新开设智能体安全专栏，希望您喜欢！

为了更好地分享AI Agent在网络安全领域的实践方法与应用经验，作者正式开启“智能体攻防实战”专栏。本专栏将围绕“大模型如何赋能网络安全攻防实践”和“大模型及智能体内生安全”这两个主题展开，重点关注AI Agent、AI Coding、自动化分析、入侵检测、威胁情报、漏洞研判与安全运营等方向，尝试将大模型的语义理解、代码生成、工具调用和安全知识推理能力融入真实安全任务中。通过系列化案例，专栏希望降低网络安全实验、算法复现和工具开发的实践门槛，为安全研究人员、开发者和初学者提供更加直观、可操作的技术参考。基础文章，希望对您有帮助。感恩分享的第15年，fighting！

本文作为“智能体攻防实战”专栏的第一篇，将以“大模型赋能网络入侵检测”为核心任务，探索如何借助CodeBuddy和d.run完成入侵检测实验的构建与运行。文章首先概述AI Agent在网络安全中的典型应用，然后基于CodeBuddy自动生成机器学习与深度学习入侵检测代码，进一步结合d.run在线环境完成实验运行、模型评估和结果分析。通过该案例，读者可以初步理解AI Agent如何贯穿数据预处理、特征提取、模型训练、性能评估和报告生成等环节，为后续开展智能化安全分析与攻防实验奠定基础。

代码开源地址：

• https://github.com/eastmountyxz/Agent-for-security

文章目录

• 一.AI Agent赋能网络安全概述

• 二.CodeBuddy自动构建机器学习IDS

• 三.CodeBuddy自动构建深度学习IDS

• 四.云端d.run运行深度学习入侵检测系统

• 1.配置d.run平台

• 2.运行深度学习代码

• 五.总结及新书推荐

前文赏析：

• [智能体攻防实战] 一.大模型赋能网络入侵检测实战探索（CodeBuddy和d.run实现）

传统安全专栏：

一.AI Agent赋能网络安全概述

随着大模型、AI Coding与自动化生成技术的发展，AI Agent正在成为网络安全领域的重要智能化支撑。与传统安全工具主要依赖规则库、特征库和人工配置不同，AI Agent能够基于自然语言理解、安全知识推理和多源数据分析能力，对网络流量、系统日志、威胁情报、漏洞信息和告警事件进行综合研判。其核心作用并不是简单替代安全人员，而是将大模型的理解能力与安全工具链的执行能力结合起来，辅助完成从威胁发现、异常分析、攻击溯源到响应处置的全过程任务，从而提升网络安全工作的自动化、智能化和可解释化水平。

在实际应用中，AI Agent更适合作为网络安全任务中的“智能协同助手”。一方面，它可以帮助安全人员快速理解复杂数据和异常现象，例如对入侵检测结果进行解释、对日志告警进行归因、对漏洞风险进行分析；另一方面，它也可以调用代码运行、数据分析、可视化展示和报告生成等工具，辅助完成安全实验与工程实践。尤其在网络入侵检测场景中，AI Agent能够贯穿数据预处理、特征提取、模型构建、性能评估和结果分析等环节。

AI Agent赋能网络安全的本质，是将大模型的语义理解、知识推理、代码生成与工具调用能力嵌入安全业务流程，使其能够辅助完成“感知—分析—决策—响应”的闭环任务。具体而言，其应用可体现在以下几个方面。

• 网络入侵检测辅助
  AI Agent可参与网络流量数据分析、异常行为识别与入侵检测模型构建，辅助安全人员发现潜在攻击行为。相较于传统规则检测方法，Agent能够结合上下文语义、历史告警和模型输出结果，对异常流量进行更具解释性的分析。

• 安全日志智能分析
  在主机日志、系统日志、防火墙日志和Web访问日志分析中，AI Agent能够自动提取关键字段、识别异常模式并归纳事件线索。其优势在于能够将分散的日志信息转化为结构化安全事件，降低人工筛查成本。

• 威胁情报理解与关联
  AI Agent可以对安全报告、漏洞公告、APT分析文章和开源威胁情报进行语义解析，提取攻击组织、攻击工具、漏洞编号、攻击手法等关键信息。通过与ATT&CK框架、历史事件和内部告警进行关联，Agent能够辅助判断威胁来源与攻击阶段。

• 漏洞分析与风险研判
  面对漏洞描述、CVE公告和代码片段，AI Agent可辅助分析漏洞成因、影响范围和潜在利用方式。它还可以结合资产信息与暴露面情况，对漏洞风险进行优先级排序，帮助安全团队确定修复顺序。

• 恶意代码辅助分析
  在恶意脚本、可疑样本或混淆代码分析中，AI Agent能够辅助解释代码逻辑、识别可疑函数调用和潜在恶意行为。对于安全初学者或分析人员而言，Agent可将复杂代码行为转化为可理解的自然语言说明。

• 攻击链溯源分析
  AI Agent能够将告警、日志、流量和威胁情报进行关联，辅助还原攻击者从初始访问到横向移动、权限提升和数据外传的完整路径。通过攻击链视角分析，安全人员可以更清晰地理解攻击过程和关键风险节点。

• 检测规则生成与优化
  AI Agent可根据攻击样本、日志特征或威胁情报内容，辅助生成YARA规则、Sigma规则、Snort规则或IDS检测逻辑。与此同时，它还可以根据误报情况和样本变化，对规则条件进行优化，提高检测规则的适用性。

• 安全自动化响应
  在安全运营场景中，AI Agent可根据告警等级和处置策略，辅助生成封禁IP、隔离主机、停用账号或通知管理员等响应建议。与自动化工具结合后，Agent能够推动部分低风险、标准化任务的半自动化执行。

• 安全报告自动生成
  AI Agent能够根据检测结果、日志分析过程和模型评估指标，自动生成安全分析报告、入侵检测实验报告或事件复盘材料。该能力有助于提升安全实验记录、攻防演练总结和日常运维汇报的规范化水平。

• 安全代码辅助开发
  在网络安全实验与工具开发中，AI Agent能够辅助完成数据读取、特征提取、模型训练、接口调用和可视化代码编写。结合CodeBuddy等AI编程工具，开发者可以更高效地构建入侵检测原型系统，降低安全算法实践门槛。

• 攻防演练辅助决策
  在红蓝对抗和攻防演练中，AI Agent可以辅助分析攻击路径、生成防守建议并总结演练过程中的薄弱环节。它并非替代安全专家，而是作为智能辅助工具提升攻防研判效率和复盘质量。

• 安全知识问答与培训
  AI Agent可基于安全知识库、漏洞案例和攻击技术框架，为学习者提供网络安全概念解释、实验步骤指导和问题排查建议。对于教学和培训场景而言，其能够降低网络安全学习门槛，并提升实践教学的交互性。

二.CodeBuddy自动构建机器学习IDS

下面介绍CodeBuddy调用大模型或智能体构建入侵检测模型代码的具体过程。整个流程如下图所示：

本文构建的数据集如下图所示，关键字段包括：

• payload_id

  恶意请求payload编号

• attack_type

  网络攻击类型，包括八种常见类型 XSS、SQLi、SSI、LDAPi等

• obfuscated_url

  混淆恶意请求Payload

• url_n_gram

  使用N-gram提取特征

第一步，在本地构建IDS目录（工程），打开CodeBuddy IDE。 其主界面如下图所示，打开该工程文件夹。在IDS工程中包含data文件夹，包含训练集、测试集和验证集3个CSV文件。

第二步，在右下角提示框中选择合适的大模型，并输入详细的提示词。 该提示词旨在读取数据集将特征转换为TF-IDF向量，并构建SVM机器学习算法进行分类，最终进行详细的入侵检测评估。

请在IDS目录下创建Python代码，该代码需要：
（1）读取data目录下train_features.csv、test_features.csv、val_features.csv文件，提取[payload_id、attack_type、url_n_gram]。
（2）提取attack_type特征作为类别，url_n_gram作为特征。
（3）将特征转换为TF-IDF向量形式。
（4）构建SVM算法进行分类。
（5）输出test_features.csv的预测结果，使用评价指标进行评估，并且保留3位小数，绘制相关评价可视化图。
（6）输出预测结果和正确结果的类别CSV文件。
（7）请给出MD实验分析总结报告，详细描述实验结果，评价结果增加八个类别的平均结果。

