👍 👍 👍

跳转微信打开

就在昨天，MiniMax发布了全新的基座大模型 MiniMax-M2.7 。

跳转微信打开

以下文章来源于：MonkeyCode AI 编程

MonkeyCode 不是 AI 编程工具，是对传统研发模式的变革，是全新的 AI 编程体验，让你的研发团队效率 Max。

阅读原文

跳转微信打开

冲冲冲🧧🧧🧧

阅读原文

跳转微信打开

长亭科技完成新一轮融资，共创智能安全新未来

阅读原文

跳转微信打开

在研发团队里，有一件事几乎人人都知道 “很重要”，但又常常被拖延、被简化、被走过场——代码审查（Code Review）。

大家都明白它能发现 Bug、提升质量、统一规范，可现实往往是：

• PR 一堆，Review 靠喊；

• 时间不够，草草看完；

• 有经验的人太忙，新人不敢多说。

于是就有了一个很现实的矛盾：Review 不能没有，但成本又不能无限增加，这正是 MonkeyCode Review Bot 想解决的事情。

MonkeyCode 是由长亭科技推出的企业级 AI 开发平台，致力于为开发者提供更专业、更可靠、更可扩展的 AI Coding 体验，地址如下：

https://monkeycode-ai.com/

先说重点，MonkeyCode Review Bot 是支持完全免费使用的。

你不需要准备环境、不需要部署服务，只要有代码，就能立刻开始 Review。

它具备的能力包括：

• 内置完整开发环境

• 使用业内顶尖的 AI 大模型

• 支持真实代码编译、测试和审计

Code Review 是一项高度结构化、但长期被人力低效执行的工作，而这正好是 AI 最擅长补位的点。

MonkeyCode Review Bot 负责搞定基础、重复、耗时的工作，让人把精力用在更有价值的地方。

更具体一点，它会做这些事：

• 检查代码逻辑是否合理

• 提醒潜在 Bug 和边界问题

• 指出不符合规范的写法

• 给出性能、安全、可维护性建议

• 把零散的问题整理成一份清晰的 Review 报告

登录 [MonkeyCode 控制台](https://monkeycode-ai.com/)，进入「智能任务」页面：

1. 选择「审查」模式

2. 上传代码压缩包，或直接填写代码仓库地址

3. 用自然语言描述你的 Review 关注点

1. 点击 “执行”，一个 Review 任务就启动了。

Review 完成后，MonkeyCode 会自动生成一份完整的审查报告，涵盖整体结论、问题说明和优化建议。

下方链接是一个样例 review 任务，可以感受一下实际效果。

https://monkeycode-ai.com/tasks/public?id=57e723c3-98cd-4db0-ac55-c182379cd483

如果你的代码主要托管在 GitHub，那你只需要在仓库的 Pull Request 评论区直接 @MonkeyCode-AI 即可调用。

如果你追求的是流程化和自动化，那你还可以选择使用 Webhook 的方式与 git 仓库集成。

通过把 MonkeyCode Review Bot 接入 Git 仓库的 Webhook，你可以实现 “每次创建 PR / MR，自动触发一次 Review”。

目前 MonkeyCode 已支持接入 GitHub、GitLab、Gitee、Gitea 等主流平台。

Code Review 从来不是一件 “可有可无” 的事情，只是过去，它常常被成本、精力和现实妥协掉。

MonkeyCode Review Bot 想做的，是把这件本该重要的事，变得更轻、更自然、更容易坚持。

不管你是个人开发者，还是团队负责人，都可以从一次免费的 Review 开始，看看它能为你的代码带来什么不同。

对 MonkeyCode 感兴趣的小伙伴欢迎访问 https://monkeycode-ai.com/ 前来试用，也欢迎扫描下方二维码加入我们的微信交流群。

阅读原文

跳转微信打开

作为程序员，谁没被AI编程工具的“爱恨情仇”拿捏过？

阅读原文

跳转微信打开

阅读原文

跳转微信打开

bash -c "$(curl -fsSL https://release.baizhi.cloud/koala-qa/manager.sh)"

阅读原文

跳转微信打开

---

  新智元报道  

编辑：桃子

最近，AI Coding的发展可谓是如火箭般神速。

月之暗面和通义千问争相开源发布Kimi K2和 Qwen3大模型，能力更强，成本更低，在编程场景中都有着非常优秀的表现。

尤其是，面对复杂编程任务的场景，其能力更令人惊叹，又一次向世界证明了国产开源模型走在技术的最前沿！

与此同时，知名AI编程工具Cursor则不断在搞事情，毫无预兆和通知就对中国大陆用户进行了模型断供。

当用户选择多款国外先进模型时，就会收到Cursor「模型供应商不能为您的区域提供服务」的提示，狠狠地恶心了一把国内支持Cursor的粉丝们。

更加过分的是，Cursor在使用的过程中，即使勾选了「隐私模式」，Cursor仍然会上传大量企业代码到国外Cursor服务器！

正因为如此，字节跳动和百度在近两个月已经分别禁用了Cursor，据说更多互联网企业已经纷纷跟进和效仿。

这个故事警示我们：在当前动辄「卡脖子」的科技对抗时代，还是得用咱自己信得过的「产品+模型」，国外的月亮即使再圆，也不可能持续照亮我们的科技发展之路。

在这个背景下，国产企业级开源AI Coding工具MonkeyCode横空出世！

首发即支持 Kimi K2和Qwen3，一次性解决使用Cursor的诸多烦恼，让你的开发不仅更高效并且更安全！

Cursor最强平替出世，双模合一

那么，MonkeyCode具体有哪些优点？

首先，安装便捷，安全可控。

MonkeyCode是一款开源的企业级AI Coding工具，一键命令即可本地化部署，同时让宝贵的代码和数据牢牢掌握在自己手里。

第二，更懂国人，功能更强。

MonkeyCode有着远超Cursor Teams功能的企业级功能面板，不仅免费开源，更可享受超过Cursor Teams的企业级强大功能体验。

第三，双模合一，高效便捷。

MonkeyCode提供代码补全和Agent模式的双模合一功能。

现有开源方案中，要么只支持补全，要么只支持Agent模式，MonkeyCode则是首款同时支持双模式的开源实现，只需要在模型管理界面进行简单配置（支持本地模型也支持API接入），即可实现开箱即用。

其中，补全模型支持Qwen-Coder，Agent模型支持Kimi K2、Deepseek V3/R1和 Qwen3等先进系列模型。

如果你是研发负责人，只需找台服务器快速部署安装和配置，即可让你的开发团队全员享受代码补全和AI加持编程的提效之路。

实测惊艳，开箱即用

下面，让我们从头开始，用一个编程实例，完整感受下好用又安全的MonkeyCode。

安装MonkeyCode只需单台Linux服务器，官方提供了一键安装命令，整个安装流程非常简单。

安装成功以后会看到一个管理员控制面板，在管理面板中即可配置大模型，Agent模型推荐使用Kimi K2，代码补全模型推荐使用qwen2.5-coder-3b-instruct。

然后，进入 「成员管理」页面，点击 「邀请新用户」，平台会为每个用户生成独立的「邀请链接」。

接下来，把「邀请链接」发送给团队成员，团队成员访问 「邀请链接」即可自助注册。

注册完成后，根据页面提示下载并安装VSCode插件。

安装成功后，可以在左侧看到MonkeyCode图标，点击这个图标就可以看到 MonkeyCode的使用界面了。

现在，我们来让MonkeyCode写一个网页版的五子棋小游戏。

输入提示词：创建一个game.html文件，用html代码实现一个五子棋小游戏。

提交提示词后，就可以看到MonkeyCode开始自动生成代码。

确认代码无误，点击「保存」，然后运行MonkeyCode写的代码，一个五子棋游戏就出现在眼前。

这个五子棋小游戏已经具备完整的功能，但页面好像不太美观。

很简单！继续让MonkeyCode美化一下，在刚才的对话里继续追加要求即可。

再看美化完成后的效果，果然亮眼了很多。

至此，五子棋小游戏完成。仅需要输入两次提示词，耗时20秒。

这就是使用 MonkeyCode进行对话式编程的高效感受。

除了使用对话的方法进行编程，MonkeyCode 还提供了非常完善的代码智能补全功能。

MonkeyCode会根据代码上下文生成补全建议，用浅色字体显示在VSCode中，确认是需要的代码后，输入Tab键即可采纳补全建议，大大减少了手动输入代码的时间，显著提升了开发效率。

