文章总结： 本文为智能体取证研判入门教程，介绍如何安装DSH框架、挂载HUNTER取证插件并配置模型，通过虚构工程建设案例演示从线索到资金分析的完整研判流程。提供新手与熟手两种提问思路，强调核验AI输出、交叉验证数据来源，避免被AI误导。可操作性强，适合初学者快速上手智能体研判。
综合评分： 78
文章分类： AI安全,安全工具,实战经验
【入门实操】：手把手教你如何利用智能体快速上手研判
原创
取证猎人
取证猎人
Hunter取证
2026年10月6日 22:36
四川
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
战友好，这篇是定位是初级入门教程。
适合谁看呢？刚接触智能体、还没把智能体搭起来的战友，跟着我走一遍，就能上手。如果你已经能熟练带着智能体跑案子，这一讲可以先略过，可以等后面的进阶篇。
写这篇文章之前，我再想有没有一款用于教学用的智能体，我找了很多开源和闭源的工具，市场上还真没有，特别是贴近我们这个行业的，所以就打算上手搓了一套DSH插件。
今天不绕原理，咱们就干一件事：把工具装好，把插件挂上，再拿一份教学模拟数据，从头到尾走一遍研判。
先说清楚，学完这一讲你能学到什么，我给大家列在前面：
-
怎么搭起一台自己的研判基台
：从下载安装 DSH，到挂上 HUNTER 智能研判 插件、配好模型，照着做就能跑，开源闭源、本地云端都行；
-
怎么把数据喂进去、把任务下清楚
：工作区怎么选，第一句话怎么说，新手、熟手两种问法都能照着走；
-
怎么带着智能体把一个案例从头查到尾
：从一句线索，到关系、到资金，再到一份能往回查的报告，每一步干什么都能看到；
-
怎么核验智能体的输出
：怎么看出处、怎么交叉验证、哪些坑要避开，做到不被它带着走。
咱们一个一个来。
一、先把主机装好：DSH
动手之前，先准备好一个智能体应用程序，开源的也好，闭源的也好，都可以。
我这里用的是 DSH，也就是 DeepSeek Harness，DeepSeek 官方开源的智能体框架。它的口号是“一切皆插件”，模型、工具、技能，都以插件的形式挂上去，正好适合咱们往上加装研判套件。
官网下载地址传送门：https://www.deepseek.com/harness/
下载好之后直接安装，按提示一路下一步就行。这是安装好的界面：
这个框架迭代很快，界面以后可能会有变化，具体以你本地实际安装的版本为准。
二、挂上 HUNTER 取证智能研判插件
DSH 装好，只是一台空主机，还得把咱们的研判套件挂上去。插件安装包怎么拿，我先卖个关子，文末统一说。
拿到插件安装包，也就是 tgz 文件之后，四步就能装好。
第一，打开 DSH，进入「插件」；第二，点击「添加插件」；第三，复制插件安装包的完整绝对路径，粘贴进去，注意不要带引号；第四，确认后等三秒左右，提示安装成功就可以了。
DSH 的「插件」入口页面
「添加插件」弹窗，粘贴安装包完整路径的输入框
插件安装成功提示，套件名称显示为 HUNTER 取证专属套件
装好之后，点开战法套件，我提供的战法全在里面：团伙、微信关系、欲盖弥彰、清洗、治安态势分析、识案，一共六套，分为关系战法、金析战法、通用战法三类。
战法套件首页，能看到六套战法及分类
还差最后一步，配模型。
智能体没有模型，就是个空壳。模型配置的入口在「设置 → 模型」，网上教程很多，开源模型接本地、商用模型接云端，都能找到办法。我自己目前图省事，用的是云端模型。
说句实在话，这不是好榜样，是条件所限，接云端意味着数据要出本机。咱们今天跑的是教学模拟数据，无所谓；换成真实案件材料，务必按照本单位的保密要求选择模型，该本地部署就本地部署，这条没有商量。
三、拿到手机数据和银行账单，我会这样一步步查
虚拟案例说明：本文使用的案例及配套数据，均为虚构的教学演示材料，不是真实案件，也不是对真实案件进行脱敏后的展示。文中的人物身份、任职关系、工程项目、沟通情节、资金往来和问题线索，均为演示设定，不对应现实中实际发生的案件或行为。所有内容仅供教学、软件操作演示和分析方法练习，不得作为认定任何现实个人或单位存在违纪违法行为的依据。
开始之前，我先跟大家说清楚：今天讲的是一个完全虚构的演示案例。里面的人物、聊天和转账，都是为了把分析过程讲明白而设置的。大家后面看到具体姓名、职务、日期和金额，也不要把它们理解成真实发生过的事情。