第三步，CodeBuddy调用GLM-5.1大模型深度思考，并构建如下图所示的3个关键代码生成任务。

• Create Python SVM classification script

• Run the script to generate results

• Generate MD experiment analysis report

CodeBuddy会生成详细的SVM代码，如下所示，点击Keep可以接受生成的代码。

第四步，CodeBuddy会自动运行代码并优化代码，下图展示了代码生成的结果。

此外，生成MD文档详细总结了实验结果内容，方便大家进行更详细的入侵检测评估。

SVM完整代码如下：

"""
基于TF-IDF和SVM的Web攻击类型分类实验
特征: url_n_gram
类别: attack_type
"""


import pandas as pd
import numpy as np
import matplotlib
matplotlib.use('Agg')
import matplotlib.pyplot as plt
import seaborn as sns
from sklearn.feature_extraction.text import TfidfVectorizer
from sklearn.svm import SVC
from sklearn.preprocessing import LabelEncoder
from sklearn.metrics import (
    accuracy_score, precision_score, recall_score, f1_score,
    classification_report, confusion_matrix
)
import warnings
import os
import time


warnings.filterwarnings('ignore')


# 设置中文字体
plt.rcParams['font.sans-serif'] = ['SimHei', 'DejaVu Sans']
plt.rcParams['axes.unicode_minus'] = False


# ============================================================
# 1. 读取数据
# ============================================================
print("=" * 60)
print("步骤1: 读取数据")
print("=" * 60)


DATA_DIR = os.path.join(os.path.dirname(os.path.abspath(__file__)), 'data')


train_df = pd.read_csv(os.path.join(DATA_DIR, 'train_features.csv'))
test_df = pd.read_csv(os.path.join(DATA_DIR, 'test_features.csv'))
val_df = pd.read_csv(os.path.join(DATA_DIR, 'val_features.csv'))


print(f"训练集大小: {len(train_df)}")
print(f"验证集大小: {len(val_df)}")
print(f"测试集大小: {len(test_df)}")


# 提取指定列
cols = ['payload_id', 'attack_type', 'url_n_gram']
train_df = train_df[cols]
test_df = test_df[cols]
val_df = val_df[cols]


# 查看类别分布
print(f"\n训练集类别分布:")
print(train_df['attack_type'].value_counts())
print(f"\n测试集类别分布:")
print(test_df['attack_type'].value_counts())


# ============================================================
# 2. 特征提取与TF-IDF向量化
# ============================================================
print("\n" + "=" * 60)
print("步骤2: TF-IDF特征向量化")
print("=" * 60)


# 合并训练集和验证集作为训练数据
train_val_df = pd.concat([train_df, val_df], ignore_index=True)
X_train_text = train_val_df['url_n_gram'].fillna('')
y_train = train_val_df['attack_type']
X_test_text = test_df['url_n_gram'].fillna('')
y_test = test_df['attack_type']


# TF-IDF向量化
tfidf = TfidfVectorizer(
    max_features=10000,
    ngram_range=(1, 2),
    sublinear_tf=True,
    max_df=0.95,
    min_df=2
)


X_train_tfidf = tfidf.fit_transform(X_train_text)
X_test_tfidf = tfidf.transform(X_test_text)


print(f"TF-IDF特征维度: {X_train_tfidf.shape[1]}")
print(f"训练样本数: {X_train_tfidf.shape[0]}")
print(f"测试样本数: {X_test_tfidf.shape[0]}")


# 标签编码
le = LabelEncoder()
y_train_encoded = le.fit_transform(y_train)
y_test_encoded = le.transform(y_test)


class_names = le.classes_
print(f"类别数量: {len(class_names)}")
print(f"类别列表: {list(class_names)}")


# ============================================================
# 3. 构建SVM分类器
# ============================================================
print("\n" + "=" * 60)
print("步骤3: 构建SVM分类器并训练")
print("=" * 60)


start_time = time.time()
svm_model = SVC(
    kernel='rbf',
    C=10.0,
    gamma='scale',
    decision_function_shape='ovr',
    random_state=42
)
svm_model.fit(X_train_tfidf, y_train_encoded)
train_time = time.time() - start_time
print(f"训练时间: {train_time:.2f}秒")


# ============================================================
# 4. 预测与评估
# ============================================================
print("\n" + "=" * 60)
print("步骤4: 模型预测与评估")
print("=" * 60)


start_time = time.time()
y_pred_encoded = svm_model.predict(X_test_tfidf)
predict_time = time.time() - start_time
print(f"预测时间: {predict_time:.2f}秒")


y_pred = le.inverse_transform(y_pred_encoded)


# 整体评价指标
accuracy = accuracy_score(y_test, y_pred)
precision_macro = precision_score(y_test, y_pred, average='macro')
recall_macro = recall_score(y_test, y_pred, average='macro')
f1_macro = f1_score(y_test, y_pred, average='macro')


precision_weighted = precision_score(y_test, y_pred, average='weighted')
recall_weighted = recall_score(y_test, y_pred, average='weighted')
f1_weighted = f1_score(y_test, y_pred, average='weighted')


print(f"\n整体评价指标（保留3位小数）:")
print(f"  准确率 (Accuracy):           {accuracy:.3f}")
print(f"  宏精确率 (Precision-Macro):   {precision_macro:.3f}")
print(f"  宏召回率 (Recall-Macro):      {recall_macro:.3f}")
print(f"  宏F1值 (F1-Macro):           {f1_macro:.3f}")
print(f"  加权精确率 (Precision-Wtd):   {precision_weighted:.3f}")
print(f"  加权召回率 (Recall-Wtd):      {recall_weighted:.3f}")
print(f"  加权F1值 (F1-Wtd):           {f1_weighted:.3f}")


# 分类报告
print(f"\n详细分类报告:")
report = classification_report(y_test, y_pred, target_names=class_names, digits=3)
print(report)


# 各类别指标
precision_per_class = precision_score(y_test, y_pred, average=None, labels=class_names)
recall_per_class = recall_score(y_test, y_pred, average=None, labels=class_names)
f1_per_class = f1_score(y_test, y_pred, average=None, labels=class_names)


print(f"\n各类别详细指标（保留3位小数）:")
print(f"{'类别':<20s}{'精确率':>8s}{'召回率':>8s}{'F1值':>8s}")
print("-" * 48)
for i, cls in enumerate(class_names):
    print(f"{cls:<20s}{precision_per_class[i]:>8.3f}{recall_per_class[i]:>8.3f}{f1_per_class[i]:>8.3f}")
print("-" * 48)
print(f"{'宏平均':<20s}{precision_macro:>8.3f}{recall_macro:>8.3f}{f1_macro:>8.3f}")
print(f"{'加权平均':<20s}{precision_weighted:>8.3f}{recall_weighted:>8.3f}{f1_weighted:>8.3f}")


# ============================================================
# 5. 绘制可视化图
# ============================================================
print("\n" + "=" * 60)
print("步骤5: 绘制评价可视化图")
print("=" * 60)


OUTPUT_DIR = os.path.dirname(os.path.abspath(__file__))


# --- 5.1 混淆矩阵 ---
cm = confusion_matrix(y_test, y_pred, labels=class_names)
plt.figure(figsize=(12, 10))
sns.heatmap(cm, annot=True, fmt='d', cmap='Blues',
            xticklabels=class_names, yticklabels=class_names)
plt.title('Confusion Matrix - SVM (TF-IDF url_n_gram)', fontsize=14)
plt.xlabel('Predicted Label', fontsize=12)
plt.ylabel('True Label', fontsize=12)
plt.xticks(rotation=45, ha='right')
plt.yticks(rotation=0)
plt.tight_layout()
cm_path = os.path.join(OUTPUT_DIR, 'confusion_matrix.png')
plt.savefig(cm_path, dpi=150)
plt.close()
print(f"混淆矩阵已保存: {cm_path}")


# --- 5.2 归一化混淆矩阵 ---
cm_norm = cm.astype('float') / cm.sum(axis=1)[:, np.newaxis]
plt.figure(figsize=(12, 10))
sns.heatmap(cm_norm, annot=True, fmt='.3f', cmap='Blues',
            xticklabels=class_names, yticklabels=class_names)
plt.title('Normalized Confusion Matrix - SVM (TF-IDF url_n_gram)', fontsize=14)
plt.xlabel('Predicted Label', fontsize=12)
plt.ylabel('True Label', fontsize=12)
plt.xticks(rotation=45, ha='right')
plt.yticks(rotation=0)
plt.tight_layout()
cm_norm_path = os.path.join(OUTPUT_DIR, 'confusion_matrix_normalized.png')
plt.savefig(cm_norm_path, dpi=150)
plt.close()
print(f"归一化混淆矩阵已保存: {cm_norm_path}")