还有，上面说好的安全呢？

首先，我们来看看MonkeyCode的管理面板，所有使用AI进行辅助编程的行为，以及AI生成的代码，都会详细记录在后台用户查询和审计，确保开发过程可视可控可追溯。

不仅如此，在后台管理面板我们还可以看到一个「代码安全」的菜单，这就是长亭科技的拿手好戏了，虽然写着 「敬请期待」，但长亭科技紧接着会在后续版本中集成代码安全扫描引擎，帮助用户发现代码中可能存在的高风险安全漏洞，让AI生成的代码不再有「幻觉」，每一行代码都得到严格管控。

清华系黑马，顶级AI安全团队倾力打造

体验了MonkeyCode的高效安全后，各位程序员不禁好奇，为什么长亭科技做出了这么一款产品？

提起长亭科技这个名字，在AI圈可能还有待扬名，但在网络安全领域，长亭科技则是以新生代企业代表的C位形象出道。

长亭科技以实战攻防立身，连续多年在各大安全攻防赛事、国家和地方的实网攻防演练霸榜，2024年更是获得了「大满贯」级别的冠军成绩，论起网络安全实战能力可谓是国内的排头兵。

据了解，长亭科技目前已经服务了包含各大头部银行券商运营商在内的超过4000家客户，是网安领域冉冉升起的小巨头。

安全是发展的前提，当所有人都在关注一路狂奔的AI技术，关注AI生成的代码快不快、氛围感强不强的时候，长亭科技已经关注到安全对AI的重要性。

为此，长亭科技在代码安全领域布局良久，为AI Coding生成安全的代码进行了扎实积累。

据长亭科技介绍，本次推出MonkeyCode，是迈向AI领域的关键一步，也为后续推出融合了AI Coding和代码安全能力的产品埋下伏笔。

上文提到的MonkeyCode的 「代码安全」功能，就是长亭科技重点打造的AI安全能力之一。

长亭科技介绍，安全需要从源头做起，MonkeyCode不仅是当前Cursor的最佳平替，让开发过程实现自主可控和数据安全。

同时，在AI重塑软件开发流程的时代，AI编码不仅提升了开发效率，同时也显著放大了安全风险。

MonkeyCode可以帮助企业筑牢软件安全的根基，在享受效率革命的同时，实现「安全左移」，将安全风险消灭在开发阶段，真正驾驭AI编码的强大力量。

据了解，长亭几乎是国内网络安全领域认真致力发展开源产品的独苗，目前Github累计4万多star。

如果大家觉得产品不错，走过路过，不妨点个star，共同支持国产开源，让国产开源越来越好。

MonkeyCode开源地址：https://github.com/chaitin/MonkeyCode

加入交流社区

为方便交流使用心得、解决问题和获取项目动态，MonkeyCode 官方设有交流群。

扫描下方二维码即可加入

阅读原文

跳转微信打开

6月26日下午15:00，不见不散！亮点抢先看！

阅读原文

跳转微信打开

韧性，是人类对数字世界的敬畏，是系统对自身有限性的再认识，是在不确定性中持续创造秩序的内在力量。

编者荐：

炎炎夏日，比天气更火热的是即将开始的实网攻防演练。开战之际，为大家带来国内知名白帽技术专家Micropoor（亮神）的“韧性数字安全体系”，帮助磨刀霍霍的师傅们从更高的维度做好防守工作。

Micropoor（亮神）长期活跃在网络安全攻防一线，以实战渗透技术研究和系统性安全思维著称。他专注于APT攻击与防御领域，强调技术点的串联与工程化思维，提出的“渗透测试的本质就是信息收集”、“分离免杀”等思想得到业内普遍认可。近年来，Micropoor（亮神）基于多年实践总结，提出了"韧性安全防御体系"的思想，对一线安全运营人员具有高度的思想价值与实践指导意义。

注：以下文章为Micropoor（亮神）原创，已征得作者同意后转载，特此致谢。

人在认识世界、改造世界的实践活动中自会形成种种具有积累价值和交流价值的思想和认识，文章总结便是用来完善、固定和交流这些思想认识成果的工具。也只有这样的变化，才能符合客观实际，准确地把握现实，从胜利走向更大的胜利。因此，文章必须言之有物，言必载物。

————Micropoor

一、引言

在当代肿瘤医学中，治疗癌症的目标已从“彻底根除”转向“长期控制”，即将其转化为一种可以持续管理的慢性病。这一转变不仅是技术的进步，更是理念的深刻演化。从理念来看，现代医学抗癌至少经历了四次革命：第一次是以手术为核心的局部清除；第二次是通过放疗和化疗实现对全身病灶的打击；第三次是基因检测和靶向药物带来的精准治疗；第四次则是免疫疗法的兴起。尤为重要的是，免疫疗法所倡导的逻辑不同于传统的“直接消灭病灶”，它通过激活人体自身的免疫系统，使其具备识别与压制癌细胞的能力，从而形成一种系统性、内生性的防御机制。

这一医疗逻辑的深层转变，恰可比拟当前网络安全治理中正在发生的范式转型。随着数字技术在社会各个层面的广泛渗透，网络攻击的复杂性、隐蔽性和破坏性不断增强，传统的信息安全观念——如边界防御、边界模糊、静态隔离、威胁封堵——越来越难以应对不断演化的威胁。大规模勒索病毒、APT攻击、数字供应链污染攻击、物联网滥用等新型风险不断突破防御系统的边界，也使得边界越其模糊，而系统一旦崩溃，往往面临数据丧失、关键功能瘫痪、组织运营中断等灾难性后果。

在此背景下，网络安全的战略目标正从“防止被攻破”向“允许在被打击后仍能生存”发生根本转变。韧性数字安全体系应运而生。该体系不再一味追求系统的“不可穿透性”，而是强调系统在面对威胁和攻击时，能否快速识别、精准定位、有效隔离，并在最短时间内恢复关键业务运行，保持整体系统的稳定性与业务连续性。

韧性数字安全强调“存活能力”而非“绝对安全”；追求“系统抗打击性”而非“攻击零发生率”；构建的是一种具备多层缓冲、动态调节、自主恢复与跨域协作能力的复杂系统安全结构。基于此理念，本文提出构建韧性数字安全体系的五大核心思想：

1、分层防护：基于资产重要性和网络结构，构建多层次的防御架构，避免单点突破和整体瘫痪；

2、层层发现：在各个安全层级部署侦测机制，实现全域范围内的持续感知与动态监控；

3、主动防御：主动识别并干预潜在攻击链；

4、跨行跨业联动：建立跨行业、跨组织的信息共享与协同应对机制，实现“单点受侵，集体免疫”；

5、极限生存：在最恶劣的攻击环境中，通过最小功能集、灾备恢复、信任根重建等机制，确保核心业务得以维持。

本文将围绕上述五个核心思想，系统性地论述韧性数字安全体系的理论基础、结构构建路径、关键技术支撑以及其在国家安全、产业安全与社会治理中的现实意义。通过理论分析与实践探索相结合，力图为当代信息社会建立一种能够应对不确定性、复杂性与极端事件的新型安全治理范式。（参考：我为什么坚信韧性安全体系的内在逻辑（第二章））

二、韧性数字安全体系的理论基础

2.1 韧性概念的源起与演化

“韧性”最早源于物理学领域，指材料在受力变形后恢复原状的能力。在20世纪后期，该概念被引入生态学、社会学和工程系统中，逐步发展出一套系统性韧性的分析框架。在网络和信息安全领域，“韧性”不再仅仅意味着恢复原状，而是指系统在遭遇攻击、故障、异常或突发事件时，能够维持其核心功能、快速适应扰动并逐步恢复能力的综合性能。

与传统的“信息安全”相比，网络韧性更强调的是应对失败的能力，而非单纯避免失败。信息安全的核心在于保密性、完整性和可用性，而韧性则将焦点转向了系统性的持续运行能力、功能退化后的承载力、以及资源调度与恢复策略的动态性。

因此，可以说，“韧性”并非替代“安全”，而是在现实威胁环境中对安全范式的一种必要补充和再定义。这也构成了韧性数字安全体系的理论根基：接受风险存在，重构系统设计。

2.2 从“防御性安全”到“生存性安全”

传统网络安全强调边界设防、防火墙阻断、规则匹配与黑白名单。其逻辑基础是“攻击可以被预先阻断”，前提是“我们知道攻击来自哪里”。但随着威胁源高度多元化、攻击手法动态演化，防御策略逐渐陷入被动：一旦攻击手段绕过设定规则，系统几乎毫无抵抗能力。

