腾讯会议安全检测器
任务目标
- 本 Skill 用于：对腾讯会议进行全方位安全审计，发现潜在安全风险并给出加固方案
- 能力包含：链接安全解析、会议配置审计、参会者身份核验、录制安全检测、安全评分与报告生成
- 触发条件：用户提供腾讯会议链接或会议号，要求检测安全性、审计会议配置、排查会议风险
- 二创来源：基于腾讯会议官方CLI工具（tmeet）深度集成，充分利用 tmeet 的会议管理、录制管理、参会报告等API能力
前置准备
- 需要安装腾讯会议CLI：
npm install -g @tencentcloud/tmeet@latest - 需要完成OAuth授权：
tmeet auth login - 链接安全检测模式无需登录即可使用；完整审计模式需要 tmeet 已登录
操作步骤
检测模式说明
本工具支持两种检测模式：
| 模式 | 输入 | 检测项 | 是否需要tmeet登录 |
|---|---|---|---|
| 快速链接检测 | 会议链接 | 链接安全6项规则 | ❌ 无需 |
| 完整安全审计 | 会议号/链接 | 全部24项规则 | ✅ 需要 |
使用方法
快速链接检测（无需登录）
- 用户直接提供腾讯会议链接（如
https://meeting.tencent.com/dm/xxx） - 工具自动解析链接中的敏感参数、协议安全性、域名真实性
- 输出链接安全检测报告
完整安全审计（需要tmeet已登录）
- 用户提供会议号（如
123-456-789）或完整链接 - 工具通过 tmeet API 获取会议详情、参会者、录制等信息
- 执行全部24项安全规则检测
- 生成完整安全审计报告（含评分、风险定位、修复建议）
执行命令
# 快速链接检测
python scripts/tmeeting_security_audit.py "https://meeting.tencent.com/dm/xxx"
# 完整安全审计
python scripts/tmeeting_security_audit.py "123-456-789" --full
# 输出JSON格式
python scripts/tmeeting_security_audit.py "123-456-789" --full --json
# 保存报告到文件
python scripts/tmeeting_security_audit.py "123-456-789" --full --output report.md
24项安全检测规则
🔗 链接安全（6项）
| 编号 | 规则 | 等级 | 说明 |
|---|---|---|---|
| TM-001 | 敏感参数泄露 | 🔴 高危 | 链接含 openid/uid/device_id 等身份参数 |
| TM-002 | HTTP明文传输 | 🔴 高危 | 链接使用 http:// 未加密 |
| TM-003 | 会议ID可枚举 | 🟡 中危 | 会议号格式规律，可被暴力枚举 |
| TM-004 | 域名异常 | 🔴 严重 | 非腾讯会议官方域名，疑似钓鱼 |
| TM-005 | 跟踪参数 | 🟢 低危 | 链接附带 UTM 等营销跟踪参数 |
| TM-006 | 链接有效期 | 🟡 中危 | 链接/邀请无过期时间限制 |
⚙️ 配置安全（8项）
| 编号 | 规则 | 等级 | 说明 |
|---|---|---|---|
| TM-007 | 无入会密码 | 🔴 严重 | 任何获得会议号的人可直接加入 |
| TM-008 | 等候室未开 | 🔴 高危 | 参会者无需确认即可入会 |
| TM-009 | 入会权限过宽 | 🔴 高危 | 设置为所有人可加入 |
| TM-010 | 水印关闭 | 🔴 高危 | 截屏/录屏无法追溯泄露源 |
| TM-011 | 音频水印未开 | 🟡 中危 | 录音无法溯源 |
| TM-012 | 云录制未限制 | 🔴 高危 | 会议内容可被任意录制 |
| TM-013 | 主题含敏感词 | 🟡 中危 | 会议主题含「机密」「裁员」等 |
| TM-014 | 循环会议无终止 | 🟢 低危 | 循环会议长期存在 |
👥 参会安全（5项）
| 编号 | 规则 | 等级 | 说明 |
|---|---|---|---|
| TM-015 | 参会者身份异常 | 🔴 高危 | 非企业域名或未知身份用户 |
| TM-016 | 参会人数异常 | 🟡 中危 | 实际人数远超预期 |
| TM-017 | 等候室异常用户 | 🟡 中危 | 存在多次尝试入会的异常用户 |
| TM-018 | 邀请范围过大 | 🟡 中危 | 邀请人数超100人 |
| TM-019 | 非特邀会议 | 🟢 低危 | 未标记为特邀会议 |
🎬 录制安全（5项）
| 编号 | 规则 | 等级 | 说明 |
|---|---|---|---|
| TM-020 | 录制公开下载 | 🔴 严重 | 录制文件存在公开访问链接 |
| TM-021 | 转写内容未加密 | 🟡 中危 | 转写文本可被非授权人员读取 |
| TM-022 | 报告暴露详情 | 🟡 中危 | 会议报告含完整参会者名单 |
| TM-023 | 录制永久存储 | 🟢 低危 | 历史录制文件长期可访问 |
| TM-024 | 权限流程异常 | 🔴 高危 | 录制权限申请无需审批 |
安全评分体系
| 分数段 | 等级 | 说明 |
|---|---|---|
| 90-100 | 🟢 A（优秀） | 安全措施全面到位 |
| 75-89 | 🟢 B（良好） | 仅存少量低风险问题 |
| 60-74 | 🟡 C（需改进） | 存在中等风险，建议尽快修复 |
| 40-59 | 🔴 D（高风险） | 高危问题较多，建议立即加固 |
| 0-39 | 🔴 F（极高风险） | 严重漏洞，应立即停止使用 |
评分规则：满分100分，每个未通过的规则按严重等级扣分（严重-25/高危-15/中危-8/低危-3）。
使用示例
示例1：快速检测会议链接安全性
- 场景/输入：
帮我检测这个会议链接的安全性 https://meeting.tencent.com/dm/abc123 - 预期产出：链接安全6项规则检测报告，标注敏感参数、协议安全性、域名真实性
- 关键要点：无需登录即可使用，快速出结果
示例2：完整审计会议安全配置
- 场景/输入：
审计会议 123-456-789 的安全配置 - 预期产出：24项全量检测结果 + 安全评分 + 风险定位 + 修复建议
- 关键要点：需要tmeet已登录，通过API深度审计
示例3：批量审计近期会议
- 场景/输入：
帮我审计最近一周所有会议的安全状况 - 预期产出：逐个会议出具安全报告，汇总安全评分排名
- 关键要点：结合 tmeet meeting list 获取会议列表
参考标准
- 国家安全部2026年5月视频会议保密通报（三类视频会议泄密操作）
- GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求
- 腾讯会议企业版/专业版安全功能说明
注意事项
- 快速链接检测模式无需 tmeet 登录，可独立使用
- 完整审计模式需要 tmeet CLI 已安装并完成 OAuth 授权
- 检测结果基于 API 返回数据和规则引擎分析，可能存在信息延迟
- 安全评分仅供参考，具体安全策略需结合企业实际需求制定
- 建议定期对会议进行安全审计，特别是在重要会议前