# --- 5.3 各类别Precision/Recall/F1柱状图 ---
x = np.arange(len(class_names))
width = 0.25


fig, ax = plt.subplots(figsize=(14, 7))
bars1 = ax.bar(x - width, precision_per_class, width, label='Precision', color='#4C72B0')
bars2 = ax.bar(x, recall_per_class, width, label='Recall', color='#DD8452')
bars3 = ax.bar(x + width, f1_per_class, width, label='F1-Score', color='#55A868')


ax.set_xlabel('Attack Type', fontsize=12)
ax.set_ylabel('Score', fontsize=12)
ax.set_title('Per-Class Precision / Recall / F1-Score - SVM (TF-IDF url_n_gram)', fontsize=14)
ax.set_xticks(x)
ax.set_xticklabels(class_names, rotation=45, ha='right')
ax.set_ylim(0, 1.1)
ax.legend()
ax.grid(axis='y', alpha=0.3)


# 在柱状图上标注数值
for bars in [bars1, bars2, bars3]:
    for bar in bars:
        height = bar.get_height()
        if height > 0.01:
            ax.annotate(f'{height:.2f}',
                        xy=(bar.get_x() + bar.get_width() / 2, height),
                        xytext=(0, 3), textcoords="offset points",
                        ha='center', va='bottom', fontsize=7)


plt.tight_layout()
bar_path = os.path.join(OUTPUT_DIR, 'per_class_metrics.png')
plt.savefig(bar_path, dpi=150)
plt.close()
print(f"各类别指标柱状图已保存: {bar_path}")


# --- 5.4 测试集类别分布对比 ---
test_counts = test_df['attack_type'].value_counts().reindex(class_names)
pred_counts = pd.Series(y_pred).value_counts().reindex(class_names, fill_value=0)


fig, ax = plt.subplots(figsize=(12, 6))
x_idx = np.arange(len(class_names))
width = 0.35
ax.bar(x_idx - width/2, test_counts.values, width, label='True Distribution', color='#4C72B0')
ax.bar(x_idx + width/2, pred_counts.values, width, label='Predicted Distribution', color='#DD8452')
ax.set_xlabel('Attack Type', fontsize=12)
ax.set_ylabel('Count', fontsize=12)
ax.set_title('True vs Predicted Distribution - Test Set', fontsize=14)
ax.set_xticks(x_idx)
ax.set_xticklabels(class_names, rotation=45, ha='right')
ax.legend()
ax.grid(axis='y', alpha=0.3)
plt.tight_layout()
dist_path = os.path.join(OUTPUT_DIR, 'distribution_comparison.png')
plt.savefig(dist_path, dpi=150)
plt.close()
print(f"类别分布对比图已保存: {dist_path}")


# --- 5.5 综合评价雷达图 ---
from math import pi


# 计算每个类别的综合得分
categories_count = len(class_names)
scores = {
    'Precision': precision_per_class,
    'Recall': recall_per_class,
    'F1-Score': f1_per_class
}


fig, axes = plt.subplots(1, 3, figsize=(20, 7), subplot_kw=dict(polar=True))
for idx, (metric_name, values) in enumerate(scores.items()):
    ax = axes[idx]
    angles = [n / float(categories_count) * 2 * pi for n in range(categories_count)]
    values_plot = list(values) + [values[0]]
    angles += angles[:1]


    ax.plot(angles, values_plot, 'o-', linewidth=2, color=['#4C72B0', '#DD8452', '#55A868'][idx])
    ax.fill(angles, values_plot, alpha=0.25, color=['#4C72B0', '#DD8452', '#55A868'][idx])
    ax.set_xticks(angles[:-1])
    ax.set_xticklabels(class_names, fontsize=8)
    ax.set_ylim(0, 1.1)
    ax.set_title(metric_name, fontsize=14, pad=20)


plt.suptitle('Per-Class Metric Radar Charts - SVM (TF-IDF url_n_gram)', fontsize=16, y=1.05)
plt.tight_layout()
radar_path = os.path.join(OUTPUT_DIR, 'radar_charts.png')
plt.savefig(radar_path, dpi=150, bbox_inches='tight')
plt.close()
print(f"雷达图已保存: {radar_path}")


# ============================================================
# 6. 输出预测结果CSV
# ============================================================
print("\n" + "=" * 60)
print("步骤6: 输出预测结果CSV")
print("=" * 60)


result_df = pd.DataFrame({
    'payload_id': test_df['payload_id'].values,
    'true_label': y_test.values,
    'predicted_label': y_pred
})
result_df['correct'] = (result_df['true_label'] == result_df['predicted_label']).astype(int)


result_path = os.path.join(OUTPUT_DIR, 'prediction_results.csv')
result_df.to_csv(result_path, index=False, encoding='utf-8-sig')
print(f"预测结果已保存: {result_path}")


# 打印前10条
print(f"\n预测结果前10条:")
print(result_df.head(10).to_string(index=False))


# ============================================================
# 7. 生成MD实验分析报告
# ============================================================
print("\n" + "=" * 60)
print("步骤7: 生成MD实验分析报告")
print("=" * 60)


# 计算八个类别的平均结果
avg_precision = np.mean(precision_per_class)
avg_recall = np.mean(recall_per_class)
avg_f1 = np.mean(f1_per_class)


# 各类别样本数
test_class_counts = test_df['attack_type'].value_counts()
train_class_counts = train_val_df['attack_type'].value_counts()


# 混淆矩阵中各类别的正确分类数和错误分类数
correct_per_class = np.diag(cm)
total_per_class = cm.sum(axis=1)
error_per_class = total_per_class - correct_per_class
accuracy_per_class = correct_per_class / total_per_class


md_content = f"""# Web攻击类型分类实验分析报告


## 1. 实验概述


本实验基于Web攻击载荷的 `url_n_gram` 特征，使用TF-IDF向量化方法将文本特征转换为数值向量，并采用支持向量机（SVM）算法进行多类别分类，以识别不同类型的Web攻击。


### 1.1 实验目标
- 基于URL的n-gram特征构建攻击类型分类模型
- 评估SVM算法在Web攻击分类任务上的性能
- 分析各类别的分类效果和混淆情况


### 1.2 数据集说明


| 数据集 | 样本数 |
|--------|--------|
| 训练集（train + val） | {len(train_val_df)} |
| 测试集 | {len(test_df)} |


### 1.3 类别分布


| 攻击类型 | 训练集样本数 | 测试集样本数 |
|----------|-------------|-------------|
"""


for cls in class_names:
    tr_cnt = train_class_counts.get(cls, 0)
    te_cnt = test_class_counts.get(cls, 0)
    md_content += f"| {cls} | {tr_cnt} | {te_cnt} |\n"


md_content += f"""
## 2. 实验方法


### 2.1 特征提取
- **特征选择**: `url_n_gram`（URL的n-gram特征）
- **向量化方法**: TF-IDF（Term Frequency-Inverse Document Frequency）
- **TF-IDF参数**:
  - 最大特征数: 10,000
  - n-gram范围: (1, 2)
  - 使用sublinear_tf: True
  - 最大文档频率: 0.95
  - 最小文档频率: 2


### 2.2 分类算法
- **算法**: 支持向量机（SVM）
- **核函数**: RBF（径向基函数）
- **正则化参数C**: 10.0
- **gamma**: scale
- **决策函数**: OvR（One-vs-Rest）
- **训练时间**: {train_time:.2f}秒
- **预测时间**: {predict_time:.2f}秒


## 3. 实验结果


### 3.1 整体评价指标


| 评价指标 | 值 |
|----------|-----|
| 准确率 (Accuracy) | {accuracy:.3f} |
| 宏精确率 (Macro Precision) | {precision_macro:.3f} |
| 宏召回率 (Macro Recall) | {recall_macro:.3f} |
| 宏F1值 (Macro F1-Score) | {f1_macro:.3f} |
| 加权精确率 (Weighted Precision) | {precision_weighted:.3f} |
| 加权召回率 (Weighted Recall) | {recall_weighted:.3f} |
| 加权F1值 (Weighted F1-Score) | {f1_weighted:.3f} |


### 3.2 各类别详细评价


| 攻击类型 | 精确率 | 召回率 | F1值 | 测试样本数 | 正确分类数 | 错误分类数 | 类别准确率 |
|----------|--------|--------|------|-----------|-----------|-----------|-----------|
"""


for i, cls in enumerate(class_names):
    md_content += (f"| {cls} | {precision_per_class[i]:.3f} | {recall_per_class[i]:.3f} "
                   f"| {f1_per_class[i]:.3f} | {total_per_class[i]} | {correct_per_class[i]} "
                   f"| {error_per_class[i]} | {accuracy_per_class[i]:.3f} |\n")


md_content += f"""
### 3.3 八个类别的平均结果


| 指标 | 八类平均 |
|------|---------|
| 平均精确率 | {avg_precision:.3f} |
| 平均召回率 | {avg_recall:.3f} |
| 平均F1值 | {avg_f1:.3f} |