我先用几句话把案情背景交代清楚，大家带着这个背景看后面的操作，会更容易跟上。
这次演示的，是一个工程建设领域涉嫌违规干预项目、输送利益的虚拟案例。故事发生在某市推进公共工程建设的背景下，项目从安排到落地，要经过工程管理、财政拨款和企业实施等环节。我们要关注的，是这些环节里有没有人利用职务上的便利，帮特定企业拿项目、改结算、加快付款，并在其中取得不当利益。
为了方便记忆，我把三个虚拟人物统一叫作张三、李四和赵五。张三是住建局局长，涉及项目管理和审批；李四是财政局副局长，涉及资金审核和拨付；赵五是城投公司总经理，负责对接施工企业、推进项目实施。大家可以先记成：张三管项目和审批，李四管钱的审核拨付，赵五对接企业和施工。这只是帮助理解职责，具体做了什么，后面还要查记录。
我们最先拿到的问题线索，落在一个老旧小区改造项目上：地下管线可能没有更换，却被算进了工程结算；外墙面积也可能被重复计算。说得直白一点，就是账面上算进去的工程，实际有没有做、是不是多算了，现在有疑问。
这个疑问再往下追，就会涉及谁提出工程变更、谁协调审批、谁推动拨款，以及相关企业和这三个人之间有没有值得核查的资金往来。至于是否还牵出其他项目、涉及多少钱，我们先留着，后面通过手机数据和账单一步步验证。
这就是本次分析的出发点：已经知道要核查哪类问题，也知道三名对象分别处在哪个环节，手上有他们的三份模拟手机数据和三份模拟账单，但不能把“涉嫌”直接写成“已经查实”。
先想象一下：三个人的手机数据，三份银行账单，都放在你面前。文件已经拿到了，软件也打开了，接下来输入什么？
很多人第一反应是：“帮我分析一下这个案子。”
这句话当然可以发。但 AI 接下来可能给你一大段分析，人物、关系、疑点写得都很齐，你读完觉得挺有道理，再往下操作，却又停住了：它到底看了哪些记录？这个判断是从哪里来的？我现在应该先查谁？
所以这次，我想把过程展开。我会用同一批材料，走两种思路。一种，是我对这类案件不熟，连第一步都不太确定；另一种，是我已经有一些判断，想让 AI 帮我查得更快、核得更细。
大家可以根据自己的情况跟着走。刚接触这类分析，就先看我怎么把问题问清楚；已经有经验，就重点看我怎么给任务、怎么交叉核验，以及怎么防止 AI 顺着我的想法一路说下去。
下面的提示词都可以直接复制，换自己的材料时，记得把姓名、项目名称和文件范围改过来。截图位置我也留好了，后续放实际操作画面。还没展示的操作结果，我会用“如果找到”“接下来可以查”来讲，不预先替软件宣布分析成功。
这些截图，我统一截自己在软件里输入提示词、发送给智能体之后的界面，大家可以看到我怎么提出问题、怎样把核查任务交给智能体。后面我会说明拿到回答后怎么检查，截图本身展示的是提问和任务发起，不代表任务已经执行完成。
再说说手上这六份数据
目前能用的，是模拟三个人手机提取结果的三份数据，加上三份模拟银行账单。它们不来自真实人员的手机取证，也不是真实银行账户的交易回函。六份数据一开始就都在，不用等我讲到哪一步才拿出哪一份。后面如果 AI 提前发现了新线索，我们完全可以顺着查。
我也把数据范围说完整：这里出现的人员姓名、职务、单位和企业关系、项目内容、聊天账号、联系人备注、消息内容、账户号码、身份字段、交易日期、金额、摘要和资金去向，都按虚拟演示内容理解。即使某个名称、地名或格式跟现实中的名称和记录相似，也不表示相关现实主体参与了案例里的事情，如有雷同，不作现实对应。
文件做成 BCP 和 Excel，是为了模拟我们在软件里会遇到的数据形态。后面我说“原始记录”“原始账单”或者“回到原文”，指的是回到这套虚拟数据里的源文件核对，不是说它具有真实取证来源或法律上的证据效力。AI 生成的关系、金额汇总和案情分析，也都只是针对这套虚拟材料的教学结果。
手机数据分别在“解压_张X-BCP.zip”“解压_李XX-BCP.zip”“解压_赵X-BCP.zip”三个目录里，账单在“相关银行流水”目录里。工程合同、投标文件、变更签证、验收结算这些业务材料，目前还没有。
这就决定了我们能查到什么程度：可以先找沟通、找交易、找它们之间的联系；至于工程到底做了多少、业务到底是不是真的，可能还得补其他材料。AI 说需要补材料，我会看它缺得有没有道理，不会要求它凭这六份数据，把所有问题都回答完。
