LLM。涉及 LLM 的那几步，默认姿态是：用 Presidio 脱敏 PII、送到企业合同模型（带 zero-retention 条款）、用 Bernstein 抓 trace。消费级 chatbot 标签页在这个 workflow 里不应该出现。
• 不可篡改审计日志 vs 普通数据库。Immudb 写得比 Postgres 慢、运维更难。要承担这个代价的理由：审计师问「你证明这条日志事后没被改过」时，普通数据库回答不了这个问题。如果你的体制没要求加密可验证性，普通的 append-only 表也行。

常见踩坑

• 把 AI 差距分析当作差距分析本身。agent 会列出 40 条貌似合理的差距。有些是真的、有些是同一个差距的换说法、有些根本不适用因为有条控制你没告诉它。这个输出是合规团队 triage 的起点，不是交付物。
• 把原始政策文本塞给消费级 chatbot。内部政策经常含客户名、vendor 条款、系统拓扑、知识产权。这些都不该出现在免费 chatbot 标签页里。Presidio 加企业合同模型是可辩护的默认。
• 自动生成证据、没人 review。「CloudQuery 说所有 S3 桶都是私有的」 — 只有人查过这条 query 和它的 scope，这才算证据。自动跑、自动挂、人完全不在环 — 这就是你不想要的那种审计发现。
• 把 AI 幻觉当成控制。模型编出一个不存在的 SOC 2 控制 ID（「CC-9.8.4」），下游文件继承这个虚构。Guardrails AI 加一个对控制引用的严格 schema，能在它进报告之前抓住。
• 把这个 pack 当审计师的替代品。外部审计师存在的全部理由是「独立保证」。这套工具 — agent 也算 — 不改变这一点。它们让团队的准备更便宜、更快、记录更全；不产出 attestation。
• 把审计日志当事后的事。Immudb 必须在 agent 开始跑之前就接进去，不能事后补。如果你的 chain-of-custody 是「事后导出聊天记录」 — 那不叫 chain-of-custody。