撰写经得起质疑的情报简报：把调查发现转化为可辩护的…

当你需要把调查、尽调或证据整理成一份能经受交叉质证和审查的情报报告、备忘录或高管摘要时使用。

适用场景

解决思路

1. 将每一条主张归入三类之一，绝不混淆，最好在文本中视觉上区分：观察（你看到的，附来源和时间戳，如“2024-03-11 检索的登记记录列出 A. Kestrel 为董事”）、推断（从观察得出的逻辑步骤，并展示该步骤，如“两个域名出现同一注册邮箱，因此由同一方注册”）、评估（你的分析判断，带概率和置信度，如“我们评估这两家公司很可能受共同控制”）。任何你无法判断属于哪一类的主张，都是把结论偷渡进了证据，必须重写。动词会暴露类别：观察用 is、lists、shows；推断用 indicates、implies；评估用 we assess、we judge。警惕“appears to be”，它假装是观察实为推断。完成标准：每条主张都已归类，且没有推断以观察的语法形式书写。
2. 为每条主张附上来源、时间戳和存档副本。无来源的主张不得进入报告，不能用脚注，也不能写“多个来源”，必须逐条给出具体来源。每个来源需要：URL 或工具及其精确查询；你检索时的 UTC 日期时间；来源可靠性评级；以及存档引用。实时 URL 会失效，敌对对象会删除内容。在引用时立即用 read-deleted-pages 存档所有引用内容，将快照与实时 URL 一并引用，并保留本地副本，因为公共存档本身也可能应请求被移除。对于可能成为证据的内容，添加保管链：谁收集、何时、用什么工具及版本，以及存储文件的加密哈希（Linux 用 sha256sum file，macOS 用 shasum -a 256 file）。在报告中记录哈希，保持原件不动，在副本上工作。没有哈希、时间戳和捕获方法的截图价值极低；底层 HTML、标头和图像文件价值更高。完成标准：每条保留的主张都有来源、检索时间戳、评级和存档引用，证据项还应有哈希。
3. 以判断开头。假设读者读完前半天就不再读——因为他们确实会这样。BLUF：先用平实语言回答目标问题，附上其概率和置信度。然后是支撑决策的两三条判断。背景、方法和细节放在后面，供需要审计你的读者阅读。一条关键判断是一句话、一个判断，带估计术语、置信度，并把理由压缩为一个从句。如果一条判断需要一段铺垫才能理解，它还不是判断。完成标准：目标问题在第一段得到回答，且即使其余内容都不读，该答案仍可辩护。
4. 使用概率阶梯，且只用它。到处写“possibly”是一份报告在长篇大论地说空话。统一使用一组有序术语并一致使用：almost certainly · highly likely · likely · roughly even chance · unlikely · highly unlikely · remote。使其奏效的规则：绝不使用阶梯之外的术语；绝不在同一句中混用数字百分比和词语，因为读者会锚定数字；绝不把“possible”当作估计，因为凡未被排除的都是可能的；并在报告中印出阶梯，让读者以与你相同的方式将词语映射到区间。概率和置信度是两个不同的轴。概率是判断为真的可能性。置信度是其下证据的质量——来源质量、佐证，以及是否存在缺口或合理欺骗。你可以合法地写“highly likely, low confidence”：证据强烈指向一方但仅依赖单一不可验证来源。这句话诚实且有用。把两者合并为一个词则不然。完成标准：每条评估都带一个阶梯术语和明确的置信度，并给出置信度的理由。
5. 撰写否定性发现。新手会删除这些，因为它们感觉像失败。它们往往是报告中最有用的内容：它们阻止下一位分析师重复工作，在尽调和入职前背景调查中，无不利发现本身就是交付物。说明你查找了什么、在哪里查找、未发现什么——区分“已查、不存在”和“无法查”。例如“在 OFAC、英国和欧盟合并名单中未发现对象的制裁或执法记录，2024-03-11 检索”是一项发现。而“未发现负面媒体”若不说明搜索的来源、语言和日期范围，就不是发现，而是耸肩。也要记录被排除的线索和候选人及其排除理由。完成标准：已查为空、无法查、被排除候选三类项目都写明范围和日期。