准备演示时，我会开一个新的分析会话，单独放入这六份数据和初始线索。完整案件说明、之前整理的结论，还有大家现在看到的这篇教程，我都会放在另一边。答案如果已经摆在 AI 面前，就很难看出它是怎么从线索分析出来的了。
材料准备好以后，我先把背景发送给智能体：
这是一个完全虚构的教学演示案例，不对应真实案件。张三设定为市住建局局长，李四设定为市财政局副局长，赵五设定为市属城投公司总经理。
初始线索是：老旧小区改造项目可能存在未更换管线计入结算、外墙面积重复计算等问题。我已经提供三人的模拟手机数据和三份模拟银行账单。请先确认能够读取哪些材料、是否存在读取失败或缺失，暂不作案情判断。
发送案例背景与材料确认提示词后的软件界面
我会先跟 AI 约定几件事
我不会一上传文件就让它下结论，先确认它能不能读、读到了多少，后面说的话能不能找到出处。
我会先发这一段：
本次仅为教学演示。张三、李四、赵五及其职务、案情和配套手机数据、银行账单均为虚构设定，不对应真实案件。请将分析结果表述为针对模拟材料的研判，不对现实个人或单位作指认。
我准备分析这三名虚拟对象的三份手机数据和三份银行账单。请依据我提供的初始线索和这六份数据开展分析，不读取全景案件说明或已有结论文件。
先检查文件能否读取，说明实际覆盖的文件、账号和时间范围。确认消息收发方向、时间字段及账单收支方向；有读取失败或无法识别的内容，请直接告诉我。
后面每个重要判断，都要给我来源文件和能找到的原始记录位置。把原文、记录直接显示的事实、你的推测和待核查问题分开。聊天和备注里的说法不能直接当成事实认定。发现矛盾就保留，不补编情节。注意重复聊天和同一笔资金的后续流转，回答用文字，不用表格。
这段话发完，不代表我就不用检查了。它给出一条关键记录，我还是要点回原文，看是不是这个人说的、是不是这个意思。账单里也一样，收入和支出一旦看反，后面的分析就会跟着偏。
如果我没什么经验，我会这样开始
第一步，我先问它从哪里入手。
假设我现在对工程领域并不熟，看到“管线没换，却进了结算”，我知道可能有问题，但不知道怎么把这个疑点跟手机、账单联系起来。
这种时候，我会直接告诉 AI 我不熟，请它把第一步解释清楚。
我没有工程领域案件的研判经验。现在的线索是：老旧小区改造项目可能把未更换的地下管线纳入结算，并重复计算外墙面积。手上有三名对象的手机数据和银行账单。
请先用容易理解的话告诉我，这条线索要核实哪些具体问题，手机和账单分别能帮上什么忙。给我一个优先入手点，解释为什么先查它。如果查不到，还能往哪里查？先不要给案件定性。
我希望它回答到什么程度？至少得让我知道下一步可以操作什么。比如，先找有没有人谈到工程量和结算调整，看看是谁提出、谁回应，再看是否提到付款。
如果它只回答“应查明事实，深入分析资金”，那我还得追问，这些话没错，但我照着没法动手。
我会接一句：“请把第一步说具体一点，搜什么词、看什么字段，找到后怎样判断跟线索有没有关系？”
发送新手入门与核查方向提示词后的软件界面
第二步，我让它真的去找，再把找到的东西讲明白。
方向有了，我就让它进入数据。第一轮可以从“旧改、管线、外墙、工程量、变更、结算”这些词开始。
不过，这几个词只是起点。聊天里可能只说项目简称，也可能用“那一包”“上次那个工程”这样的说法。找到相关对话后，还要顺着联系人和前后文继续看。
我会这样发：
请在三人的手机数据中检索老旧小区改造、管线、外墙、工程量、变更和结算相关对话。发现项目简称或相关联系人后，结合上下文扩大检索。
对值得关注的记录，请告诉我：原话是什么，谁对谁说，前后在谈什么，为什么与初始线索有关，有没有正常解释，还需要什么材料才能核实。保留来源位置，不要把搜到关键词直接当成发现问题。
比如，它搜到一句“结算金额要调整”，我会先看为什么调整。正常变更也会调金额，不能看到“调整”两个字就往违法上靠。
如果前后又谈到没换的管线也算进去，那疑点就具体了。我接下来要追的是：谁提出这么算，谁同意，最终有没有这样报上去。
要是我看不懂某一段，我就把范围缩小：“先解释这段话，目前能说明什么、还有什么说明不了？我接下来怎么验证？”不必一次把所有问题都问完。
发送项目对话检索与解释提示词后的软件界面
第三步，我顺着刚才的发现，继续问人和事。