韧性安全体系强调的是另一种逻辑：攻击不可避免，瘫痪无法彻底防止，但“生存”能力可以构建、可以优化、可以模拟测试。它反映了如下几种思维转向：

1、从完美防护至允许受损但不崩溃；

2、从静态规则至动态适应机制；

3、从单点边界防御至系统性协同韧性；

4、从攻击阻断至恢复保障与重建能力。

以此为核心，韧性体系不追求“绝对安全”，而是追求“相对生存能力最大化”，即在“已被攻击”的设定下，系统还能维持服务、限制蔓延、重建功能。

2.3 韧性体系的四大理论支柱

在文献和实践探索中，成熟的韧性体系往往由以下四大理论支柱构成，这也为后文提出的五大核心思想提供理论基础：

1、冗余性——系统必须具备功能冗余与路径冗余。

2、适应性——在不确定条件下，系统需具备根据环境变化自动调整资源和行为的能力。

3、恢复性——即使在功能崩溃或被攻击的情况下，系统应具备以最快速度恢复核心服务的能力。它要求恢复路径明确、指令通畅、数据完整。

4、可感知性——系统必须对内部状态与外部环境有持续、准确的感知能力。这包括对攻击、异常、流量变化等的实时检测与研判。

这四个支柱，相互配合、共同支撑一个系统“在混乱中仍能运行”的底层逻辑。本文提出的“分层防护”、“层层发现”、“主动防御”、“跨行跨业联动”、“极限生存”五大思想，正是对这四大原理的具体化、结构化与操作化落地。

2.4 韧性构建的工程必要性

在现实网络环境中，任何足够复杂的系统都不可能保持永久的“完美运行”。无论防御策略多么精密、策略规则多么严密，总有一种攻击路径、操作失误或供应链缺陷能够突破设防。这种“不可避免的失败”，并非偶然，而是由系统的本质决定的。

从工程视角来看，现代数字基础设施正面临三大困境：

1、系统边界不再清晰：随着云计算、物联网、移动终端的大规模部署，网络系统的边界趋于模糊，防御线越来越难以定义。

2、攻击手段日益复杂：攻击者不再依赖单一手段，而是采取“低慢隐”方式，绕过规则检测，穿透多个安全层面。

3、组织协作链条冗长：安全事件往往涉及多个部门、外部供应商、上下游合作单位，导致响应链条变长，决策滞后。

在这种条件下，继续寄希望于“零入侵”“零出错”是不现实的。安全系统不能只追求封闭式防御，而应像生命系统一样具备在失败后“控制损害、限制扩散、迅速恢复”的能力。这正是韧性数字安全体系的工程逻辑起点。

韧性数字安全建设不是抽象概念，而是对以下三个维度的具体“工程组织”：

1、结构上的容错设计

2、机制上的恢复路径预设

3、快速响应链条

更进一步说，韧性数字安全体系不是对现有安全架构的修补，而是对系统运行逻辑的整体再设计。它改变的不只是“用了什么工具”，而是“如何理解系统如何生存”。

当我们不再把安全理解为“屏障的坚固程度”与“业务的保驾护航”，而是“在攻击中系统能否站稳”的问题时，韧性便不再是理想主义附加项，而是数字安全的底线逻辑与工程相揉的和谐。

三、韧性数字安全体系的五重结构原则

在传统安全范式下，防护体系往往以边界设防、点状拦截为主，假设只要“前端不破”，整体系统便可安然无恙。但在现实中，复杂系统始终存在不可预测的漏洞与人为误差，攻击也逐渐呈现“多点突破、链条演进、隐蔽持久”的态势。在这一背景下，韧性数字安全体系必须构建一套多维联动、动态协同的结构机制，其核心即“五重结构原则”：

3.1 分层防护：结构解耦，避免单点失效

韧性安全的第一原则是分层防护。该原则要求根据资产的关键程度、业务的耦合关系及潜在攻击面，对整个系统进行逻辑与物理上的分层与分区。在结构上形成“内外有别、等级分明、职责清晰”的防御纵深，在策略上制定各层独立响应与联动机制。

关键特征：

1、构建从互联网网络、互联网应用、互联网用户交互、互联网服务器、内网网络、内网应用、内网用户交互、主机、应用、数据等到身份的多重防线；

2、各层独立部署安全策略，避免“一处突破，全局瘫痪”；

3、引入微隔离技术，将关键服务模块细分成独立单元。

此类设计通过“结构解耦”与“功能最小化”，在提高攻击成本的同时，为系统提供了容错冗余基础。

3.2 层层发现：连续感知，动态诊断

防护不能停留在封堵层面，更应强调实时发现与持续感知。“层层发现”要求在各个系统层级部署可持续运行的监测与检测机制，实现从外围异常行为感知，到核心数据访问分析的全景安全可视化。

关键特征：

1、建立覆盖全域的日志、告警、行为分析机制；

2、采用人工智能与威胁情报驱动的智能分析模型；

3、支持对未知攻击手法的“行为态势识别”与溯源能力。

系统必须像免疫系统一样，具备多层感知神经网络，不仅能“看到”攻击，更能“理解”其结构与走向。

3.3 主动防御：预判攻击，打断链路

相较于被动响应，韧性安全更强调前置性防御，即在攻击成功前实施打断与干预。这一策略不仅仅是“加强规则”，而是以对攻击链的认知为基础，通过构造“对抗机制”实现攻击链条的解构。

关键特征：

1、通过威胁建模与攻击图谱，识别潜在攻击路径；

2、主动部署蜜罐、诱导系统与陷阱机制，误导攻击行为；

3、实现对攻击早期阶段（如侦察、权限提升）的精准打击；

4、构建主动防护运营。（参考：我为什么坚信主动防护运营 (PSecOps) 的内在逻辑（第六章））

3.4 跨行跨业联动：信息共享，共建集体免疫

韧性体系的第四个核心在于跨界协同能力。网络攻击往往呈现跨组织、跨行业的传导特性，孤立防守注定难以形成有效应对。因此必须建立一套跨主体、跨领域的情报共享与联动响应机制。

关键特征：

1、构建基于信任机制的信息共享平台，推动威胁情报标准化；

2、建立跨域应急响应演练机制，提高集体应急效率；

3、支持“单点受损、群体防御”的协同联动体系；

4、威胁情报数据流转去敏化。

只有在整体生态层面形成协同作战体系，单一系统的韧性能力才能转化为社会级的系统性韧性。

3.5 极限生存：保障底线，维持核心功能

当攻击不可避免、崩溃难以阻止时，系统必须具备在“最坏情境”下依然能够维持最小运行能力的结构设计。极限生存并非妥协，而是一种“极端环境下的主动求生”。

关键特征：

1、明确“最小运行单元”，设计“最小功能集”；

2、建立应急恢复机制，如离线切换、冷备自动接管、可信重建；

3、引入“信任根”的快速再构能力，恢复系统可信基础。

这种生存逻辑类似医学上的“维生系统”：即便大面积组织功能丧失，仍通过核心机制维持生命体的最基本运行状态。

3.6 从结构原则迈向系统路径

韧性数字安全体系的构建，不是传统安全范式的延伸或修补，而是对“安全”这一概念本身的重塑与重构。前文所提出的五重结构原则——分层防护、层层发现、主动防御、跨行跨业联动、极限生存——在本质上指向的是系统自身组织形式、运行逻辑、环境适应力与危机承载力的全面跃迁。这五个原则构成一个互为支撑的有机整体，表现出高度的结构嵌合性、功能互补性与逻辑递进性。

1、“分层防护”确立了韧性体系的结构性防御骨架，通过空间异构、职责分层与模块分区，打破了传统线性安全模型中的“单点依赖”与“平面脆弱性”，为系统建立了首道缓冲机制。这一原则奠定了体系韧性的“空间分布基础”。

2、“层层发现”是“分层防护”基础上的动态感知机制延展，通过多级监测、异常行为建模与分布式响应，将安全能力嵌入系统的“神经末梢”，使系统具备持续感知、实时警觉与自我认知的能力。此处体现的是“从被动知觉到主动感知”的逻辑飞跃。

3、“主动防御”在“感知能力”的基础上进一步引入了预判—干预—反制的动态安全逻辑，摆脱传统“事后响应”的应激模型，转而构建出具备前向识别与超前决策能力的攻防主动性。这一原则思想体现了韧性安全中“时间维度上的前瞻性演化”。