### 3.4 混淆矩阵分析


混淆矩阵展示了各类别之间的误分类情况，对角线元素表示正确分类的样本数，非对角线元素表示误分类的样本数。


详细的混淆矩阵数据如下：


| 真实\\预测 | {' | '.join(class_names)} |
|-----------|{'|' * len(class_names)}
"""


for i, cls_true in enumerate(class_names):
    row_vals = ' | '.join([f"{cm[i][j]}" for j in range(len(class_names))])
    md_content += f"| {cls_true} | {row_vals} |\n"


md_content += f"""
## 4. 可视化分析


实验生成了以下可视化图表：


1. **混淆矩阵** (`confusion_matrix.png`): 展示各类别间的分类情况
2. **归一化混淆矩阵** (`confusion_matrix_normalized.png`): 以比例形式展示分类情况
3. **各类别指标柱状图** (`per_class_metrics.png`): 对比各类别的Precision/Recall/F1
4. **类别分布对比图** (`distribution_comparison.png`): 真实标签与预测标签的分布对比
5. **雷达图** (`radar_charts.png`): 各类别指标的雷达图可视化


## 5. 实验分析与讨论


### 5.1 模型整体性能
- 模型整体准确率为 **{accuracy:.3f}**，宏F1值为 **{f1_macro:.3f}**，说明SVM结合TF-IDF特征在Web攻击分类任务上具有良好的分类能力。


### 5.2 各类别分析
"""


# 分析表现最好的类别
best_idx = np.argmax(f1_per_class)
worst_idx = np.argmin(f1_per_class)
md_content += f"- 表现最好的类别: **{class_names[best_idx]}**（F1={f1_per_class[best_idx]:.3f}）\n"
md_content += f"- 表现最差的类别: **{class_names[worst_idx]}**（F1={f1_per_class[worst_idx]:.3f}）\n\n"


# 分析混淆情况
md_content += "### 5.3 主要混淆情况\n\n"
# 找出混淆矩阵中最大的非对角线元素
cm_copy = cm.copy().astype(float)
np.fill_diagonal(cm_copy, 0)
top_confusions = []
for _ in range(min(5, len(class_names))):
    max_idx = np.unravel_index(np.argmax(cm_copy), cm_copy.shape)
    if cm_copy[max_idx] == 0:
        break
    top_confusions.append((class_names[max_idx[0]], class_names[max_idx[1]], int(cm_copy[max_idx])))
    cm_copy[max_idx] = 0


if top_confusions:
    md_content += "| 真实类别 | 误判为 | 误判数量 |\n|---------|--------|----------|\n"
    for true_cls, pred_cls, cnt in top_confusions:
        md_content += f"| {true_cls} | {pred_cls} | {cnt} |\n"
    md_content += "\n"


md_content += f"""
### 5.4 八类平均结果分析
- 八个类别的平均精确率为 **{avg_precision:.3f}**，平均召回率为 **{avg_recall:.3f}**，平均F1值为 **{avg_f1:.3f}**。
- 平均结果与宏平均（Macro Average）结果一致，反映了模型在各类别上的均衡表现。


### 5.5 实验结论
1. SVM + TF-IDF方法在Web攻击分类任务上取得了较好的效果，整体准确率达到{accuracy:.3f}。
2. url_n_gram特征能够有效区分不同类型的Web攻击，n-gram特征捕获了URL中的关键模式。
3. 部分类别之间存在一定混淆，这可能与攻击载荷的相似性有关（如SQL注入和LDAP注入等注入类攻击）。
4. RBF核函数能够处理特征空间中的非线性决策边界，适合此多类别分类任务。


## 6. 输出文件说明


| 文件名 | 描述 |
|--------|------|
| `prediction_results.csv` | 测试集预测结果（含payload_id、真实标签、预测标签、是否正确） |
| `confusion_matrix.png` | 混淆矩阵可视化 |
| `confusion_matrix_normalized.png` | 归一化混淆矩阵可视化 |
| `per_class_metrics.png` | 各类别Precision/Recall/F1柱状图 |
| `distribution_comparison.png` | 真实vs预测分布对比图 |
| `radar_charts.png` | 各类别指标雷达图 |
| `svm_classification.py` | 实验源代码 |
| `experiment_report.md` | 本实验分析报告 |
"""


report_path = os.path.join(OUTPUT_DIR, 'experiment_report.md')
with open(report_path, 'w', encoding='utf-8') as f:
    f.write(md_content)
print(f"实验报告已保存: {report_path}")


print("\n" + "=" * 60)
print("实验完成!")
print("=" * 60)

三.CodeBuddy自动构建深度学习IDS

同样的方法利用CodeBuddy构建深度学习IDS，具体步骤如下：

第一步，在CodeBuddy中输入详细的提示词并运行。

第二步，大模型经过深度思考生成CNN代码。

运行结果如下图所示：

关键代码如下：

#!/usr/bin/env python
# -*- coding: utf-8 -*-
"""
CNN URL分类实验 (PyTorch)
使用url_n_gram特征训练CNN模型进行攻击类型分类
预期Macro F1值：约0.85-0.92
"""


import os
import pandas as pd
import numpy as np
import torch
import torch.nn as nn
import torch.optim as optim
from torch.utils.data import Dataset, DataLoader
from sklearn.preprocessing import LabelEncoder
from sklearn.metrics import classification_report, accuracy_score, precision_recall_fscore_support, confusion_matrix
import matplotlib.pyplot as plt
import seaborn as sns
from sklearn.feature_extraction.text import TfidfVectorizer
import warnings
warnings.filterwarnings('ignore')


# ==================== 配置参数 ====================
# 文件路径（相对路径）
TRAIN_FILE = '../data_hx/train_features.csv'
VAL_FILE = '../data_hx/val_features.csv'
TEST_FILE = '../data_hx/test_features.csv'


# 输出目录
OUTPUT_DIR = 'output'


# 模型参数
MAX_FEATURES = 5000      # TF-IDF特征维度
EMBEDDING_DIM = 128     # 嵌入维度
CNN_OUT_CHANNELS = 128   # CNN输出通道数
KERNEL_SIZES = [3, 4, 5]  # 卷积核大小
DROPOUT_RATE = 0.5      # Dropout率
LEARNING_RATE = 0.001    # 学习率
BATCH_SIZE = 64          # 批次大小
NUM_EPOCHS = 20         # 训练轮数
RANDOM_SEED = 42        # 随机种子


# ==================== 设备配置 ====================
device = torch.device('cuda' if torch.cuda.is_available() else 'cpu')
print(f"使用设备: {device}")


# ==================== 步骤1: 读取数据 ====================
def load_data():
    """读取CSV文件并提取所需特征"""
    print("=" * 80)
    print("步骤1: 读取数据")
    print("=" * 80)


    # 读取CSV文件
    train_df = pd.read_csv(TRAIN_FILE)
    val_df = pd.read_csv(VAL_FILE)
    test_df = pd.read_csv(TEST_FILE)


    print(f"训练集大小: {len(train_df)}")
    print(f"验证集大小: {len(val_df)}")
    print(f"测试集大小: {len(test_df)}")


    # 提取所需列
    required_columns = ['payload_id', 'attack_type', 'obfuscated_url', 'url_n_gram']


    train_df = train_df[required_columns]
    val_df = val_df[required_columns]
    test_df = test_df[required_columns]


    print(f"\n提取的列: {required_columns}")
    print(f"训练集类别分布:")
    print(train_df['attack_type'].value_counts())


    return train_df, val_df, test_df


# ==================== 步骤2: 特征工程 ====================
def prepare_features(train_df, val_df, test_df):
    """准备特征：将url_n_gram转换为向量"""
    print("\n" + "=" * 80)
    print("步骤2: 特征工程")
    print("=" * 80)


    # 使用TF-IDF向量化url_n_gram
    print("使用TF-IDF进行特征向量化...")


    # 初始化TF-IDF向量化器
    tfidf = TfidfVectorizer(
        max_features=MAX_FEATURES,
        min_df=2,
        max_df=0.95,
        ngram_range=(1, 2)
    )