这时可能已经出现一个施工方联系人，或者出现了向别人请示、协调审批的对话。我不用马上把所有人的关系都画出来，可以先挑一个最值得追的问题。
根据刚才找到的对话，你建议我下一步重点查谁、查什么？每个建议都要对应具体记录，并解释查清后能解决什么问题。
请先选择最优先的一项，在现有手机数据里继续查。说清楚相关人员对投标、审批、工程进度或资金申请作了什么安排。一般工作联系和可能异常的配合分别解释，不要只凭职务或联系频繁判断共同违法。
这里我会留意，它到底是在讲行为，还是只把人员介绍重复一遍。
“李四负责资金环节”，这在背景里就有。我要继续看的是，他对哪一个项目说了什么、是否涉及付款条件、后面有没有对应处理。这样，分析才向前走了一步。
发送人员行为与下一步检索提示词后的软件界面
第四步，我开始把聊天和钱放在一起看。
项目、联系人和时间点逐渐清楚以后，账单就有了更具体的查找方向。我会让 AI 先说筛选理由，再看交易。
结合目前发现的项目、联系人和沟通时间，请检查三份银行账单，找出值得进一步核查的交易。先说明你准备怎么筛选，再开展分析。
留意共同交易对手、相近时间收款，以及与聊天金额可能对应的交易。每笔说明日期、收支方向、金额、对手和来源位置，再回手机数据查解释。哪些能对应，哪些只是时间或金额接近，哪些暂时没联系，请分别说明。不要只因为金额大或是整数就判断违法。
如果同一家公司给几个人都转了钱，我会关注，但也会接着问：有没有真实的业务？咨询费有没有咨询内容，租赁费有没有租赁事项？
假如 AI 回答“没搜到相关合同，所以业务是假的”，我会在这里停一下。我们本来就没有拿到全部合同，手机里没找到，也不等于现实中不存在。这时准确的说法应当是：业务真实性还需要核实。
发送聊天与账单交叉核查提示词后的软件界面
第五步，我停下来整理一下，防止越查越乱。
几轮下来，可能已经出现不少名字、日期和金额。我会让 AI 先整理当前进展，否则窗口一直往下滚，前面为什么转向这个人、这家公司，自己也容易忘。
请整理一下目前走过的过程：最初线索是什么，依次找到哪些记录，为什么从一个问题转向下一个问题。目前哪些判断有材料支持，哪些是推测，哪些存在矛盾？
涉及金额时，把实际收款、聊天中的分配约定和后续转出分开，不重复计算。最后给我最优先的三项后续核查任务，说明缺什么材料、要验证什么。用文字写成阶段性研判，先不作最终定性。
到这里，即使我一开始不熟悉业务，也能看清自己的分析是怎样推进的。如果某一步说不清依据，我就回去补查，这个过程本身，就是在建立自己的研判思路。
发送阶段性整理提示词后的软件界面
如果我已经有思路，我会换一种问法
第一步，我把怀疑写成一个可以验证的问题。
现在换个角度。假设我对这类业务比较熟，看到工程量和结算异常，已经想到可能有人在处理变更资料、协调审批。
我可以直接给 AI 一个更具体的任务，不过，我会把这个想法写成待验证的假设，给不同结果留下空间。
我现在有一个待验证的假设：老旧小区改造项目可能把未实施或重复计算的内容纳入结算，并通过变更资料获得审批。
请在三人的手机数据中查相关交流，重点看谁提出工程量或金额调整、谁处理资料、谁回应审批问题。保留上下文和来源位置。同时查有没有实际施工说明、合法变更依据，或者不同意相关安排的记录。分别说明哪些支持这个假设，哪些削弱它，哪些暂时判断不了。
我会特别关注后半段。因为我既然已经有了想法，就更容易觉得支持它的内容很重要，对不符合预期的记录一带而过。
让 AI 找反向材料，是给自己的判断多做一次检查。如果材料不支持，我就调整假设，不能让它一直找，直到给出我想听的答案。
发送假设验证与反向检索提示词后的软件界面
第二步，我可以从人和事追钱，也可以从钱倒查人和事。
这一步没有唯一顺序。手上已经有比较明确的项目对话，我会先找相关交易；如果聊天很零散，我也可能先看共同付款方，再返回手机里找联系。
从项目沟通往账单查，我会这样问：
以已经找到的项目沟通、审批协调和付款申请时间为线索，检查三份账单中有没有相关企业付款，或者多人在相近时间收款的情况。先说明检索时间范围为什么这样选；需要扩大时，再结合项目周期解释。
对重点交易核对账号、对手、日期、金额和摘要，并回查聊天。把明确提及这笔交易、只有部分特征吻合、无法对应的情况分开。不要仅凭时间接近就写成因果关系。
如果先查钱，我会换成这段：