4、“跨行跨业联动”则突破了个体系统的封闭边界，倡导构建面向多方协作、信息互通、联防共治的生态协同机制。这一原则基于现实中的复杂威胁演化趋势，回应了“没有一个系统是孤岛”的时代挑战，强调在数字共同体中塑造“集体韧性”。

5、“极限生存”则是韧性体系的底层哲学支柱。它直面最极端的系统灾变场景，预设“系统不可避免会失败”，从而构建出灾难条件下维持关键功能、优先恢复路径与再信任重构机制的体系能力。这是从“保障不中断”向“保障不崩溃”的范式跃迁，是韧性理念区别于传统安全观的最核心断裂点。

五重结构原则，在逻辑上并非线性堆砌，而是构成一个动态闭环系统：

1、分层防护创造结构隔离基础；

2、层层发现植入动态认知感知；

3、主动防御提升系统反应智力；

4、联动协作扩大安全协同维度；

5、极限生存则锚定系统生存底线。

它们共同织构出一个具备自组织能力、自我调节机制与非线性应对能力的韧性系统生态。这套体系不再诉诸“零风险幻想”，而是转向对“不确定性”的正视与制度化应对，其目标不是绝对防御，而是确保在任何攻击中“活下去”、“恢复来”、“适应变”。

在永恒的不确定性中建构秩序，是韧性安全体系的本质使命。“世界的本质是运动、变化和发展的”，而非静态和永恒不变。传统安全体系的设想本质上是一种“静态的确定性控制”逻辑，它追求一种绝对封闭、永不出错、完全可控的秩序幻象。然而现实世界的技术系统深陷复杂性、相互依赖性与不断演化的对抗之中，任何单点的失败都可能迅速演化为系统性的瓦解。

韧性安全体系正是在这一历史条件下应运而生，它并不以消灭风险为目标，而是接纳不确定性、承认失败的可能性，并在这种不确定中寻求有组织的生存、有节奏的恢复、有方向的演化。它既是一种安全工程逻辑，更是一种辩证法的实践形式——在对抗之中发现秩序，在失败之后重构信任，在混乱内部塑造系统性稳定。

因此，韧性安全不只是“更复杂的防御”，它是数字世界中主动生存哲学的技术呈现，是从“安全神话”走向“动态现实”的范式革命。

四、从理念到落地：韧性数字安全的工程化路径

如果说前述“五重结构原则”是韧性安全体系的逻辑骨架，那么如何将这一骨架转化为具备结构稳定性与动态适应性的现实系统，便是“工程化”必须回应的命题。尽管“韧性”作为安全治理的新范式已在理念上逐渐获得共识，但将这一理念转化为可执行、可验证、可持续演进的工程实践，仍是当下数字安全领域面临的重点难题。韧性安全体系并不等价于传统意义上的“加强防护”或“构建备份”，它要求在系统架构、组织运维、数据策略、风险处置机制等多个维度实现范式转换。这一转换不是简单的工具迭代，而是一种对系统性认知的重构，是对复杂性与不确定性主动承认并系统回应的工程设计路径。

4.1 工程化的三层结构：架构、机制与能力

韧性安全工程的核心在于从静态防御的结构逻辑走向动态调节的能力建构，其落地可划分为三层：

1、结构架构层：设计上引入冗余、解耦、自治等工程原则，以构建具备“退化运行”与“渐进恢复”能力的基础架构。

2、机制转化层：将理念层的“主动防御”“动态适应”“威胁共存”具体转译为触发式响应、行为感知、策略演化等机制流程。

3、能力塑造层：通过训练、评估、演练及指标体系建设，使组织具备识别—吸收—恢复—学习的全过程韧性闭环能力。

韧性数字安全工程化不仅涉及“搭什么系统”，更重要的是“如何让系统不断适应”“如何让人组织持续学习”。

4.2 核心技术支撑的韧性转化路径

从工程化建设角度，韧性数字安全的落地依赖于多种关键技术的交互融合

1、动态资产可视化与拓扑映射：为“精准吸收”风险提供数据基础；（参考我为什么坚信SCMDB的内在逻辑）

2、基于行为的入侵识别与因果链重建：支持“过程理解”与“自我解释”；

3、数字孪生环境下的灾害演练与模拟恢复：增强“演化式学习”；

4、模块化重构与微服务弹性设计：支持“局部失败—系统存活”；

5、零信任与最小权限模型的动态授权框架：实现“纵深控制”的内嵌化。

这些技术并非孤立堆砌，而应纳入系统性工程设计逻辑中，形成“技术—机制—能力”的闭环结构。

4.3 工程转化的主要矛盾：韧性构建中的制度惰性与实践的辩证统一

韧性数字安全体系的工程转化，是一个典型的辩证矛盾运动。此矛盾不是敌我矛盾的对抗，而是处于同一系统内部、具备可调和特性和协商性的非对抗性矛盾。矛盾是事物发展的根本动力，任何复杂系统的发展都离不开矛盾的激荡与解决。

制度惰性表现为既有安全治理体系的固有惯性：其核心特征是以合规为中心的静态防御逻辑、风险回避的保守心态以及以规则为依托的管理路径。这种制度框架虽然为组织提供了稳定的运作基础，但却形成了“惯性思维”，抵制不确定性，难以适应韧性安全所需的动态应变与快速恢复的本质要求。制度惰性表现为对新理念的迟疑、对资源的投入以及对失败容忍度的不足，成为韧性安全推广的深层阻力。

实践创新则是韧性安全理念的具体展开，是对原有治理体系的否定之否定，是系统内部通过自身实践推动自我完善的过程。它体现为技术突破、协同治理机制创新和运营模式重塑，是推动系统质变的根本动力。

