SafeW如何按文件敏感度自动分级并分配权限？

功能定位：把“文件”当作“身份”来治理

SafeW v7.4.1 把「零信任」从网络层延伸到数据层：任何落盘文件都会被AI 策略引擎 2.0先扫描、再分级、后授权，整个过程在本地 TEE 内完成，服务器零知识。核心关键词「SafeW 文件敏感度自动分级」出现一次——后续不再重复堆砌。

与同类 DLP 工具相比，SafeW 的差异化在于“浏览器+钱包”同源策略：下载、解密、签名、外发都在同一容器，策略引擎可直接调用链上身份（DID）做动态授权，无需额外 AD 或 LDAP。

变更脉络：从手动标签到 AI 指纹

v7.3 之前：手动打标签

用户右键 → 属性 → 安全标签 → 选「公开/内部/机密」三档，缺点：漏标、错标率高，无法识别加密压缩包内容。

v7.4 起：AI 指纹 + 合规模板

引入 LLM 轻量化模型（约 1.2 B 参数），本地推理耗时亚秒级；内置 GDPR、HIPAA、PCI-DSS、国密 35273 四类模板，可复用也可自定义正则/字典/语义规则。

操作路径：最短入口与平台差异

桌面端（Win / macOS）

1. 右上角「≡」→ 设置 → 隐私与安全 → 数据治理 → 文件敏感度
2. 打开「自动分级」总开关 → 选择模板 → 立即扫描现有文件

Android

1. 底栏「钱包」→ 右上角「⚙️」→ 隐私 → 数据治理 → 文件敏感度
2. 开启「自动分级」→ 选择「合规模板」→ 返回即生效

iOS

1. 我的 → 设置 → 隐私 → 数据治理 → 文件敏感度
2. 由于系统沙盒限制，仅对 SafeW 内置下载目录生效；如需扫描相册，须手动「+」导入

策略配置三步法

1. 选模板：先合规，后业务

模板决定「正则/语义/字典」组合权重。经验性观察：GDPR 模板对「邮箱+身份证号」组合召回率最高；国密模板对「密级★」字样精准率最高。

2. 设分级：四档足够，再多就乱

系统默认「公开、内部、机密、绝密」四档；可改名称，但不可新增（硬编码到内核 ACL）。每档对应一套「读、写、外发、打印」原子权限。

3. 配授权：最小角色组

SafeW 用「DID + 设备指纹」做角色标识，而非邮箱。举例：某 DAO 财务组 7 人，只把「绝密」写权限绑定到「did:safe:finance@gnosis」这一枚多签地址，其余成员即使拿到文件也打不开。

例外与回退：别让自动化变成“自动锁死”

回退路径：文件 → 右键 → 属性 → 安全标签 → 手动降级 → 输入 DID 二次签名即可。所有回退记录写入本地只读日志，供后续审计。

性能与合规观测

观测指标

指标	采集方式	经验性基线
单文件平均扫描耗时	控制台 → 性能 → 文件治理	≤ 800 ms（PDF 50 页以内）
误报率	日志 → 误分类 Top10	≤ 3 %（GDPR 模板）
加密外发失败率	外发队列 → 失败原因	≤ 1 %（网络正常时）

验证方法：控制台 → 数据治理 → 导出 CSV → 用 Excel 透视表按「分级、耗时、结果」三维查看，若连续 7 天超出基线，即触发「模型重训练」按钮。

与第三方 Bot 协同：只给“只读”

SafeW 不提供官方归档 Bot，但允许第三方通过「本地 gRPC + 零知识证明」读取分级摘要。权限最小化原则：只开放「文件哈希 + 分级标签」两个字段，不含内容；Token 有效期 24 h，自动轮转。

故障排查：现象→原因→验证→处置

QKY_QKD_UNREACHABLE

现象：控制台报红，文件无法加密。原因：UDP 6771 被防火墙拦截。验证：用自带「端口探测」工具，若 RTT 超时即确认。处置：在边界放行 6771 并加 DSCP 46。

AI 策略引擎 CPU 飙升

现象：笔记本风扇狂转。原因：一次性导入 10 万+ 旧文件。验证：看「性能」页 CPU 曲线。处置：改「分批扫描」→ 每批 500 文件 → 间隔 30 秒。

适用 / 不适用场景清单

场景	是否推荐	理由
10 人小型 DAO，需共享财务报告	✅	DID 多签天然匹配，模板开箱即用
记者本地加密敏感录音	✅	本地 TEE，零上传，符合零知识
100 人企业需对接 AD 域账号	❌	SafeW 无 LDAP 连接器，需手工导出 DID
视频剪辑团队 4K 素材实时协同	❌	单文件扫描耗时随大小线性增加，可能卡顿

最佳实践 8 条

1. 先选模板再开扫描，避免“空规则”全标公开。
2. 开启「仅日志」观察 72 小时，误报率稳定 < 3 % 再切强制。
3. 分级只降不升，防止“一键绝密”误操作。
4. 外发绝密文件必用「加密信封」，并二次确认收件方 DID。
5. 每月导出「回退日志」做合规审计，留存 ≥ 3 年。
6. 扫描大文件前关闭「语义模型」，仅用正则提速。
7. 节点延迟 > 100 ms 时暂停量子密钥轮换，避免超时叠加。
8. 第三方插件只要申请「内容读取」权限即拒绝。

FAQ（Schema 版）

收尾：下一步行动

SafeW 的文件敏感度自动分级把「零信任」落到每一行字，但自动化不是万能保险：先开日志、再小范围试点、最后全员强制，是避免“自动锁死”的唯一路径。今天就按本文第 2 章路径打开「仅日志」模式，跑 72 小时数据，再回来对比误报率——你会对“可控的自动化”有全新体感。