请先找出三份账单中向至少两名对象付款的共同交易对手，比较日期、金额和摘要。名称不同但可能属于同一主体的，请列出核实依据，不要只凭名称相似就合并。
选择值得核查的交易组合，回到三份手机数据检索付款主体和联系人，找项目安排、结算或支付方面的沟通。共同付款方只是筛选入口，请同时考虑正常业务往来的可能。
大家操作时可以选一个入口，也可以在两个独立会话里分别试，再比较发现了什么、漏了什么。结果不需要句句一样，但关键记录和计算得经得起核对。
发送行为追资金或资金倒查提示词后的软件界面，二选一即可
第三步，我沿着发现继续扩大范围。
一组聊天和交易能够对应以后，我会继续查同一付款方、相关联系人和其他时段，看看这是一次事情，还是还有别的项目出现类似情况。
沿已经发现的重点付款主体、联系人和交易特征，继续查其他时段的手机数据和账单，看看有没有其他项目或类似资金往来。每个新关联都要有依据，不要只凭金额接近、摘要相同就归到一起。
如果有多批资金，分别核实付款方、收款人、实际到账、聊天和对应项目。结合交易流水号、账号、时间检查重复，把新增收入和同一笔钱的后续流转分开，再汇总金额。没有工程业务材料时，不把合同增额当成违法所得或损失。
这一步我会要求它把数字的来路留住。一个很醒目的总金额，只有能回到下面每一笔记录，才方便我们继续用。
发送扩展检索与去重汇总提示词后的软件界面
第四步，越是看起来都对上了，我越要再查一遍。
聊到这里，人物、项目、钱可能已经串起来了，这个时候很容易觉得案子大致清楚了。我会专门加一轮复核。
请复核目前的解释。把重点聊天和收付款按时间排列，检查累计金额、收款账户、方向和用途能否相互对应。比较具体日期前，先确认手机时间戳的转换方法，以及能否直接和银行日期比较。
请把聊天约定和实际发生、本人购买和他人交付、本人收款和关联人代收、可见转出和完整资金去向分别看清楚。银行备注里的解释不要直接当结论。
找到冲突后，把两边的来源列出来，说明影响哪项判断、有哪些可能解释、还缺什么材料。没有证据的解释只保留为假设，不用它把矛盾抹掉。
比如，我们看到买购物卡的支出，能不能接着写“购物卡已经送给某人”？我还得找交付依据。看到给亲属转账，也不能顺手把亲属后面怎么用钱都写出来。
这些地方停一下，会让后面的核查更具体，要补的是哪一段，不会只剩一句“继续查清资金去向”。
发送时间与资金路径复核提示词后的软件界面
第五步，我让它把下一步工作说到能执行。
最后，我当然需要一份阶段性梳理，但我更关心梳理完以后能做什么。
请根据实际完成的检索和核验，整理一份阶段性研判。按项目和具体行为说明相关人员、资金记录和印证程度，也把反向材料、矛盾及证据缺口写清楚。
后续任务按优先顺序提出，每项说明要核实什么、需要什么材料，以及查到不同结果会怎样影响现有判断。不要只写“进一步调查”，也不要用个人分得金额替代共同犯罪责任范围的判断。全文用文字，不用表格。
如果怀疑虚增工程量，我希望看到具体要核对的施工、测量、变更和结算资料。如果怀疑咨询费没有真实业务，就去查合同、发票和履行情况。如果缺上游来源，就明确要补哪家公司的流水、哪一笔项目付款凭证。
这样，我才知道下一步拿到什么，能够让哪个问题往前走。
发送阶段性研判及后续任务提示词后的软件界面
这两种问法，我会交替着用
大家可能已经发现，两条路径之间没有一道很硬的分界。
我不熟的时候，可以问：“这条线索先查什么，为什么？”等我理解了，就能继续问：“把这段话和付款记录对一下，看看有没有其他解释。”
反过来，即使我对资金分析比较熟，遇到不熟悉的工程术语，也完全可以让 AI 先解释，没有必要为了显得专业，把自己也没弄清楚的概念塞进提示词。
我会根据当前的问题切换问法：方向不清楚，就让它帮我拆解；方向已经明确，就给它具体任务。两种问法，最后都要能找到依据。
假设前面已经定位到一段值得关注的项目对话，我会这样把两种问法衔接起来：
针对刚才定位的那段项目对话，请先用容易理解的话解释它为什么值得关注、有哪些正常解释，以及下一步该查什么。然后在现有数据中核查它与项目付款记录是否有关联。请保留来源，区分已经找到的对应关系与尚待验证的推测。本次分析仅针对虚构教学数据。
发送从理解对话到核查付款的衔接提示词后的软件界面
回头看，这个案例到底给了我们哪些发现
前面的操作走完，再来看具体案情，会更容易理解数字和关系是怎么来的。大家如果准备自己先试一遍，可以先停在这里，做完以后再看复盘。
