7月9日，电子取证厂商Exterro发布ARMOUR for FTK，将智能体AI接入FTK远程取证平台。按照该公司的产品说明，调查人员可用自然语言提出调查目标，由系统规划并执行证据收集、内存获取、工件分析、事件关联和时间线重建等任务。
此次发布把生成式AI的应用范围由材料检索和内容分析延伸至取证操作。AI在调查人员授权下接触企业端点、云服务、身份系统及通信数据，其执行记录、采集范围和判断依据也由此成为证据链审查的一部分。
从调查问题生成取证任务
据Exterro公开资料，ARMOUR for FTK采用“从问题开始”的工作方式。调查人员描述目标后，系统将问题拆解为具体取证步骤，并对不同数据源进行检索和关联分析。
Law.com旗下Legaltech News以数据外泄调查为例介绍称，系统可以把“文件是否被复制至下载目录、云盘或USB设备”等问题转换为一组可执行命令，再汇总调查结果供专业人员审查。产品还提供正式收集前的证据分析功能，意在先确定相关数据范围，减少无关数据的采集和后续审阅。
这一设计针对的是电子取证长期面临的成本问题。传统流程通常先进行较大范围的数据收集，再处理、检索和筛选。随着远程办公、云端协作和企业数据量增长，诉讼、监管调查、内部调查及网络安全事件响应需要处理的数据源不断增加，前期收集过宽可能推高存储、处理和律师审阅费用。
法律判断前移
在勒索软件、商业秘密泄露、员工离职带走资料或监管问询等场景中，较早确认事件范围，有助于企业评估损失、采取保全措施并决定披露安排。Exterro在发布材料中称，ARMOUR for FTK可为安全、法律、人力资源、合规和管理层提供统一的调查记录。相关效果目前主要来自厂商说明，仍需结合实际案件检验。
智能体AI参与取证后，法律团队介入调查的时间可能提前。律师除了审查最终数据集和取证报告，还需参与设定调查目标、数据源范围、权限边界及停止条件，并确认系统的自动操作是否符合保全义务、隐私规则和内部授权程序。
相应地，案件中的审查对象也会增加。系统的提示语、任务规划、行动日志、自动筛选依据以及未被采集的数据范围，都可能影响对调查完整性的判断。当取证结果受到质疑时，操作能否复现、原始数据是否妥善保全、分析结论能否追溯至具体证据，将比模型给出的摘要是否流畅更为重要。
可审计仍须接受证据规则检验
Exterro在产品发布中多次使用“可审计”“可供法律和监管审查”等表述，并强调人员保留最终责任。对取证产品而言，可审计通常要求系统完整记录调查由谁批准、执行了哪些操作、何时接触何种数据、原始材料如何保全，以及人工人员在何处作出复核或调整。
不过，保存操作日志并不能自动解决证据采信问题。在美国诉讼中，智能体生成的分析可能涉及证据资格、专家方法可靠性和交叉询问。Above the Law在相关评论中提及Daubert标准，关注的正是自动化取证方法能否说明其可靠性并经受法庭审查。
在中国司法实践中，电子数据仍需围绕真实性、完整性、合法性和关联性接受审查。若系统超出授权范围采集员工或客户数据，还可能引出个人信息保护、商业秘密及跨境数据合规问题。AI可以缩短调查和筛选时间，但调查主体仍须说明数据来源、采集方法、保管过程以及算法分析与原始证据之间的对应关系。
ARMOUR for FTK显示，法律AI厂商已开始把自动化能力嵌入事实调查环节。此类产品能否进入诉讼和监管调查的常规流程，取决于取证效率，也取决于权限控制、过程留痕、人工复核和责任划分能否满足证据规则要求。
资料来源
- Law.com Legaltech News：Exterro Releases Agentic AI Forensic Tool for Remote Investigations
- Exterro / GlobeNewswire：Exterro Launches ARMOUR for FTK: Forensic Investigations That Start with a Question, Not a Stack of Tools
- Exterro：Exterro ARMOUR product page
- Above the Law：Agentic AI For Forensics Investigations Is Fast, Auditable, And About To Bloody Daubert