二者既相互依存，又相互制约，构成一个“矛盾的统一体”。这种矛盾的特殊性在于：

1、矛盾双方均服务于系统整体的稳定与发展，制度惰性保障了基本秩序，实践创新推动质的飞跃；

2、矛盾不是激烈的对抗，而是通过反复的妥协、协商和渐进调整，实现新旧动力的平衡与转换；

3、这种非对抗性的矛盾是组织在复杂环境中实现持续发展的“内在张力”，推动韧性工程从理念到落地。

具体表现为：

1、战略与执行的错位矛盾：决策层对韧性安全理念的认可与推动，往往受限于绩效考核和传统风险认知，导致基层执行力量难以获得持续支持，形成理论与实践之间的“矛盾”。

2、短期利益与长期价值的矛盾：制度往往关注短期合规与风险控制，而韧性安全需要长期投入与体系建设，这种时间维度上的矛盾加剧了推动周期的难度。

3、组织文化与变革动力的矛盾：既有的安全文化强调“零失误”和“绝对安全”，而韧性理念鼓励接受失败、容忍风险，激发创新，这对组织心理和管理方式提出了挑战。

为破解这一主要矛盾，韧性数字安全工程的推进必须同时实现：

1、破除制度惯性，重塑治理逻辑，将韧性理念纳入战略核心，建立动态适应与持续改进的管理机制；

2、激发实践创新，强化跨部门协同，优化资源配置，提升基层执行力与专业能力；

3、构建反馈循环，以实践检验制度改革效果，以制度保障创新成果的持续落地；

4、深化理论与实践结合，将辩证法运用于安全工程，形成对韧性建设全面、系统的认识和行动指导。

只有通过这一矛盾的辩证统一，才能实现韧性数字安全的有效工程化转化，推动安全治理从“静态防御”迈向“动态生存”，构建起面向未来复杂威胁的坚实防线。

4.4 对应策略：破解制度惰性，激发韧性实践的辩证路径

制度层面：构建韧性安全的战略共识与治理机制

1、顶层设计：将韧性安全纳入组织战略全局，明确其核心地位。以制度创新推动治理逻辑转型，从“唯合规论”向“合规、动态适应、持续改进”的三轮驱动。

2、动态政策机制：建立弹性法规与安全标准，允许根据威胁环境和技术发展灵活调整，打破“一刀切”的刚性条框。

3、容错激励机制：设计容错机制和失败容忍度，减少惩罚性文化带来的创新障碍，激发组织内创新动力。

组织文化与认知：培养韧性思维，推动理念内化

1、安全意识宣贯：开展系统的韧性安全培训，增强全员对韧性理念的理解和认同，塑造积极面对风险与失败的心理态度。

2、决策示范：管理者以身作则，推动从“零风险幻想”到“动态适应现实”的思维转变。

3、跨部门协同文化：建立跨部门沟通机制，促进信息共享和资源整合，打破“信息孤岛”，构建协同共治生态。

技术与工程实践：打造韧性安全的技术体系和运维机制

1、渐进式技术迭代：采用模块化、可插拔的设计理念，支持系统逐步演化与升级，减少大规模改造的风险与成本。

2、持续监测与反馈：构建全链路、多维度的安全监测体系，结合人工智能和自动化技术，实现对威胁的动态感知与响应。

3、演练与实战：通过有效性验证、红蓝对抗和灾备测试等实践活动，检验韧性措施的有效性，推动安全能力的闭环提升。

资源配置与激励机制：保障韧性建设的持续动力

1、长期主义：转变“短平快”观念，从局部收益转向全局韧性安全的长期价值主义，合理安排有限的资源。

2、绩效考核创新：设计与韧性目标相匹配的绩效指标，强调系统恢复力、业务连续性和风险管理能力的提升。

3、激励多元化：引入技术创新奖励、跨部门协作表彰等多样化激励手段，提升组织整体的韧性建设积极性。

制度与实践的动态协同：建立韧性安全的持续进化机制

1、反馈闭环机制：形成制度设计—实践应用—效果评估—制度优化的循环体系，确保韧性安全理念与实践的同步演进。

2、知识管理与经验积累：搭建韧性安全知识库和案例库，实现组织经验的沉淀与共享，避免重复错误，促进创新传承。

3、开放协同生态：推动与行业、学术界、监管和供应商伙伴的多方协作，构建共生共赢的安全生态圈。

以上策略从理论到实践，从制度到文化，从技术到管理，全方位破解“制度惰性”与“实践创新”之间的矛盾，实现韧性数字安全工程转化的质变。它们共同构成一个动态辩证的系统工程，推动组织在复杂多变的数字环境中稳健前行。

五、韧性数字安全体系的实践与总结

5.1 韧性数字安全体系出发点：在不确定性数字世界中构建可能的秩序

所有关于韧性的讨论，归根结底源于对世界本体的不确定性的承认。在这个意义上，韧性不是技术术语，而是存在论问题。它并不试图消除风险，而是承认风险常在，从而转向构建一个可以承受冲击、吸收扰动、并在扰动中保持连续性的系统性存在。

这种理解与现代科学技术在面对“复杂性”“模糊性”“非线性”时的范式转变高度一致：从确定论向演化论，从线性控制向动态调适，从封闭系统向开放系统。正如海德格尔的思想：“人并非主宰自然的主宰，而是驻留于存在的风暴之中。”韧性正是这种“驻留”姿态在数字安全世界中的具体实践。

5.2 思想转译为系统建构：韧性体系的双向逻辑

思考的力量不在于提供工具，而在于提供思路。在将“不确定性中的秩序”转译为工程系统时，韧性体系体现出两个维度的逻辑：

1、向下扎根：在底层架构中承认“脆弱性”是必然的，从而构建结构的缓冲、模块的替代性与联动的弹性；

2、向上生长：在治理机制中接受“未知”与“突变”，发展出组织的自适应能力、人的反思能力、系统的学习能力。

这种上下互动的逻辑，构成韧性数字安全体系的“生成性机制”。

5.3 理论与实践的张力：从理想到工程转化的实践矛盾

在将思想转化为工程现实过程中，韧性体系不可避免地遭遇诸多张力与悖论：

1、预设与适应的矛盾：制度设计需要预设结构，但真正的韧性又要求能够脱离结构进行自由调整。

2、稳定与变动的矛盾：安全往往追求控制与边界，但韧性必须承认模糊与渗透。

3、控制与自治的矛盾：传统治理逻辑依赖中心化管理，而韧性更需要边缘智能与本地决策。

这不仅是实践困境，更是必须正面回答的命题。系统的生长需要克服自身的惯性，而这依赖于制度性自省机制的构建的能力。

5.4 “韧性五重螺旋”：从抽象理念到工程结构

为突破这一张力，本文提出“韧性五重螺旋结构”，作为一个将新安全体系理念转化为工程实践的具象模型。其五层核心分别为：

1、战略层（方向设定）：明确“不确定性治理”的根本目标，设定韧性能力的优先序列。

2、结构层（分层架构）：构建多层次、模块化、可切换的系统架构。

3、感知层（动态感知）：布设全局、本地并行的监测机制，实现状态自知。

4、响应层（联动机制）：打通跨域响应通道，形成以人为中心的技术和制度联动能力。

5、恢复层（极限防守）：确保在极端场景下的基本功能维持与快速恢复。

该五重结构并非静态，而是在实践中不断螺旋上升。每一次危机，都是一次重构与升维的机会。

5.5 最终目标：系统的自觉、自省与自治

韧性体系的最终目标，不是通过外部工具加固系统，而是形成系统自身的认知能力与反思能力。也就是说：

1、自觉：系统能够认识自身状态与演化趋势；

2、自省：系统能够判断自身失效或惯性来源；

3、自治：系统能够在最小外部干预下完成修复与重组。

这是一种“具有意识的系统”工程雏形。它要求我们将安全从外部防御逻辑，转化为内部演化逻辑——不是构筑更高的墙，而是构筑更强的生态。

最后，我想用一句话以此总结——韧性，是人类对数字世界的敬畏，是系统对自身有限性的再认识，是在不确定性中持续创造秩序的内在力量。

阅读原文

跳转微信打开

大家好，经过一个月的内测，我们昨天刚刚开源了一款 AI 驱动的 Wiki 项目，叫做 PandaWiki。

大家好，经过一个月的内测，我们昨天刚刚开源了一款 AI 驱动的 Wiki 项目，叫做 PandaWiki。

GitHub 链接：https://github.com/chaitin/PandaWiki

PandaWiki 是一款 AI 大模型驱动的开源知识库搭建系统，帮助你快速构建智能化的 产品文档、技术文档、FAQ、博客系统，借助大模型的力量为你提供 AI 创作、AI 问答、AI 搜索 等能力。

PandaWiki除了是一款 Wiki 程序，一款 AI 知识库以外，还有一些独属于自己的特色能力：

• AI 驱动智能化：AI 辅助创作、AI 辅助问答、AI 辅助搜索。

• 强大的富文本编辑能力：兼容 Markdown 和 HTML，支持导出为 word、pdf、markdown 等多种格式。

• 轻松与第三方应用进行集成：支持做成网页挂件挂在其他网站上，支持做成钉钉、飞书、企业微信等聊天机器人。

• 通过第三方来源导入内容：根据网页 URL 导入、通过网站 Sitemap 导入、通过 RSS 订阅、通过离线文件导入等。

PandaWiki 自己的帮助文档就是基于 PandaWiki 自己来构建的，如图：

bash -c "$(curl -fsSLk https://release.baizhi.cloud/panda-wiki/manager.sh)"

我们担心大家手头找不到可用的 AI 模型，特意在长亭百智云（https://baizhi.cloud）模型广场里放了一些模型，注册就能获得免费使用额度，推荐大家直接接入使用。

阅读原文

跳转微信打开

又一期，结业啦

小记

从凛冬寒夜的星辰到春日破晓的晨光，长亭珂兰寺伙伴5期班的学员历经120余天淬炼，在三月底终于迎来了破茧时刻。这段征程中，小编见证了一群年轻人最动人的模样——他们眼底跃动着求知的光芒，骨子里镌刻着对网安的热爱，用纯粹的赤诚的心在网络安全的世界里踏出铿锵足音。

长亭珂兰寺隶属于行业知名的智能网络安全公司长亭科技，为培养网安后辈精英而设立。自2019年创立以来，长亭珂兰寺始终怀揣着对网络安全的热忱之心，以培养实战型网安人才为使命，历经13期精心打磨，已累计培养百余名网络安全专精人才。今天，长亭珂兰寺初心未改，再次以匠人之心重构课程体系，用更贴近攻防一线的课程设计、更资深的讲师团队、更沉浸式的靶场实训，为网络安全行业输送新生力量。

