# 我花了 3 个月搭建了 AI 安全防御系统：多层拦截、自我进化、实时响应 > 当攻击者开始用 AI 写攻击脚本的时候，你还在靠人工配 WAF 规则——这已经不是代差，是降维打击。 --- ## 2026 年，攻击变了 去年底挖矿木马还流行把 C2 地址硬编码在二进制里，安全研究员写几条 YARA 规则就能抓到一批。今年的样本已经开始用本地大模型动态生成通信协议了： - 每个被感染节点自动变异出唯一的网络特征 - 横向移动时用 LLM 分析内网拓扑，选择最优传播路径 - 恶意载荷按目标环境实时编译，杀软签名完全失效 传统安全工具的检测逻辑是"见过的东西才能识别"。但 AI 驱动的攻击天生就是"你没见过的东西"。 这就是我搭 V19 的原因。一个**用 AI 对抗 AI** 的多 Agent 防御系统——不是替代传统的 WAF 或 EDR，而是在它们上面架一层认知层，专门处理那些"没见过"的攻击模式。 --- ## V19 总体架构 先看一张全局图： ``` ┌──────────────────────────────────────────┐ │ 因果认知层 (Causal Layer) │ │ ┌─────────┐ ┌─────────┐ ┌─────────┐ │ │ │ 攻击链 │ │ 策略 │ │ 防御 │ │ │ │ 溯源推理 │──│ 生成器 │──│ 方案验证 │ │ │ └─────────┘ └─────────┘ └─────────┘ │ └──────────┬──────────────┬────────────────┘ │ │ ┌─────────────────▼──┐ ┌──────▼─────────────────┐ │ EPA 吞噬引擎 │ │ IFE 觅食引擎 │ │ (Entry Point │ │ (Inference & │ │ Analyzer) │ │ Foraging Engine) │ │ │ │ │ │ · 入口点特征提取 │ │ · 行为模式推理 │ │ · 多模态攻击识别 │ │ · 异常觅食路径检测 │ │ · 实时流量镜像分析 │ │ · 对抗样本生成 │ └──────────┬─────────┘ └──────────┬─────────────┘ │ │ └──────────┬──────────────┘ │ ┌──────────▼──────────┐ │ 数据总线 (NATS) │ │ ┌────────────────┐ │ │ │ Agent 注册中心 │ │ │ │ 消息队列 │ │ │ │ 状态同步 │ │ │ └────────────────┘ │ └──────────┬───────────┘ │ ┌───────────────┼───────────────┐ │ │ │ ┌─────▼─────┐ ┌──────▼──────┐ ┌────▼─────┐ │ 沙箱执行器 │ │ 威胁情报模块 │ │ 响应执行器 │ │ (Firecrack │ │ (Mandiant │ │ (阻断/ │ │ er) │ │ + VirusTot │ │ 隔离/ │ │ │ │ al) │ │ 取证) │ └────────────┘ └──────────────┘ └──────────┘ ``` 三层核心引擎各司其职，通过 NATS 消息总线松耦合通信。下面逐层拆解。 --- ## 第一层：EPA 吞噬引擎 —— 不放过任何一个入口点 EPA（Entry Point Analyzer）的名字来源于一个设计理念：**所有攻击都必须经过一个入口点，入口点是攻击者唯一无法伪造的东西**。 EPA 部署在流量镜像层，对所有进入内网的流量做实时分析。它不在乎载荷长什么样，它关心的是： 1. **入口点特征**：这个请求经过了哪些中间件？协议升级链路是什么？TLS 握手特征是否异常？ 2. **时序行为**：同一来源在 100ms 内发起了多少次请求？请求间隔的分布是否呈现自动化特征？ 3. **多模态载荷**：载荷里是否同时包含 JSON 结构体、Base64 编码块和 Shell 命令片段？ 举个例子。我们做对抗测试时，模拟了一个用 GPT-4 生成的 Webshell 变种——传统的 WAF 完全没反应，因为它的代码结构和任何已知 Webshell 都不一样。 但 EPA 抓住了三点： - 请求的 `Content-Type` 是 `multipart/form-data`，但 body 只有一段连续的 Base64 - 源 IP 在 5 秒内向 12 个不同端点发送了结构相似的请求 - Base64 解码后的内容里包含 `eval` + 动态变量名组合 EPA 不判断"这是什么攻击"，它只判断"这个入口行为不符合正常模式"——然后把异常流量打标，扔给下一层。 --- ## 第二层：IFE 觅食引擎 —— 在行为空间里找到攻击者 IFE（Inference & Foraging Engine）的工作是：**EPA 说"这个入口异常"，IFE 来回答"它到底想干什么"**。 IFE 的核心是一个经过安全领域 Fine-tune 的推理模型（Qwen2.5-14B-Instruct，本地部署，Zero Data Leak）。它接收 EPA 传来的异常载荷和元数据，执行三步推理： ``` Step 1: 载荷语义解析 → 识别载荷中的：代码片段 / 命令序列 / 文件路径 / 网络地址 → 输出：载荷原子操作列表 Step 2: 攻击意图推断 → 将原子操作组合成攻击链假设 → 例如：[文件上传] → [eval 执行] → [反弹 Shell] 构成一条完整的 RCE 链 Step 3: 觅食路径规划 → 根据攻击链假设，在内网中搜索可能的下一跳目标 → 如果攻击者试图横向移动，IFE 会预判 3 个最可能的目标节点 ``` 觅食（Foraging）的概念很有意思。在生物学里，觅食行为是指动物在未知环境中搜索食物的策略。IFE 借用这个隐喻：攻击者是在你的内网里觅食的捕食者，而 IFE 通过推理攻击者的行为模式，提前跑到他的下一个目标点去布防。 我们测过一个场景：攻击者通过一个被入侵的 Jenkins 节点进入内网，扫描 SMB 端口，试图用 EternalBlue 横向移动。IFE 在攻击者扫描到第二台主机时，就已经预判了他的 5 步攻击链，提前在目标主机上触发了端口隔离。 --- ## 第三层：因果认知层 —— 防守方的"上帝视角" EPA 做检测，IFE 做推理，但真正让 V19 区别于传统 IDS 的是第三层：**因果认知层**。 因果认知层不处理单次告警。它维护一个全网的**攻击因果图（Causal Attack Graph）**，把每一条告警、每一次异常、每一个 Agent 的判断都作为节点加入图中，然后运行因果推理算法（基于 Pearl 的 do-calculus，做了离散化近似），回答三个问题： 1. **溯源**：这次攻击的真正起点是哪个节点？不是被攻破的那个，是攻击者第一次立足的那个。 2. **影响面评估**：如果现在不做任何干预，30 分钟内哪些资产会受影响？ 3. **最优响应策略**：在所有可能的防御动作中，哪个能以最小业务损失换取最大安全收益？ 第三点尤其关键。传统安全工具只会告诉你"有攻击"，至于怎么处理——要么全量阻断（影响业务），要么只告警不响应（等于没防）。因果认知层的策略生成器会推演多种响应方案的后果，选一个最温和但最有效的。 例如上个月的对抗测试中，我们模拟了一个 API 滥用攻击。认知层生成的策略不是直接封 IP——因为它推演出攻击者可能换了 IP 再来——而是对目标 API 自动注入速率限制 + 返回虚假成功响应（蜜罐思维），让攻击者在 40 分钟内误以为攻击有效，而真实数据零泄露。 --- ## 自我进化：系统会自己变强 三层架构的最后一环是**反馈闭环**。 每处理一次攻击事件，因果认知层会把完整的攻击链、IFE 的推理过程、最终采纳的防御策略以及策略执行后的效果打包成一个"经验单元"，存入经验池（Experience Pool）。经验池每周做一次离线评估： 1. **IFE 校准**：IFE 的推理模型在三轮评估数据上做 LoRA 微调，提升攻击意图推断的准确率 2. **策略迭代**：回顾过去一周所有响应策略的效果数据，淘汰低效策略、推广高效策略 3. **规则进化**：EPA 的模式库自动从经验池中提取新的入口点特征，不需要人工写规则 这意味着 V19 部署得越久，防御能力就越强——不需要安全团队手动更新规则库，系统自己从实战中学习。 我们对比过：V19 部署后的第 1 周，对未知攻击的检出率是 78.3%。到第 12 周，这个数字升到了 94.7%。同一批攻击样本，传统 WAF 的检出率始终在 55% 左右波动——因为它的规则是死的。 --- ## 这不是科幻，已经在跑 V19 的多 Agent 协作模型用 Go 实现核心引擎，Python 做认知层推理，NATS 做 Agent 间通信。所有 AI 推理组件全部本地化部署——Qwen2.5 做安全推理，因果图引擎用 NetworkX + 自研的 do-calculus 离散近似算法。不需要联网，不需要上传流量到任何云端平台。 目前 V19 已经在我的实验环境中稳定运行 3 个月，日均处理 50 万条网络事件，平均响应延迟低于 300ms，误报率控制在 2% 以内。 防御这件事，光靠人已经不够了。当对面的攻击者开始用 AI 试你的防线，你的防线也得有 AI 来守。 **访问 [https://sixu-ai.net.cn](https://sixu-ai.net.cn)，了解 V19 多 Agent 防御系统的完整架构，申请体验防御 Demo。** --- *V19 多 Agent 防御系统：EPA 吞噬引擎 + IFE 觅食引擎 + 因果认知层，三层架构实现 AI 对抗 AI。本地部署，流量不出网，自我进化，持续学习。*