    # 拟合训练数据
    X_train_tfidf = tfidf.fit_transform(train_df['url_n_gram']).toarray()
    X_val_tfidf = tfidf.transform(val_df['url_n_gram']).toarray()
    X_test_tfidf = tfidf.transform(test_df['url_n_gram']).toarray()


    print(f"TF-IDF特征维度: {X_train_tfidf.shape[1]}")
    print(f"训练集特征形状: {X_train_tfidf.shape}")
    print(f"验证集特征形状: {X_val_tfidf.shape}")
    print(f"测试集特征形状: {X_test_tfidf.shape}")


    # 编码标签
    label_encoder = LabelEncoder()
    y_train = label_encoder.fit_transform(train_df['attack_type'])
    y_val = label_encoder.transform(val_df['attack_type'])
    y_test = label_encoder.transform(test_df['attack_type'])


    print(f"\n类别数量: {len(label_encoder.classes_)}")
    print(f"类别标签: {label_encoder.classes_}")


    return X_train_tfidf, X_val_tfidf, X_test_tfidf, y_train, y_val, y_test, label_encoder, tfidf


# ==================== 步骤3: 创建数据集类 ====================
class URLDataset(Dataset):
    """自定义Dataset类"""
    def __init__(self, features, labels):
        self.features = torch.FloatTensor(features)
        self.labels = torch.LongTensor(labels)


    def __len__(self):
        return len(self.labels)


    def __getitem__(self, idx):
        return self.features[idx], self.labels[idx]


# ==================== 步骤4: 构建CNN模型 ====================
class CNNClassifier(nn.Module):
    """CNN分类器"""
    def __init__(self, input_dim, num_classes, embedding_dim=EMBEDDING_DIM, 
                 cnn_out_channels=CNN_OUT_CHANNELS, kernel_sizes=KERNEL_SIZES, 
                 dropout_rate=DROPOUT_RATE):
        super(CNNClassifier, self).__init__()


        # 嵌入层（将TF-IDF特征映射到稠密向量）
        self.embedding = nn.Linear(input_dim, embedding_dim)


        # 添加通道维度（用于1D卷积）
        self.conv1 = nn.Conv1d(1, cnn_out_channels, kernel_size=kernel_sizes[0], padding=kernel_sizes[0]//2)
        self.conv2 = nn.Conv1d(1, cnn_out_channels, kernel_size=kernel_sizes[1], padding=kernel_sizes[1]//2)
        self.conv3 = nn.Conv1d(1, cnn_out_channels, kernel_size=kernel_sizes[2], padding=kernel_sizes[2]//2)


        # 批归一化
        self.bn1 = nn.BatchNorm1d(cnn_out_channels)
        self.bn2 = nn.BatchNorm1d(cnn_out_channels)
        self.bn3 = nn.BatchNorm1d(cnn_out_channels)


        # Dropout
        self.dropout = nn.Dropout(dropout_rate)


        # 全连接层
        self.fc = nn.Linear(cnn_out_channels * len(kernel_sizes), num_classes)


        # 激活函数
        self.relu = nn.ReLU()


    def forward(self, x):
        # x shape: (batch_size, input_dim)
        x = self.embedding(x)  # (batch_size, embedding_dim)
        x = x.unsqueeze(1)  # 添加通道维度: (batch_size, 1, embedding_dim)


        # 多个卷积核
        x1 = self.relu(self.bn1(self.conv1(x)))
        x2 = self.relu(self.bn2(self.conv2(x)))
        x3 = self.relu(self.bn3(self.conv3(x)))


        # 全局最大池化
        x1 = torch.max(x1, dim=2)[0]
        x2 = torch.max(x2, dim=2)[0]
        x3 = torch.max(x3, dim=2)[0]


        # 拼接
        x = torch.cat((x1, x2, x3), dim=1)
        x = self.dropout(x)
        x = self.fc(x)


        return x


# ==================== 步骤5: 训练模型 ====================
def train_model(model, train_loader, val_loader, criterion, optimizer, num_epochs, device):
    """训练模型"""
    print(f"\n训练完成！最终验证准确率: {val_accuracies[-1]:.4f}")
    return train_losses, val_accuracies


# ==================== 步骤6: 评估模型 ====================
def evaluate_model(model, test_loader, label_encoder, device):
    """评估模型"""
    return all_predictions, all_labels, accuracy, macro_f1, weighted_f1


# ==================== 步骤7: 保存结果 ====================
def save_results(test_df, all_predictions, all_labels, label_encoder, accuracy, macro_f1, weighted_f1):
    """保存预测结果"""


# ==================== 步骤8: 绘制可视化图表 ====================
def plot_visualizations(all_labels, all_predictions, label_encoder, train_losses, val_accuracies):
    """绘制评估可视化图表"""


# ==================== 步骤9: 生成实验报告 ====================
def generate_report(test_df, all_predictions, all_labels, label_encoder, accuracy, macro_f1, weighted_f1, train_losses, val_accuracies):
    """生成Markdown实验报告"""



# ==================== 主函数 ====================
def main():
    """主函数"""
    print("=" * 80)
    print("CNN URL分类实验 (PyTorch)")
    print("=" * 80)


    # 设置随机种子
    torch.manual_seed(RANDOM_SEED)
    np.random.seed(RANDOM_SEED)


    # 步骤1: 读取数据
    train_df, val_df, test_df = load_data()


    # 步骤2: 特征工程
    X_train, X_val, X_test, y_train, y_val, y_test, label_encoder, tfidf = prepare_features(
        train_df, val_df, test_df
    )


    # 步骤3: 创建数据集和数据加载器
    train_dataset = URLDataset(X_train, y_train)
    val_dataset = URLDataset(X_val, y_val)
    test_dataset = URLDataset(X_test, y_test)


    train_loader = DataLoader(train_dataset, batch_size=BATCH_SIZE, shuffle=True)
    val_loader = DataLoader(val_dataset, batch_size=BATCH_SIZE, shuffle=False)
    test_loader = DataLoader(test_dataset, batch_size=BATCH_SIZE, shuffle=False)


    # 步骤4: 构建模型
    num_classes = len(label_encoder.classes_)
    model = CNNClassifier(
        input_dim=MAX_FEATURES,
        num_classes=num_classes
    )
    print(f"\n模型架构:")
    print(model)


    # 步骤5: 定义损失函数和优化器
    criterion = nn.CrossEntropyLoss()
    optimizer = optim.Adam(model.parameters(), lr=LEARNING_RATE)


    # 步骤6: 训练模型
    train_losses, val_accuracies = train_model(
        model, train_loader, val_loader, criterion, optimizer, NUM_EPOCHS, device
    )


    # 步骤7: 评估模型
    all_predictions, all_labels, accuracy, macro_f1, weighted_f1 = evaluate_model(
        model, test_loader, label_encoder, device
    )


    # 步骤8: 保存结果
    save_results(test_df, all_predictions, all_labels, label_encoder, accuracy, macro_f1, weighted_f1)


    # 步骤9: 绘制可视化图表
    plot_visualizations(all_labels, all_predictions, label_encoder, train_losses, val_accuracies)


    # 步骤10: 生成实验报告
    generate_report(test_df, all_predictions, all_labels, label_encoder, accuracy, macro_f1, weighted_f1, train_losses, val_accuracies)


    print("\n" + "=" * 80)
    print("实验完成！")
    print("=" * 80)
    print(f"\n所有输出文件已保存到: {OUTPUT_DIR}")
    print(f"Macro F1-Score: {macro_f1:.4f}")
    print(f"Accuracy: {accuracy:.4f}")


if __name__ == '__main__':
    main()

此外，我们可以将CodeBuddy生成的代码放在服务器或云端运行，更好地实现入侵检测。

四.云端d.run运行深度学习入侵检测系统

在完成CodeBuddy辅助生成深度学习入侵检测代码之后，下一步需要将代码部署到可运行的实验环境中进行验证。考虑到深度学习模型通常对Python环境、依赖库、计算资源和文件路径具有一定要求，如果完全在本地配置环境，容易出现依赖冲突、版本不一致或算力不足等问题。

因此，本文选择使用云端d.run平台作为实验运行环境，通过云端算力完成代码上传、依赖安装、数据读取、模型训练和结果输出等操作。该过程能够有效降低本地环境配置成本，也便于后续复现实验流程。