这里我再提醒一次，接下来复盘的姓名、项目、日期和金额，也全部属于虚拟案例，不代表现实中发生过这些行为。下面我结合演示数据中的关键聊天、相关交易和全景说明，检查它们之间能不能相互对应。这是在核对模拟材料内部的一致性，不是真实案件的调查结论，也不是电子数据真实性鉴定。
我们是怎么从工程问题，一步步查到人和钱的。
一开始，只有老旧小区改造的工程疑点。关键聊天里出现了未更换管线、重复外墙面积纳入结算，以及处理变更说明的内容，于是，我们可以继续追具体参与人和具体安排。
再往下看，出现了企业选择、投标报价、审批协调和资金申请，这里就有了张三、李四和赵五之间值得核查的联系。
张三的相关线索，主要落在项目方向、参与企业安排和审批协调；李四的相关线索，主要落在资金审核和拨付；赵五则连接施工企业，并与另外两人谈项目、结算和款项。
我会把这些记成具体行为，再看后面是否实际执行。仅仅知道他们一个管审批、一个管钱、一个管实施，还不足以认定共同违法。
三个项目的数字，我给大家分别说清楚。
第一组是老旧小区改造。全景说明记载，工程金额从 2180 万元追加到 2760 万元，涉及未更换管线、重复外墙面积和虚列绿化等问题。
相关聊天提到了 120 万元，分配数额是张三 52 万元、李四 36 万元、赵五 32 万元。三份账单在 2022 年 1 月 18 日分别记载了相应收入，付款方是嘉禾劳务服务有限公司，摘要是咨询服务费。
第二组是道路管网。说明记载合同金额从 1940 万元调整到 2360 万元，涉及材料涨价、夜间施工补贴等名目。聊天中的 110 万元，分别对应 48 万元、34 万元、28 万元，账单在 2022 年 12 月 27 日记载了三人相应收款，付款方是鑫远机械租赁有限公司，摘要是机械租赁费。
第三组是市政绿化。说明记载通过抬高苗木单价、虚增养护面积，形成 72 万元利益款。聊天分配数额是 26 万元、22 万元、24 万元，账单在 2023 年 10 月 9 日记载了相应收入，付款方是绿景劳务有限公司，摘要是劳务结算款。
把这九笔重点收入相加，张三是 126 万元，李四是 92 万元，赵五是 84 万元，一共 302 万元，这个数跟全景说明里的三批利益款总额一致。
我这里用的是银行表格列出的日期，要跟聊天精确对时，还得先核对时间戳转换规则，不能默认显示出来的时间就能直接比较。
现在，人员和金额能够对应，这当然值得继续查。但还有业务真实性：咨询做了什么，租赁租了什么，劳务是否实际发生？也还有上游来源：这些付款公司的钱，是不是来自相关工程？目前的对应关系，替这些问题作答不了。
数字对上了，材料却还有几处没对上。
这部分我想多说一点，因为它很适合检验我们有没有被一个完整故事带着走。
全景说明里，张三的 126 万元被描述为亲属账户收款 88 万元、现金交付 38 万元；李四的 92 万元被描述为关系人商贸公司收款 72 万元、购物卡交付 20 万元；赵五的 84 万元，则分别用于车辆首付 32 万元、苗木采购名义转出 28 万元，以及还房贷 24 万元。
但银行表格先记载了三人本人名下的九笔收入，之后才有相关转出或消费，这跟直接代收、现金或购物卡交付的描述，不是完全一致的。我不能把两边一拼，就说整条资金路径已经查清，更不能把现金和购物卡又加一遍。
时间上也有疑点。张三 2022 年初的聊天，已经谈到 46 万元、42 万元和 38 万元的整体安排，加起来是 126 万元，但账单里第二、第三批收入发生在这之后。
李四 2022 年末的聊天已经说 72 万元累计进了商贸公司，账单中三笔 24 万元转出的日期，却延续到了 2023 年 10 月。这种跨越数月的差异，不能靠调整时区解决。
这时如果 AI 解释“可能是提前垫付”，我会继续问垫付依据在哪里。它可以提出这种可能，但没有材料，就得把它留在假设里。
还有企业数量。全景说明说的是两家劳务分包公司，三批重点收入却对应三个公司名称，其中一家叫机械租赁公司，它们是什么关系、实际主体准不准确，也得核。
那么，到目前为止，我愿意表达的判断是：我们找到了工程项目中异常配合、以及相关资金往来的具体线索，部分聊天和交易在人、金额上能够对应；但工程实际情况、上游来源、交付方式和部分时间顺序，仍需验证。具体定性、责任和损失，还不能只凭这些材料确定。