01

学习篇

从0到1再到10，夯实网络安全知识体系

从网络安全筑基，到Web安全，再到内网渗透进阶，四个月的课程如同精密齿轮层层咬合。理论讲解伴随着考核、实战练习，帮助学员不断编织网络安全知识网。

在教学中，学员基础能力的差异向培训方案提出了挑战。有些学员有着3年+Java开发经验，也有些学员是开学前猛学两个月的计算机“小白”。面对伙伴5期班学员迥异的基础图谱，长亭珂兰寺灵活采用"动态教学法"，在教学过程中落地因材施教，为学得快的学员指明额外的学习方向，对于学得较慢的学员，则有额外的“提升方式”，动态调整教学进度，不让任何一个学生掉队。

02

成长篇

镌刻于生命的深层印记

【职业认知 】随着学习的深入，一点点靠近网安行业，触摸其时代脉搏，培养了学员对于网络安全的责任感。

【习惯重塑 】授人以鱼不如授人以渔，教授再多的知识不如教授良好的学习习惯。

【同窗情谊 】那些相伴一起挑灯夜战的身影、热烈讨论的瞬间，终将沉淀为青春最珍贵的琥珀。

正如学员说：“从学校毕业后，已经很久没有全身心投入在学习中了。来到长亭珂兰寺又感受了一把纯粹的求知时光，真的很令人怀念。"

03

就业篇

结课两周，超62%的学员已签约工作

讲师在课程结束后启动为期一周的简历指导、模拟面试等就业专项辅导，精准定位学员仍存在的技术短板，并以模拟面试，还原压力场景，系统性暴露学员临场逻辑断层、应变迟滞等问题，帮助学员发现并改进自己在面试中存在的短板、提前适应面试环境、减轻其在真正面试时的紧张感。 

这不，好消息接踵而至，伙伴5期班的班长一马当先入职CT。7位同学紧随其后，顺利入职。同时亦有3位同学跟随CT实训项目，积攒项目经验。

截至目前，伙伴5期班已经有超过62%的学员，收获了工作安排。

04

师生篇

亦师亦友的陪伴

小编认为，只有技术实力和综合素质都过硬，才称得上是“好老师”。而本期的讲师，则用4个维度诠释了教育真谛：

• 他一口气讲了四个月课程，每天8小时不间断；

• 他技术实力强，知识面广，全程脱稿讲课，从不念PPT；

• 他认真负责，经常凌晨还在解答学员的问题；

• 他因材施教，把控所有学员的学习进度。

不夸张地说，在每次的学习情况调研中，他真正做到了0差评。

（一对一简历指导）

05

生活篇

亦师亦友的陪伴

作为学员们亦师亦友的同行者，长亭珂兰寺深知，学习重要，好好生活亦很重要。看呀，圣诞节、元宵节···，长亭珂兰寺一样不落，惊喜小礼物给同学们安排！

什么？有学员来北京4个月天天泡在教室，还没有时间逛下北京？安排！游颐和园走起！体力好的同学甚至环湖跑了一圈，小编真的佩服！

山水有相逢，未来皆可期。

正如同学说的“寒随一夜去，春逐五更来。“真诚的祝愿每一位学员都能迎来自己的春天，我们更高处见！

06

彩蛋：活动预告

精彩精彩，不容错过！长亭珂兰寺计划在4月24号安排一场直播和同学们见面，届时我们会讲解长亭珂兰寺课程体系、培训安排等内容，同时也会有有趣的互动和抽奖环节，欢迎各位同学预约直播～

预约传送门👇👇👇

与此同时

长亭珂兰寺伙伴6期班正在招生中

欢迎联系咨询（详情见下方海报）

阅读原文

跳转微信打开

Web2GPT 是由长亭科技推出的免费 AI 应用。

    Web2GPT 是由长亭科技推出的免费 AI 应用。Web2GPT 的读法是 Web to GPT，顾名思义，他可以基于一个的 Web 网站中的业务内容自动生成类似 ChatGPT 的 AI 应用。

官方网站：https://web2gpt.ai/

智能客服

    提供素材让 Web2GPT 自动学习你的业务，让 AI 成为你的业务专家，Web2GPT 将化身网页在线客服、钉钉客服、微信客服等形式，为你的用户提供服务支持。

站内搜索

    传统搜索引擎收录不及时、收录不完整；传统站内搜索听不懂人话，搜索质量差。

    Web2GPT 可以是一个优秀的站内搜索引擎，结合大模型的能力提供优质的语义化搜索结果。

自动化操作网站

    除了能处理文字内容以外，Web2GPT 还可以帮助用户进行交互操作。

    结合 MCP 服务，用户可以使用自然语言来操作你的网站，实现 ”赛博上网” 的体验。

    假如你是一个高校网站的管理员，想象一下这个场景：”嗨，Web2GPT，我的学号是 123456，帮我报名下周二的英语六级考试”。

第一步，采集内容

    Web2GPT 采集内容有 4 种方法：

🌟 自动发现，根据网站入口点自动遍历所有相关的网页

🌟 给定一个 URL，把对应网页上的内容抓回来

🌟 上传一个文件，自动分析文件里的内容

🌟 创建一个文档，人工把内容写进去

第二步，学习知识

    Web2GPT 会根据你的配置自动采集到大量的内容，这时候选择你需要的内容，点击 “学习“，喂给 AI

第三步，创建 AI 应用

     到这里，Web2GPT 已经掌握了许多知识，基于这些知识来创建一个应用。Web2GPT 目前支持 “网页应用”、“网页挂件“、”钉钉机器人”、“飞书机器人“、”企业微信机器人” 这几种应用。

第四步，使用 AI 应用

    这时候根据 Web2GPT 的指引，将创建好的 AI 应用集成到你的业务之中。

如果你对 Web2GPT 感兴趣，欢迎扫码下方二维码加入 “Web2GPT 交流群“

阅读原文

跳转微信打开

已经升级到 8.4.0 的兄弟们应该会发现雷池又多了一些 AI 能力，8.4.0 更新公告。

已经升级到 8.4.0 的兄弟们应该会发现雷池又多了一些 AI 能力，8.4.0 更新公告。

感谢 Web2GPT 为雷池提供的 AI 能力支持

主要变化

1. 右下角多了一个 AI 小助手 按钮
2. 右上角多了一个 连接 AI 按钮

问：雷池 AI 小助手 是不是付费版的功能?

答：当然不是！雷池 AI 小助手 是官方提供的免费能力。

初级助手-雷池 AI 问答助手

点击右下角的 AI 小助手，可以直接进行对话。

平时使用雷池时遇到的问题，都可以直接向 AI 小助手 提问。

高级助手-雷池 AI 操作助手

注意：使用 雷池 AI 操作助手 需要在右上角的 连接 AI 按钮中关联当前雷池所对应的 MCP 服务。具体步骤请阅读下方的 “如何连接 MCP 服务”

在雷池 WAF 里配置 MCP 服务后就可以通过 AI 来进行自动化控制了，看两个例子。

🚀 最近有哪些 IP 对雷池 WAF 发起了攻击

🚀 把 194.163.152.77 这个 IP 加入雷池黑名单

如何连接MCP服务

创建一个空目录，在空目录内写入以下内容到 compose.yaml 文件中

 1 services:
2  mcp_server:
3    image: chaitin/safeline-mcp:latest
4    container_name: mcp_server
5    ports:
6      - "5678:5678"
7    environment:
8      - SAFELINE_SECRET=****************
9      - SAFELINE_ADDRESS=https://****************:9443
10      - SAFELINE_API_TOKEN=****************
11      - LISTEN_PORT=5678
12      - LISTEN_ADDRESS=0.0.0.0

环境变量说明

• SAFELINE_SECRET: MCP 服务的认证信息，相当于密码，用于防止其他人恶意调用 MCP 服务
• SAFELINE_ADDRESS: 雷池 WAF 管理控制台的地址，需要确保 MCP 服务器可访问
• SAFELINE_API_TOKEN: 雷池 WAF 的 API Token，在雷池 “系统管理” 页面上直接生成即可
• LISTEN_PORT: MCP 服务的监听端口，保持默认即可
• LISTEN_ADDRESS: MCP 服务的监听地址，由于雷池 AI 引擎部署在公网，这里需要保证监听的地址是外网可访问的

然后运行以下命令把容器跑起来即可

1docker compose up -d

点击雷池 WAF 界面右上角的 连接 AI，在弹框中配置 MCP 服务 的地址和 Secret 信息

注意：

• MCP 服务 的地址需要加上 /sse 后缀
• Secret 就是 compose.yaml 文件中配置的 SAFELINE_SECRET

🚀 雷池 MCP 服务已开源

雷池 MCP 服务目前只实现了少量的功能，不过相关代码已开源，见 GitHub 仓库, 欢迎热心网友一起来参与共建。（https://github.com/chaitin/SafeLine）