6. 记录方法和缺口。可复现性是情报产品与意见的分界线。记录工具及版本、精确查询和 dork、数据库及其覆盖日期、搜索的语言，以及任何影响结果的因素：速率限制、地理限制内容、付费墙、人设的访问级别、仅从存档恢复的已删除材料。缺口放在正文中，不要埋在末尾：无法确立什么、为什么（该司法管辖区无公共登记、平台需认证、记录被封存），以及什么能填补它——记录请求、传票、实地走访。点名封闭来源是对读者的一种服务。完成标准：另一位分析师仅凭报告就能重跑收集并得到相同结果，且每个未回答的目标问题都有明确原因和路径。
7. 最小化、脱敏，并按受众格式化。广泛收集，狭窄发布。删除目标不需要的一切——尤其是收集中出现的无关第三方数据：家庭成员、邻居、同一地址的共同居住者、照片中的旁观者、与对象同名的无关人员。在项目解释推理步骤时脱敏而非删除，并说明脱敏了什么及为什么，使脱敏本身可审计。绝不发布完整国民身份证号、支付卡号、凭据或泄露数据中的明文密码；按类型和部分值引用。将未脱敏案卷单独加密保存，遵守保留期限。然后匹配格式与读者：客户或高管——一页 BLUF，判断带概率和置信度，业务影响，正文不出现工具名；事件响应者——判断加机器可用的指标表（选择器、首次/末次出现、置信度）和原始工件；法律或监管——仅观察的正文，推断分离并标注，每件证物附保管链和哈希，方法附录，无日志不得脱敏；内部交接——来自 graph-the-network 的图、收集计划及已完成和未完成事项、每个死胡同。完成标准：报告不含目标不需要的第三方数据，且格式匹配指定受众。
8. 避免常见错误：推断洗白——第 2 页的推断在第 5 页作为背景重复、第 8 页被当作既定事实引用，警惕自己的主张重新作为事实进入。数量导致的置信度膨胀——四十条低质量项目感觉很多，应评级质量而非数量，在任何佐证声明前检查循环报告。无意义的对冲——“不能排除”对一切都成立，要么估计它要么删掉。截图作为证据——极易伪造和误读，引用存档原件，截图仅作旁边插图。凭记忆写报告——事后重建来源会产生指向已不再如此表述的页面的引用，边收集边引用。认错人的灾难——以上一切都没问题但对象是错误的人，在报告中重述区分特征并展示哪些证据将发现与那个特定个人联系起来。分发——一旦发出即被永久复制，标注处理方式，列出收件人，并假设会被转发。
9. 按以下标准评定置信度：高置信度——多个独立收集的来源，至少一个权威一手记录，一致，无合理欺骗，无重大缺口。中等置信度——可信来源且有部分佐证，或存在不触及核心判断的缺口。低置信度——单一来源、不可验证来源、重大缺口，或存在操纵的现实可能。仍可发布——说明为何低以及什么能提高它。将置信度写在判断旁边，不要放在读者会跳过的前言中。
10. 参考工作示例：目标——供应商是否与被禁实体共享控制权？BLUF：“很可能（中等置信度）Nordvale Trading 与被禁实体共享受益控制权。”观察：两份备案都列出同一会计师事务所；两个域名都解析到注册邮箱 admin@ke-holdings.example（2024-03-11 检索，已存档）。推断：共享注册邮箱表明同一注册方。评估：很可能共同控制——中等而非高，因为该司法管辖区未披露受益所有人，且代名安排未经检验。包含否定性发现：三个人口搜索网站报告的共享家庭地址追溯到一个带有相同拼写错误的经纪商数据源；记录为循环并排除。脱敏：该地址的两名共同居住者，与目标无关。点名缺口：UBO 登记不公开；正式请求可填补。
11. 注意法律事项：关于在世个人的 OSINT 报告本身就是个人数据，对象在某些司法管辖区可能对其拥有访问权——写每一行时都假设对象会读到它，因为他们可能有权这样做。可能用于诉讼的报告需要第 7 步的证据格式和不间断的保管链；松散组装、事后重新格式化的报告无法恢复它从未拥有的保管链。泄露来源材料有其自身的处理限制，将凭据引用进报告本身可能构成非法处理。

适用边界 · 注意事项

• 当你不掌握任何一手来源、时间戳或可存档证据时——本技能要求逐条主张附来源和存档，凭空撰写会产出无法辩护的报告。
• 当交付物是纯技术日志、原始数据导出或机器可读指标表，而非面向人类读者的判断性产品时——此时应直接交付工件而非简报。
• 当调查尚未完成、主张仍在变动时——边收集边引用，但不要在证据基础稳定前定稿 BLUF 和评估。