我希望大家从这个过程里带走什么。
如果刚开始不熟，我们可以看到，一个工程疑点怎样被拆成检索问题，再怎样通过记录追到人员和交易，每一步都有理由，就慢慢形成了自己的分析路径。
如果已经有经验，我们可以看到，判断可以转化成任务，让 AI 帮助检索、比对和复核，但经验提出的假设，也得经得起记录检验。
我不会拿谁先说出 302 万元来比较分析好坏，我更愿意看，这个数能不能逐笔核对，相关判断有没有依据，还有哪些地方没解决。
复盘时，我还可以把下面这段任务发送给智能体，请它回头检查自己的分析，我不会把上面讲过的具体金额直接写进提示词让它照抄：
请仅依据本次实际检索过的虚构手机数据和模拟账单，复盘初始线索如何扩展到相关人员、项目和资金。逐项给出来源，说明金额的统计口径，检查重复统计、资金路径和时间顺序方面的矛盾，并列出尚未解决的问题。不要用全景案件说明补齐缺失环节，未完成的检索如实说明。结果用文字组织，仅供教学演示。
发送案例复盘与矛盾检查提示词后的软件界面
四、AI 回答得再像那么回事，我也会这样检查
我主要看几件很具体的事
先看出处。它说“存在利益输送线索”，我就找对应的原话和交易，只有判断、没有位置，我会要求它补上。
再看联系是怎么建立的。同一金额、同一天，只能告诉我值得注意，它得说清楚还有没有其他依据、为什么认为和这个项目有关。
然后看它有没有越过材料。没搜到合同，就认定没有业务；看到频繁联系，就认定共同违法，这些地方都得退回来重新核。
最后看下一步有没有落地。如果它又说“建议深入调查”，我就让它具体到材料和问题。
觉得回答过于笼统时，我会直接发这一段：
请重新检查刚才的回答。哪些有原始记录直接支持，哪些是推测？补充能定位的来源，把依据不足的确定性表述改掉。对还没解决的问题，提出具体核验任务，并说明会影响哪项判断。
大家也可以自己选它的一条判断，打开源数据对一遍。如果解释不了这条判断为什么成立，我们就还有必要继续问。
真正用起来，我会避开这几个坑
第一个坑，我不小心把答案也上传了。
完整说明和原始数据放在一起，AI 可能直接按说明找记录。它回答得快，未必说明它完成了独立分析。
我会干脆新开会话，把带答案的材料移出分析范围。但六份原始数据都可以用，也不用控制它第几轮才能发现哪个数字，它先找到什么，我们就检查什么。
第二个坑，它没读全，我却当成它查过了。
有的文件没解析成功，有的工作表没读取，或者只看了部分聊天。这个时候一句“未发现”，很容易让我们以为已经排除了某个方向。
我会追问：“你检查了哪些文件、什么时间范围，用了哪些关键词？哪些还没读到？”没有覆盖的部分，就记为没检查或者暂时读不了，别把工具没读到，解释成现实中没发生。
第三个坑，我把它问成了只会赞同我的助手。
如果我发“请证明这三人共同受贿”，它很容易只围绕这个方向组织材料。
我会改成“核查是否存在共同利益安排，找支持、削弱和暂时无法判断的记录”。它说没有反向材料，我还会看它有没有认真找过，不能一句话就结束。
第四个坑，话是谁说的、钱往哪边走的，都没核准。
手机是张三的，不代表里面每句话都是张三发的，联系人备注也不一定就是真实身份。账单里看见一个金额，同样得看收支方向和本方账户。
这些字段我会在开始时确认，关键记录再看一遍。方向弄反，后面再细致的分析，也会建立在错误起点上。
第五个坑，两条记录看起来像，我就把它们连上了。
同一天、同一个金额、同一个付款方，都是可以继续查的理由，但还得找更具体的联系。
尤其账户里资金混在一起，收到一笔钱以后又支出相同金额，不能单凭这两个数就断言来源。中间路径缺了，我会明确写出缺在哪，继续找交易和业务依据。
第六个坑，算出了总数，就觉得事情全清楚了。
这次九笔重点收入是 302 万元，前两个工程金额分别增加 580 万元和 420 万元，合计 1000 万元，它们说的不是同一件事。
我不会把 1000 万元直接写成全部损失，也不会把它和 302 万元相加，变成一个更大的“涉案总额”，先说清楚统计的是什么，再计算。
同样，收款以后转给亲属，已经属于后续去向，不能再算一次新增所得；一个对话在两部手机里都出现，也不能当成发生了两次。个人拿到多少，与共同犯罪责任范围，还要分别作事实和法律分析。
第七个坑，备注写了什么，我就信什么。
这次账单备注里有“利益分配”等文字，很容易一下就把分析方向带出来。我可以用它找线索，但还会看交易字段、聊天和业务依据。