阅读原文

跳转微信打开

👀

大冒险后的真心话

朋友，不知道你有没有发现，当你每一次发起对话、尝试突破暗藏玄机的关卡的时候，就已经踏入了大模型应用中的安全雷区——看起来普通的对话可能就藏着诱导AI“说错话”的“陷阱”。接下来，我们就和安全大佬聊聊NezhaSeek背后的故事吧～

市场小编：怎么想到的开发这个游戏呢？

🌟 安全研究大佬：

这事儿还要从「矛与盾」说起……

年初，长亭的年度保留项目「矛与盾」内部攻防演练如期而至。「矛与盾」是出了名的长亭内卷修罗场，今年再出奇招，搞了个“大模型安全专项赛”，将近200位来自安全策略、安全研究、安服、研发等部门的师傅在这个赛道大展身手，最终，大家共提交了近1200个flag、 超千种越狱思路并成功挖掘出多个大模型应用系统 0day。

其中，我们发现了很多有意思的“提示词注入”攻击方式，这些攻击方式在很多常见的模型应用场景中都存在！为了让大家更直观地感知它，我们就想着设计一个智能NPC游戏大家一起“以身试险”hhh～

市场小编：啥是“提示词注入”？

🌟 安全研究大佬：

2023 年 OWASP Top 10 for LLMs 2023 - 24 提出了“提示词注入”攻击手法，这是一种针对大型语言模型的网络攻击方式，简单说就是黑客将恶意输入伪装成合法提示，诱使生成式 AI 系统泄露敏感数据，传播错误信息。

市场小编：可以举个例子吗？

🌟 安全研究大佬：

咱们就用NezhaSeek来举例，整个游戏其实涉及了模型应用场景中多个常见的安全问题，不同的关卡设计使用到不同参数的模型、提示词限制、关键词过滤、复杂流程编排等限制方式来对信息进行保护，玩家可以通过提示词注入的手法，让模型实现越狱、绕过应用编排的逻辑或是触发编排中的关键词等多种方式来获取每关所保护的信息内容。

比如下面这一关，玩家就可以通过提示词注入来获取系统提示词内容，利用获取到的信息来修改初始系统提示词，从而控制模型来输出答案。

市场小编：我懂了！所以我们在享受大模型所带来的便捷的同时，也必须留意这些潜在的安全问题！

🌟 安全研究大佬：

是的，这不仅局限于模型本身可能引发的提示词注入攻击、数据投毒攻击、模型后门攻击、模型漏洞风险，还涉及到应用编排的各个层面，比如应用接口安全、应用间数据共享风险、应用权限管理问题，此外还有基础设施带来的传统安全问题。

🌟 安全研究大佬：

所以最近我们创新发布了「AIGC安全评估服务」，通过AI to AI测试、深度对抗测试、渗透测试三种测试方法相互补充，能够帮助企业有效构建多层次的安全防护体系，为大模型各种应用场景的安全与合规性提供全面的保障。

市场小编：这个我知道！长亭科技「AIGC安全评估服务」方案在此，欢迎围观！

点击下方图片，查看方案详情 👇

作为新生代网络安全领军企业，长亭自创立起，便将 AI 技术融入实战化攻防能力体系。2015年，长亭研发出全球首创、具有独立自主知识产权的智能语义分析技术，大幅提升了未知威胁的发现能力。2023年，长亭“问津”（ChaitinAI）安全大模型发布，全面提升了安全运营效率。同年9月，长亭与趋镜达成战略合作，接入DeepSeek开源模型，使长亭问津（ChaitinAI）参数规模突破千亿量级，实现了能力的代际跨越。

今天，随着大模型在各领域的深度应用，其安全边界的模糊性正衍生出远超传统安全的风险维度，长亭将继续秉持「知攻善防，智能安全」的理念，以 AI 驱动重塑安全运营，护航每一个伙伴在 AI 时代里乘风破浪！

彩蛋玩法大搜集

听说！

已经，已经，有玩家试玩过了NezhaSeek了！🔥🔥🔥

“成功了！！！冷冰冰的敖丙竟然可以如此热情回复！”

“提示词注入，敖丙怎么突然叫我父亲了？”

“一点都忍不了，敖丙开始狂揍太乙真人”

... ...

「彩蛋活动」

• 转发本文至朋友圈（兑奖需提供截图）+ 本文评论区留下你的趣味闯关玩法语录，我们将在本文评论区pick单条评论获赞最多的10名幸运儿，赠送惊喜礼物！🎁🎉🎉

• 活动即日起，截止至3月6日24:00时，逾期不候哦！

NezhaSeek

等你来挑战

小贴士：NezhaSeek游戏传送门

本文开篇扫码二维码 或 点击“阅读原文”前往

阅读原文

跳转微信打开

过了个年，DeepSeek 火得一塌糊涂。不得不说，DeepSeek 除了卡，是真的好用。这篇文章将使用 DeepSeek 对业内几家知名免费 WAF 产品做出测评。

本文来自网友投稿，以下是正文

前言

首先我要说明，我不是雷池的水军，也不是南墙的黑子，本文所有的主观态度均来自于 DeepSeek，和本人无关。

过了个年，DeepSeek 火得一塌糊涂。不得不说，DeepSeek 除了卡，是真的好用。这篇文章将使用 DeepSeek 对业内几家知名免费 WAF 产品做出测评。

业界有哪些 免费 WAF

首先来问问 DeepSeek，业内到底有哪些 “免费 WAF 产品” 可供选择。

DeepSeek 一口气推荐了十几个，根据他的推荐清单，

• 排除掉一些非产品化的开发组件（无法直接使用，需要二次开发），比如：ModSecurity、Coraza、LibInjection 等。

• 排除掉一些并不免费、且价格昂贵的产品，比如：启明星辰、长亭、安恒等。

• 排除掉一些看上去年久失修、缺乏维护的项目，比如：NAXSI、HIHTTPS、VeryNginx 等。

最终我选择了以下四款产品来做深度分析，分别是：雷池 WAF、BunkerWeb、宝塔 WAF、南墙 WAF。

截图是我从这四个产品的官方介绍材料里找的，一眼看上去感觉都挺厉害的。

如何评判不同 WAF 的优劣

那到底应该怎么的去对比这四款 WAF，继续来请教 DeepSeek。

问了好几次，每次 DeepSeek 给的答案都有一些区别，但思路基本一致，把几次的回答综合一下，可以得出结论：

安全防护能力、性能、稳定性、易用性、合规性、技术支持与服务、用户口碑与案例 是评判 WAF 优劣的重要指标。

四款 WAF 开始 PK

背景信息了解到以上程度基本足够了，现在来构造问题。

我要选择一个 WAF 产品作为我的网站防护工具，请根据“安全防护能力”、“性能”、“稳定性”、“易用性”、“合规性”、“技术支持与服务”、“用户口碑与案例” 这七个维度对 “雷池 WAF”、“BunkerWeb”、“宝塔 WAF”、“南墙 WAF” 这四款产品做出分析比较，并对他们的表现进行排序。

把上面的问题扔给 DeepSeek，打开深度思考来看结果。

DeepSeek 原文如下

WAF 产品分析比较

根据用户提供的七个维度（安全防护能力、性能、稳定性、易用性、合规性、技术支持与服务、用户口碑与案例），对 雷池 WAF、BunkerWeb、宝塔 WAF、南墙 WAF 四款产品进行横向对比分析，并给出综合排序如下