1.配置d.run平台

d.run作为云端计算平台，能够为用户提供在线算力实例、文件管理、终端运行和环境配置等功能。在本实验中，主要借助其云端容器环境运行深度学习入侵检测代码。

• https://www.d.run/compute-market/cloud

主界面如下图所示：

第一步，进入d.run平台的云端计算资源页面，选择适合当前实验任务的计算环境。 在平台配置过程中，需要重点关注实例创建、镜像环境、存储空间和终端入口等内容。

对于本次网络入侵检测实验而言，主要任务是运行基于CNN的深度学习分类模型，因此对环境的核心要求包括Python运行环境、基础数据分析库支持，以及能够完成模型训练和结果可视化的计算资源。相比大型大模型训练任务，本实验的数据规模和模型复杂度相对可控，因此选择常规云端计算实例即可满足基本实验需求。

第二步，在算力市场中选择合适的模型，比如GPU NVIDIA GeForce-RTX-4090。

创建实例后，系统会为用户分配一个独立的云端运行环境，用户可以在该环境中上传代码文件、管理数据目录，并通过命令行执行Python程序。相比本地电脑，云端环境的优势在于配置过程更加标准化，能够减少不同操作系统、不同Python版本和不同依赖库带来的兼容性问题。

第三步，开启云端服务器并将本地项目文件上传至d.run环境中。

读者可以选择SSH登录或其它方式登录，作者习惯点击JupyterLab通过网页访问服务器。

此外，点击扩展按钮可以控制该容器。

第四步，在弹出的JupyterLab页面中创建Python代码。

此外，读者可以利用d.run进行大模型的安全实验。

2.运行深度学习代码

在实际操作中，建议将代码和数据按照清晰的项目结构进行组织。例如，可以将入侵检测代码统一放置在IDS目录下，将训练数据放置在data_hx目录下。这样不仅便于后续运行命令时定位脚本，也有利于保持项目结构规范，方便读者复现实验过程。

project/
├── IDS/
│   └── cnn_ids.py
└── data/
    └── train_features.csv

主界面如下图所示：

第一步，创建工程IDS。

第二步，将代码及数据集拖动至d.run网页。

数据集如下图所示：

第三步，通过New -> Terminal 能运行该python代码。

第四步，在终端输入如下指令运行代码。

python IDS/cnn_url_classification.py

温馨提示：
如果代码提示存在未安装的扩展包，通过pip命令即可安装。如：pip install pandas。

其它安装指令包括：

• pip install scikit-learn

• pip install matplotlib

• pip install seaborn

最终运行代码如下：

cd IDS
python cnn_url_classification.py

运行结果如下图所示：

此外，云端将生成实验结果和MD报告。

此外，读者可以结合自身内容进行详细的对比实验，无论是科学研究还是实战系统，均可进行赋能。

总体来看，本部分完成了深度学习入侵检测系统在云端环境中的配置与运行。通过上传项目代码、组织数据目录、安装依赖库和执行训练脚本，实验实现了从本地代码到云端验证的迁移。该过程说明，AI Agent与云端计算平台的结合能够有效提升网络安全实验的开发效率，为后续开展更复杂的入侵检测、恶意流量识别和安全数据分析任务提供了基础支撑。

五.总结及新书推荐

本文围绕“AI Agent赋能网络入侵检测”展开实践探索，以CodeBuddy和d.run为核心工具，系统展示了从安全任务理解、代码辅助生成到云端运行验证的完整流程。文章首先概述了AI Agent在网络安全中的典型应用场景，说明其能够在威胁检测、日志分析、漏洞研判、攻击链溯源和安全报告生成等环节发挥辅助作用；随后以入侵检测为具体案例，借助CodeBuddy生成深度学习检测代码，并通过d.run云端平台完成环境配置、依赖安装、数据上传、模型训练和结果分析。整体来看，本文不仅体现了大模型在安全编程与实验复现中的效率优势，也说明了AI Agent与云端算力平台结合后，能够有效降低网络安全算法实践门槛，为后续开展智能化攻防实验、入侵检测模型优化和安全自动化分析提供了可复用的技术路径。

新书推荐
腾讯内部10倍产能提升的秘密是什么？AI编程如何真正落地到日常开发，让每位开发者都能享受效率红利？腾讯云CODING CEO刘毅等多位业内大咖给出了明确答案：选对工具，掌握方法。他们推荐的《CodeBuddy领航：AI辅助编程应用·架构·交付》，正是承载这套方法的最佳实践指南。

京东和当当搜索购买本书，欢迎大家交流！

本书立足国内开发者真实场景，以解决落地痛点为核心，不仅系统讲解AI编程的核心理念与方法，更依托深度集成大语言模型的本土化平台CodeBuddy，通过数十个完整实战项目，演示如何将AI能力应用于需求分析、界面设计、代码生成、测试部署等全链路开发流程。

为什么首选CodeBuddy？

• 其一，CodeBuddy以“产品—设计—研发”一体化协作为核心理念，将大语言模型深度融入需求表达、界面设计、代码生成与云端部署全流程，真正实现自然语言驱动开发，让创意快速落地；

• 其二，CodeBuddy支持一键对接腾讯云CloudBase、Supabase等服务，便于项目构建与部署；

• 其三，CodeBuddy依托腾讯在AI与开发者生态方面的积累，结合MCP、多智能体等前沿能力，不仅支持高效应用开发，更具备构建复杂智能系统的潜力。

书中最具亮点的是一套完整落地的实战内容：12个章节搭配数十个实战项目，将CodeBuddy的使用技巧与真实开发场景深度融合，覆盖当前主流热门开发方向，让读者学有所用、学完即可用。

与其在焦虑中观望，不如主动拥抱变革。《CodeBuddy领航：AI辅助编程应用·架构·交付》就是你开启AI编程之路的最佳伙伴——它不仅能帮你快速掌握CodeBuddy的使用方法，更能帮你建立“人机协同”的思维，在这场效率革命中提升自身价值，值得一读！

『网络攻防和AI安全之家』目前收到了很多博友、朋友和老师的支持和点赞，并且保持每周七次更新，尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！

(By:Eastmount 2026-05-06 周三写于贵阳)

跳转微信打开

AI红队实战攻防开源书籍，希望您喜欢！

跳转微信打开

AI赋能编程新书，干货满满！

本书尚未面世便备受瞩目，关键在于其以CodeBuddy为核心实践载体。CodeBuddy是腾讯自研的、覆盖全栈开发生命周期的智能编程助手，通过插件、独立 IDE和命令行（CLI）工具（CodeBuddy Code）三种形态，为从需求到部署的各个环节提供AI辅助。

那么，为什么首选CodeBuddy？

更贴心的是，本书对初学者极其友好：概念解释通俗易懂，不故作高深；每个实战项目都有详细的步骤指引，从CodeBuddy的安装部署、环境配置，到项目初始化、代码生成、调试优化，全程手把手教学，哪怕是零基础也能快速上手，真正实现“看完就会，会了就用”。

本书适合所有对AI编程感兴趣的读者阅读：

本书凭借扎实的内容与极强的实用性，获得了多位行业专家的一致推荐。

正如微软全球最有价值专家桂素伟所言：

跳转微信打开

智能体赋能编程与科研基础文章，希望您喜欢！

感谢科大讯飞的邀请，非常荣幸能参与“讯飞AstronClaw全球行”活动。从星火大模型到iFlycode，从星辰智能体到Astronclaw和Astronskill，讯飞在AI点亮世界的路上越走越远，远走远深。作为技术分享者与学习者，也希望能贡献一丝力量，且行且珍惜！

随着大模型技术的持续突破，人工智能正在从“内容生成”阶段迈向“任务执行”阶段，AI Agent逐渐成为新的技术范式。本次分享以“校园场景下的AI Agent与智能编程实践”为主题，系统梳理了智能体（Agent）、OpenClaw、AstronClaw 及其在科研与编程中的实践路径。

AI Agent通过引入任务规划、工具调用与执行机制，将模型能力转化为实际生产力，使AI从“辅助工具”升级为“智能执行者”。在校园场景中，编程教学、科研实验以及论文写作等任务具有明显的流程性与重复性，智能体的引入可以显著提升效率并降低门槛。本文将结合AstronClaw与scientific-agent-skills的实践案例，展示智能体在编程与科研中的真实应用价值。

本文主要涉及以下六个方面内容：

• 01.智能体基本概念与核心技术组件
• 02.星辰智能体简介与基本用法
• 03.从OpenClaw到AstronClaw
• 04.AstronClaw的基本用法与入门案例
• 05.Skill驱动的AstronClaw科研实战
• 06.智能编程实践案例分析

欢迎更多朋友加入到“讯飞AstronClaw全球行”项目中，也推荐大家去使用讯飞的AI产品！

引言

在大模型技术从“能说会道”迈向“动手能干”的演进浪潮中，智能体正成为连接AI认知能力与现实执行场景的关键桥梁。2025年以来，随着GPT-4、星火大模型等基础模型的持续突破，以AutoGPT、BabyAGI为代表的开源智能体框架迅速兴起，标志着大模型从“生成回答”向“自主执行”的范式跃迁正式到来。