全景说明也一样，它跟原始记录不一致时，我会把差异留着。时间显示差一天，先查时区；累计金额相差几个月，就得找别的材料，不能所有矛盾都用同一个理由带过去。
第八个坑，AI 把缺的情节补得太顺了。
“亲属代持”“提前垫付”“现金已交付”，这些解释听上去都可能成立，关键还是出处。
它一补出新情节，我就问：“这句话来自哪里？”有记录就核记录，没有记录就改成假设。购卡不等于已经送卡，登记在亲属名下不等于实际控制关系已经查明，约好了也不等于执行完了。
第九个坑，发了同样的提示词，就以为结果一定完全一样。
同样的材料，不同软件的检索和排序可能不同，同一个软件也可能先找到另一组记录。截图展示的是我怎样发送任务，大家实际得到的回答仍然需要核验，不必为了匹配文中的复盘顺序，反复把它往某个答案上引。
我会看关键记录能否找到、来源是否准确、统计有没有重复。重要提问和结果保存下来，中途纠正了某个字段或者金额，就让它同步更新相关结论，别只改最后一句话。
讲完这些坑，我会实际发送一次复核请求，即使还没有发现错误，也可以用它主动检查：
请对你刚才的分析做一次复核：材料是否完整读取，引用能否定位，消息和收支方向是否正确，金额是否重复统计，是否把备注或推测写成事实。发现问题时指出原表述、具体依据及修改内容，同步更新受影响的金额和判断；没有发现问题也请说明检查范围。不要为完成复核而编造错误。本次仅涉及虚构教学数据。
发送分析质量复核提示词后的软件界面
主要注意的是：以上示例我并没有让AI跑完全程
最后，我把整个过程压成六个动作
前面讲的内容不少，大家不用把每一段提示词都背下来。我把它整理成六个动作，实际操作时，可以拿来检查自己走到了哪一步。
读清。我手里有什么，AI 读到了什么，还有哪些没读到？账号、方向和时间有没有看对？
问准。我这一轮到底想解决什么问题？如果说不清楚，就先让 AI 帮我拆开。
查实。它给出的发现，我能不能回到原始记录？原话和上下文，是不是支持这个解释？
联看。把人、事、时间和钱放在一起，看看有哪些联系，哪些地方还缺一段。
反查。再找找正常解释和不一致的记录，如果现有材料推翻了我的想法，我就调整判断。
留痕。把来源、检索范围、金额怎么算的、判断怎样改过，都留住，方便自己回看，也方便别人复查。
如果六个动作一时记不全，大家先记住四句追问就够了：依据在哪里？还可能怎样解释？目前缺什么？下一步怎样核实？
大家可以现在就挑 AI 给出的一条判断，自己去找原文，看完以后，用自己的话解释它为什么值得关注，再指出一个还没解决的问题。如果能做到这一步，就已经在审查 AI 的分析了。
我希望大家用完这个案例，下一次打开手机数据和账单时，能够更清楚地发出第一个问题。方向不清楚，就让 AI 帮我拆解；有了假设，就让它检索和验证；发现矛盾，就停下来核实。这样一轮轮推进，手里的材料，才会逐渐变成有依据、能复查、也知道下一步该往哪里走的判断。
正经办案，给大家推荐一套专业系统
工具和案例讲完，最后说句实在话：我这个 HUNTER 工作台，是个人基于DeepSeek Harness 做的学习版，适合练手、做验证和比武；真正办案子，还得用专业系统。
专业系统：国信智擎的问迹智能线索研判系统。
它是专门面向执法办案场景打造的，电子数据线索分析、离线部署、软硬一体，从检材导入、线索研判到报告输出，都按标准流程走，比我这个个人工作台完整，也更稳。
想了解或者试用问迹智能线索研判系统的战友，直接私信我，我来给大家对接。
写在最后：DSH插件如何领取
不少战友私信问「Hunter 取证智能研判工作台 DSH 插件」从哪里获取，这里统一答复，获取方式只有两种。
老客户：非常感谢前段时间的各位战友的支持！真心感谢🙏，我也非常荣幸能够帮助大家，为了回馈大家，凡是已经赞赏获取过 skill 的战友，插件限时在10月8号前免费提供（明天微信找我，我直接发给你们），包含后续升级权益。
新客户：赞赏 99 元 直接获取插件，同时包含后续升级权益。
使用上有任何问题，随时私信我。插件我会持续维护，定期为大家更新升级。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：Hunter取证 取证猎人
取证猎人《【入门实操】：手把手教你如何利用智能体快速上手研判》