综合排序（从高到低）

1. 雷池 WAF

2. 宝塔 WAF

3. BunkerWeb

4. 南墙 WAF

分维度详细分析

01

安全防护能力

雷池 WAF

• 采用智能语义分析算法，无需依赖规则库，对 SQL 注入、XSS、0day 攻击等防护效果突出，漏报率仅 149 条，准确率高达 99.44%。

• 新增动态防护功能，动态加密页面代码，有效防御自动化攻击和爬虫。

BunkerWeb

• 基于 ModSecurity 和 OWASP 核心规则集，支持 HTTP 安全头、TLS 硬化等，但依赖传统规则匹配，对未知攻击的防护较弱。

宝塔 WAF

• 规则匹配为主，漏报率较高（351 条），但误报率较低（96 条），准确率 98.67%，适合已知攻击防护。

南墙 WAF

• 社区活跃度低，防御能力未经广泛验证，用户反馈误报较多，且在高流量场景下易崩溃。

排名：雷池 > BunkerWeb > 宝塔 > 南墙

02

性能

雷池 WAF

• 平均检测延迟仅 0.73 毫秒，单核支持 2000+ TPS，线性检测算法确保高并发能力。

BunkerWeb

• 基于Nginx，性能优化较好，但集成 ModSecurity 可能增加延迟，具体数据未明确。

宝塔 WAF

• 处理速度最快（0.53 毫秒），但高流量下可能因规则敏感导致 CPU 占用上升。

南墙 WAF

• 性能表现较差，用户反馈抗压能力弱，易被流量打垮。

排名：宝塔 > 雷池 > BunkerWeb > 南墙

03

稳定性

雷池 WAF

• 采用智能语义分析算法，无需依赖规则库，对 S基于 Nginx 开发，内置健康检查机制，服务可用性达 99.99%，支持旁路部署减少架构改动。

BunkerWeb

• 依赖容器化部署，稳定性较高，但更新频繁可能引入潜在兼容性问题。

宝塔 WAF

• 稳定性良好，但社区版 Demo 更新滞后，可能影响长期维护。

南墙 WAF

• 社区支持不足，用户反馈存在崩溃和配置失效问题。

排名：雷池 > 宝塔 > BunkerWeb > 南墙

04

易用性

雷池 WAF

• 容器化部署（一条命令安装），图形化界面简洁，支持黑白名单、地区限制（专业版），适合新手。

BunkerWeb

• 基配置方式类似可视化 Nginx，免费版无需绑定账号，但自定义规则复杂度高。

宝塔 WAF

• 需手动配置插件和规则，对运维经验要求较高。

南墙 WAF

• 操作繁琐，需编写 Lua 脚本，社区文档不完善。

排名：雷池雷池 ≈ 宝塔 > BunkerWeb > 南墙

05

合规性

雷池 WAF

• 支持 HTTP/HTTPS 合规性检查，满足等级保护要求，专业版提供日志导出功能。

BunkerWeb

• 集成 Let’s Encrypt 自动化证书，符合 PCI-DSS 等标准。

宝塔 WAF

• 基础合规功能完善，但缺乏高级合规审计支持。

南墙 WAF

• 合规性信息未提及，推测能力较弱。

排名：雷池 ≈ BunkerWeb > 宝塔 > 南墙

06

技术支持与服务

雷池 WAF

• 社区活跃，提供技术交流群，专业版和企业版含 VIP 群支持。

BunkerWeb

• 开源项目，依赖社区和文档，无官方商业支持。

宝塔 WAF

• 用户基数大，社区资源丰富，但支持有限。

南墙 WAF

• 社区几乎无维护，技术支持缺失。

排名：雷池 > 宝塔 > BunkerWeb > 南墙

07

用户口碑与案例

雷池 WAF

• 被多家评测推荐，适合中小企业和个人，用户反馈“防御效果显著”。

BunkerWeb

• 新兴产品，案例较少，但开源社区评价积极。

宝塔 WAF

• 用户基数大，但评价两极分化，部分用户认为规则过于敏感。

南墙 WAF

• 用户反馈差，逐渐被放弃。

排名：雷池 > 宝塔 > BunkerWeb > 南墙

总结推荐

• 首选雷池 WAF：综合能力最强，适合对安全性和稳定性要求高的用户，尤其是中小企业和个人。

• 次选宝塔 WAF：性价比高，适合预算有限且需快速部署的场景，但需注意误报问题。

• 备选 BunkerWeb：开源灵活，适合技术团队自定义需求，但需自行维护。

• 不推荐南墙 WAF：社区支持和技术能力均不足，风险较高。

具体选择需结合实际场景，如流量规模、技术团队能力及预算综合考量

最后，对 WAF 技术感兴趣的同学，欢迎扫描下方二维码加入雷池 WAF 社区交流群～

阅读原文

跳转微信打开

长亭售后服务中心大革新！查看有福利～～

阅读原文

跳转微信打开

CC 攻击的最好终结方案是什么？

作为用了雷池一年多的老用户，非常荣幸能应官方邀请来体验一下雷池本周的新版本。

首先，这不是一个恰饭文章，虽然运营杰哥送了我半个月的付费授权，但是本次测评是我主动提出的，我还是会本着公正客观的态度对雷池做出评价。

昨天雷池 WAF 社区版发布了 7.2.3 版本

雷池官网：https://waf-ce.chaitin.cn/

从更新记录来看，“CC 防护“ 和 “Bot 防护” 两个功能有重大更新，其中比较有意思的是 “等候室” 这个功能，官方功能介绍如下

开启等候室后，当网站同时访问人数过多时可以起到有效的削峰作用。

看起来是一个限流 & 防 CC 攻击的功能，官方还给了一个张效果展示图。

CC 攻击及传统防护方式

首先，CC 攻击（Challenge Collapsar）是一种常见的 DDoS 攻击方式。传统 DDoS 攻击往往是以消耗服务器带宽为目的，攻击者发送大量网络包来堵塞服务器的网络出口，使正常用户无法访问服务器。

CC 攻击区别于传统的 DDoS 攻击，它主要活跃在 HTTP 层，攻击者会模拟多个合法用户持续请求网站，从而使服务器的 CPU、内存等资源被大量消耗使正常用户无法访问服务器。

相信各位站长朋友对 CC 攻击并不陌生，这种攻击在互联网上非常流行，而且难以防御。

以往最常见的抵御 CC 攻击的方式是对源 IP 访问网站的频率做限制，如果某个 IP 在短时间内发起大量 HTTP 请求，就阻断该 IP 后续的所有访问。这种方式对于 CC 攻击的防护来说肯定是有效的，但也有不少弊端，比如：

• 某个 IP 可能是个大型出口，整个公司或者整个学校都用同一个 IP 的情况很常见，这种情况下这个 IP 的访问频率高于其他 IP 其实也是正常现象

  攻击者可能会使用一大批 IP 代理来降低每个独立 IP 的访问频率

  某些事件可能会引起突发的业务高峰，在业务高峰来临时并没有人发起攻击，只是正常用户的流量就非常大爆

由此可见，对抗 CC 攻击只做简单的频率限制是不够的，有技巧的攻击者会想办法规避检测，而且还容易误伤正常用户。

实际上，每个应用能够承载的业务量是有相对明确的上限的，比如：

• 大学生选课系统，同时 1000 人选课是没问题的，但同时 2000 人来抢课就会把服务器挤爆

  买票系统，同时 1000 人抢票是没问题的，但同时 2000 人来抢票就会把服务器挤爆

  论坛，同时 200 人发言讨论是没问题的，但遇到热点新闻时 1000 人同时发言就会把服务器挤爆

这时候最好的方案实际是对用户做限流，就好比逛街吃饭，遇到餐馆人太多需要排队等位一样。

雷池 WAF 等候室

雷池等候室是参考 “餐馆等位” 的模式，专为网站设计的一套限流方案，用于解决流量高峰可能会冲垮网站服务器的问题。

雷池 WAF 默认是不启用等候室功能的，如果需要开启等候室，只需要在界面上点击 ”CC 防护“ 按钮，然后配置等候室的相关参数即可。

如上图所示，雷池 WAF 的等候室功能有两个可供配置的参数：

允许同时访问的用户数：看名字就很好理解，表示网站同时最大能容纳的用户数量，超过这个数量就要开始等位

活跃超时时间：成功进入雷池的用户如果一段时间在网页上没有操作，就会被踢出房间重新排队

根据业务的情况填上配置即可，雷池演示站点的配置是 ”1“，直接来测试看看：

1. 用浏览器打开网站，成功进入了网站，刷新了多次，没有发生任何变化，代表我是网站目前唯一一个用户，还没有超过限制，这很棒；

2. 换了个浏览器再打开网站，就会发现雷池提示我需要排队；

3. 再用手机浏览器也打开网站，这时候雷池提示我有两人在排队；

4. 关掉前面两个浏览器，等了几秒钟以后手机终于排到号了，成功进入了网站。

流程十分丝滑，限流效果也非常好。粗略看了一眼前端代码，雷池是使用 WebSocket 实现的等位逻辑，服务器排队人数有变化的时候会自动通知浏览器，性能和安全性应该也都没问题。

最后，对 WAF 技术感兴趣的同学，欢迎扫描下方二维码加入雷池社区版技术交流群与我们一起交流～

阅读原文

跳转微信打开