使用事项材料前检查数据处理
决定哪些材料可进入所选工具，并记录访问或处理疑问。
撰写以来的变化
- Claude Code：分享诊断记录前先检查
Claude Code 2.1.274 和 2.1.275 修复了连接错误及插件记录可能显示访问令牌或密码的问题。更新不会删除已经保存或分享的信息。
建议操作: 请让 IT 安装包含这些修复的已批准版本。向支持人员发送日志或截图前，检查是否含有凭据或案件资料。如果凭据可能已经泄露，请停止分享该记录，并与安全团队按照组织的事件处理流程处置。
- Computer History 可能记录聊天之外的活动
这项可选的 macOS 功能会将应用和网站活动保存为记忆和时间线。发布时不向欧洲经济区、英国和瑞士提供；访问还取决于套餐和工作区设置。
建议操作: 此功能可能记录应用和网站中的活动，因此启用前应取得所在机构的批准。请检查哪些应用和网站被排除、如何暂停记录，以及如何删除已保存的活动。先在不涉及客户材料的情况下试用；获准使用聊天功能，并不代表获准在后台记录活动。
来源: ChatGPT / Codex
- Record & Replay 扩展至更多欧洲国家
7 月的扩展覆盖了欧盟、英国和瑞士。使用仍需要 macOS 和已启用的 Computer Use；公告未涵盖其他记录功能。
建议操作: 如果想录制作业以供以后复用，请先确认您的工作区已提供并获准使用 Record & Replay。用虚构文件练习，并在复用前查看录制内容，检查是否意外包含不应记录的信息。此公告并不能证明另一项独立功能 Computer History 也已可用。
来源: ChatGPT / Codex
- 被审查材料不能变成给审查者的指令
Codex Action 指南明确：拟议修改中的指令文件属于不可信材料，即使文件名是
AGENTS.md也一样。建议操作: 若团队用 AI 审查 GitHub 修改，请询问维护人员可信指令来自哪里。提交文件中的指令应作为待审内容，而不是待执行命令。
来源: Codex Action PR instruction security clarification, Claude Code Action simplified prompt guardrails, Claude Code Action non-user actor handling
- GitHub 可在分享修改前检查泄露的访问密钥
GitHub 向启用了 Secret Protection 的代码库全面提供了通过连接工具进行扫描的功能。
建议操作: 请维护人员在分享修改前扫描密码和访问密钥。扫描无警报不代表文件没有客户机密信息。
来源: GitHub MCP Server secret scanning GA, Claude Code GitHub Actions, Claude Code hooks
粘贴、上传或连接来源前，明确事项、用途、工具、账户或工作区及输出接收人。安排未确认时使用虚构材料。批准某产品或计划并不等于批准全部功能或外部服务。
使用前核查
-
确认组织授权及客户或事项限制，核查适用条款和实际设置中的处理、留存、训练用途、访问及连接服务。记录答案来源，将问题交给隐私或安全负责人。
-
仅提供任务必要材料，同时查图片、附件、评论和元数据。替换姓名可能仍留可识别语境，不能仅因移除直接标识就称匿名。重识别密钥应分开受限保存。 ICO（英国）
-
分享前确认接收人和存储位置，按组织记录规则记下材料、账户、审阅决定及限制。怀疑未经授权披露时，停止相关活动并遵循实际事件流程。
合成示例与修正
虚构测试文件使用“人员A”，但评论保留原姓名，正文描述某村唯一外科医生。审阅者不披露该文件，改用完全虚构测试材料并检查评论和语境。假名本身没有解决披露决定。
将屏幕和活动采集与聊天分别审查。对于 Computer History 或 Record & Replay，检查当前地区和工作区可用性、可采集的应用或网站，以及实际的暂停和删除控件。使用虚构活动测试，复用前检查已保存的记录。采集范围或授权尚未明确时，保持关闭。 OpenAI
在 Claude Code 中，请让 IT 安装包含诊断记录凭据泄露问题修复的已批准版本。向支持人员发送日志或截图前，检查是否含有凭据或案件资料。如果凭据可能已经泄露，请停止分享该记录，并与安全团队按照组织的事件处理流程处置。 Claude Code