与此同时，科大讯飞推出的星辰智能体开发平台，依托星火大模型能力底座，将提示词构建、工作流编排、MCP协议集成与多模型兼容等核心能力整合为全栈式智能体开发环境，极大地降低了智能体应用的开发门槛。在此基础上，AstronClaw作为面向云端托管与企业协同的智能体服务形态，融合了跨渠道接入、Skill技能生态与沙箱安全运行机制，为校园教学、科研编程和日常办公提供了开箱即用的AI助手解决方案。

本文将系统梳理智能体的发展脉络与核心技术组件，深入解析星辰智能体平台与AstronClaw的功能体系，并通过科研实战案例展示如何借助Skill驱动的智能编程模式提升教学与研究效率，以期为高校师生和AI开发者提供一份系统性的实践参考。

在介绍具体内容之前，作者先介绍了自己在科大讯飞“AI大学堂”开源的两门课程，感兴趣的同学可以去AI大学堂学习。

• 《AI Coding入门到实战》
• 《星辰智能体入门与开发实践》

一.智能体基本概念与核心技术组件

1.AI Agent发展史

人工智能的概念诞生于1956年的达特茅斯会议，至今已走过近七十年历程。从早期感知机提出、反向传播算法系统化，到IBM Deep Blue击败国际象棋冠军，再到2016年AlphaGo战胜李世石——每一次技术突破都将AI推向新的高度。2017年Transformer架构的问世为后续大模型爆发奠定了底层基础，2020年GPT-3发布标志着大模型时代正式成形。2023年AutoGPT和BabyAGI开启了多智能体协作探索，而2025年至2026年间，以OpenClaw、Manus、星辰智能体为代表的产品化智能体进入落地期，AI真正具备了“会推理、会操作、会执行”的综合能力。

2.智能体是什么？

智能体是指能够在特定环境中感知外界信息、理解任务目标、进行自主规划与推理，并调用工具或执行动作以完成既定目标的智能系统。与传统被动响应的软件程序不同，智能体具备目标驱动、自主决策、持续交互以及环境自适应等核心特征。智能体应用的基本流程如下：

3.智能体的核心要素

智能体的核心运行要素包括感知、规划、记忆、行动与推理五大模块。

• 感知负责通过用户输入、系统接口获取多模态信息并完成语义理解与结构化表征；

• 规划则将复杂问题分解为可执行的子任务，确定任务间的依赖关系与执行顺序；

• 记忆通过向量数据库或知识图谱构建短期和长期存储，实现历史经验与领域知识的保存与检索；

• 行动将内部推理与决策结果转化为对外部环境的实际作用；

• 推理则综合运用链式推理（CoT）、反应式推理（ReAct）等策略生成行动方案。五者协同构成了智能体从“听懂需求”到“完成任务”的完整闭环。

4.MCP协议的基本定义

提到智能体，不得不提两个基本概念——MCP和Skill。如果说多智能体系统是一座城市，那么通信协议就是连接各个街区的道路与交通规则。MCP（模型上下文协议）正是这样一套为AI智能体量身定制的“交通系统”。

通过MCP协议，智能体可以无缝调用各种外部工具和服务，实现跨系统的协同工作，为构建复杂、开放、可扩展的智能体生态提供了底层技术支撑。

5.Skill的基本定义

Skill是智能体系统中对特定能力、工具接口或任务流程进行模块化封装的功能单元，本质上是一种可被调用、复用与编排的能力组件。它将外部服务、操作逻辑或领域功能以标准化形式接入智能体，使其由单纯的语言生成系统扩展为具备任务执行能力的行动系统。如果说MCP为智能体提供了“手”来操作工具，那么Skills就是那本“操作手册”。

6.大模型-智能体-MCP-Skill逻辑关系

大模型、智能体、MCP与Skill四者构成了“能力底座—系统形态—连接规范—执行单元”的层级关系与功能分工。四者协同，共同构成了一套完整的智能体应用体系。

• 大模型提供语言理解与生成的认知基础，是整个体系的“大脑”；

• 智能体在大模型之上构建目标驱动的任务执行系统，是体系的核心“躯干”；

• MCP作为连接模型与外部资源的标准化协议，打通了智能体与外界的“神经通路”；

• Skill则是指导智能体执行具体任务的流程与标准，形成了端到端的自主工作流。

7.智能体实战应用场景

智能体的应用场景正在快速拓展。在企业领域，智能体广泛应用于AI客服、行业资讯、电商导购、数据分析、财务报销等业务流程，通过工作流编排实现复杂任务的自动化处理。在校园场景下，智能体则赋能代码教学、科研辅助、论文阅读、简历生成、课程答疑等场景。例如，教师可以利用智能体快速生成教学示例代码，学生可以通过智能体辅助完成科研任务和项目开发。智能体的引入正在重塑校园的教学与科研模式，使AI真正成为师生身边的智能助手。

二.星辰智能体简介与基本用法

1.什么是星辰智能体？

星辰智能体是依托科大讯飞星火大模型能力底座，面向智能体构建、任务编排与工程化落地而形成的应用开发体系。从功能定位看，讯飞星辰Agent开发平台面向IT从业者与AI开发者，提供贯通学习提效、功能开发、工程化落地与企业应用的全栈式Agent开发环境，支持提示词式、工作流式与自主Agent等多种构建方式，并兼容星火、DeepSeek、Qwen、Stable Diffusion等多源模型。

• 官方平台为：https://agent.xfyun.cn

2.星辰智能体的核心技术架构

星辰智能体平台的核心技术架构包括四大支柱，提供两种主要的创建方式。

3.星辰Agent平台探索

讯飞星辰Agent开发平台为开发者提供了丰富的探索空间。平台支持通过指令Prompt、外部工具、工作流编排和知识库引用构建丰富的智能体应用，构建完成的智能体可以发布至讯飞星火App或配置微信公众号，公开给海量用户使用，也支持一键发布为API，满足业务在不同应用场景下的灵活集成与定制化需求。平台还整合了丰富的模型、插件与MCP Server，支持一站式效果测评，助力开发者快速搭建生产级智能体。

4.快速构建工作流智能体

构建工作流智能体共分六步：第一步，进入星辰Agent平台首页，点击左侧创建按钮，选择工作流创建方式；第二步，选择自定义创建，在空白画布中按需求搭建工作流。

节点是构成工作流的基本元素，画布上默认添加开始节点和结束节点，用户可根据需求点击左侧节点列表进行节点添加。

随后，添加论文阅读相关的大模型节点，调用大模型生成论文笔记信息；连接节点并编辑信息，依次编辑开始、大模型、结束节点。接着，点击“调试”按钮运行调试；最后，调试通过后点击“发布”，将智能体发布到星火平台、微信公众号或MCP Server等平台。

5.DeepResearch智能体创建

DeepResearch智能体的创建采用模板化方式。第一步进入星辰Agent平台首页，点击创建按钮选择工作流创建；第二步选择模板创建工作流智能体，在弹出的界面中选择与需求相似的模板（如DeepResearch深度搜索模版），点击建同款。

查看模板效果，进行工作流修改和完善，并结合自身需求优化工作流，编辑各节点配置。最后，点击“调试”按钮运行测试。

通过模板化创建，开发者可以在已有成熟方案的基础上快速定制专属智能体，大幅缩短开发周期，尤其适合深度搜索、科研调研等复杂任务场景。

三.从OpenClaw到AstronClaw

既然智能体已经这么强大了，为什么又提出了OpenClaw或AstronClaw呢？它们的优势在哪？

个人感觉主要包括以下几个方面：

1.什么是OpenClaw

OpenClaw是一种面向个人与开发者场景的开源智能体平台，其核心机制以本地或自托管设备为运行载体，通过统一的Gateway将多种通信渠道连接到具备工具调用、会话管理、记忆机制与多智能体路由能力的AI助手之上，使模型不仅能够“生成回答”，更能够“在真实软件环境中持续执行任务”。

• OpenClaw由奥地利程序员于2025年11月推出，被称为“AI助手的Kubernetes”。

2.什么是AstronClaw

AstronClaw是基于OpenClaw核心能力构建的云端AI助手或云托管式智能体服务形态。

相较于OpenClaw强调本地自托管与个人控制，AstronClaw更强调云端托管、企业协同与开箱即用，提供7×24小时在线服务，可通过企业微信、钉钉、飞书等企业协同渠道接入，并内置技能系统与官方技能集。平台支持自由切换星火X2、MiniMax-M2.5、Kimi-K2.5等多款大模型，同时还可接入自托管SkillHub，实现一键安装技能、仓库搜索及组织内部自定义技能管理。其核心能力是打造可深度定制的个人AI助手，集成高效技能，实现多渠道信息交互。

3.AstronClaw官方文档

讯飞开放平台 中提供了详细的星辰Agent和AstronClaw资料文档和实战案例供大家学习，推荐大家融合自身需求进行实战。

四.AstronClaw基本用法与入门案例

1.AstronAgent一键式部署

AstronClaw的一键式部署流程极为简便。第一步打开官网，点击“立即部署”按钮，进入详细用法介绍页面。

第二步开始对话唤醒AstronClaw，选择合适的大模型并输入提示词；第三步选择官方提供的Agent（如“计划任务”功能）获取AI领域热点咨询新闻推荐。

平台采用沙箱隔离技术运行，全程守护用户数据安全，支持云端一键部署，省去了终端命令、服务器开销与安装烦恼。整个部署过程从零到一开始对话仅需几分钟，真正实现了“开箱即用”的智能体体验。

2.AstronAgent微信渠道交互

AstronClaw支持通过微信渠道进行便捷交互。第一步在AstronClaw主界面点击“渠道”按钮，选择“微信”进入渠道配置页面；第二步点击“未配置”扫描连接微信。

第三步在微信弹出的页面中点击“连接”按钮，在生成的“微信ClawBot”中进行对话。

通过微信渠道，用户可以随时随地向AstronClaw发送任务指令，例如整理智能体相关论文信息、规划旅游攻略等。移动端AstronClaw使手机变成AI“遥控器”，开启“手机指挥、电脑执行”的全新智能协作模式，打破了物理局限，为AI装上了“眼睛”和“耳朵”，实现跨场景任务协同。

那么，移动端AstronClaw的作用在哪？作者归纳如下：

五.Skill驱动的AstronClaw科研实战

1.Astron Skills

Skills是AstronClaw的核心能力模块，相当于Agent可调用的“工具与能力插件”。通过技能，AstronClaw可以从“聊天”升级为“执行任务”。技能主要包括四大类型：

• 外部工具（搜索/OCR/API）

• 模型能力（语音/图像/推理）

• 工作流（多步骤自动执行任务）

• 行业模板（研报/PPT/分析报告）

平台提供“官方推荐”、“三方精选”和“我的技能”三大模块，用户可前往SkillHub探索更多技能，也可以自主创建技能。这种技能驱动的设计使AstronClaw具备了极强的可扩展性，用户可以根据自身需求不断丰富智能体的能力边界。

2.AstronSkill实现智能简历生成

智能简历生成是AstronSkill的典型应用案例。第一步在官方技能界面中选择“智能简历生成”，点击安装按钮，只需输入个人信息与求职需求，即可即刻量身打造专业简历。

在“我的技能”中下载并剖析该skill的文档结构，推荐大家多学习优秀的skill。

第二步指定技能调用，利用智能简历生成技能构建提示词。

AstronClaw执行read、exec指令生成简历，包括可下载链接及完整文档。整个过程从用户输入到简历生成仅需几分钟，充分体现了Skill驱动模式下智能体的高效执行能力。

3.第三方AstronSkill构建深度研究

深度研究Pro是三方精选中的典型技能。第一步在“三方精选”中选择“深度研究Pro”，点击安装按钮。

同样，我们可以剖析其skill内部结构，理解其工作流程与设计逻辑，更好地撰写属于自己的skill。

随后利用该技能调研智能体的相关研究并查看生成内容，获得结构化的调研报告。通过第三方Skill，用户无需自行编写复杂的搜索与汇总逻辑，即可获得专业级的深度研究成果，极大提升了科研效率。

六.智能编程实践案例分析

1.AstronClaw赋能编程开发

AstronClaw赋能智能编程，是将代码生成、工具调用、任务执行与持续协同融为一体，使AI从“辅助写代码”升级为“能够理解需求、联动环境并完成开发任务的智能编程伙伴”。

步骤一：利用AstronClaw自动生成代码，构建详细提示词开发五子棋网页小游戏。

步骤二：AstronClaw调用内置Skill和智能体完成程序开发。

步骤三：下载或访问AstronClaw生成代码进行验证。

步骤四：网站运行及部署上线。

建议在云端服务器配置AstronClaw，调用智能体进行开发，生成代码项目库与本地VSCode绑定，实现自动化、智能化的实时开发。

更多智能体赋能编程与开发的案例，请大家下来尝试。

2.创建自定义Skill赋能科研编程

创建自定义Skill是科研编程的重要能力。第一步在主界面点击“创建skills”按钮。

结合自身需求搜索或创建Skill内容，指导智能体执行相关任务。

• https://github.com/K-Dense-AI/scientific-agent-skills

GitHub上提供了科学技能工具包仓库（K-Dense-Al/scientific-agent-skills），当前提供133个现成技能，覆盖生物信息学、药物发现、临床研究、医学影像、机器学习、材料科学、物理天文、地理空间分析、实验室自动化、科学写作等方向。

最后结合自构建AI4S科学研究智能体，上传科学技能工具包zip文件。核心能力涵盖查数据和接数据库、科研分析、连接科研平台与实验环境、科研表达与文档生成等。

3.课程案例展示

最后，作者展示了几个代表性AstronClaw赋能编程与开发的案例，并且与大家进行了交流。

（1）网站开发案例

（2）桌面应用程序开发

（3）知识图谱开发案例

总结

从星辰智能体的平台构建到AstronClaw的云端部署，从MCP协议的底层通信到Skill驱动的任务执行，智能体技术正在以前所未有的速度重塑校园场景下的教学、科研与编程实践。希望本文能够为高校师生和AI开发者提供一份系统性的参考指南。如果您在智能体开发与使用过程中有任何疑问或心得体会，欢迎在评论区留言交流。让我们共同拥抱智能体时代，用AI赋能教与学的每一个环节！

温馨建议：

• 长记忆可以尝试每次保留一个版本，使用前输入让智能体唤起记忆做后续开发和迭代更新。
• 在使用大模型或智能体开发过程中，要学会版本迭代，智能体skill也可以持续维护，阶段性更迭效果会更好。
• 在利用智能体科学研究时，学会将整体框架搭建，并分任务实现不同需求（如数据预处理、数据分析、可视化），并生成阶段结果作为下一阶段输入。
• 如何利用云端和本地交互，实现智能体开发至关重要，云端配置智能体再利用VS Code访问可解决部分问题。

文章写到这里就结束了，写得不好的地方，还请海涵！未来，随着智能体能力的不断增强，人机协作模式将进一步深化，开发者的角色也将从“代码编写者”转变为“任务设计者”。理解并掌握这一趋势，将成为新时代技术人才的重要能力。

『网络攻防和AI安全之家』目前收到了很多博友、朋友和老师的支持和点赞，并且保持每周七次更新，尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！

(By:Eastmount 2026-04-23 周四夜于贵阳)

跳转微信打开

网络威胁情报狩猎综述，希望您喜欢！

“2024年4月28日是Eastmount的安全星球 —— 『网络攻防和AI安全之家』正式创建和运营的日子。该星球目前主营业务为 安全零基础答疑、安全技术分享、AI安全技术分享、AI安全论文交流、威胁情报每日推送、网络攻防技术总结、系统安全技术实战、面试求职、安全考研考博、简历修改及润色、学术交流及答疑、人脉触达、认知提升等。下面是星球的新人券，欢迎新老博友和朋友加入，一起分享更多安全知识，比较良心的星球，非常适合初学者和换安全专业的读者学习。

”

《娜璋带你读论文》系列主要是督促自己阅读优秀论文及听取学术讲座，并分享给大家，希望您喜欢。由于作者的英文水平和学术能力不高，需要不断提升，所以还请大家批评指正，欢迎大家给我留言评论，学术路上期待与您前行，加油。

前一篇博客介绍了APILI，一种面向恶意软件行为分析的深度学习方法，用于在动态执行轨迹中定位与恶意攻击技术（MITRE ATT&CK Techniques）相对应的底层 API 调用。本文是一篇系统性综述论文，详细综述了网络威胁狩猎技术，探讨了智能本体与自动化工具的资源整合路径，涵盖了监督与无监督学习、推理机制、图方法及规则方法等多种建模策略，并分析了关键挑战和困难。注意，由于我们团队还在不断成长和学习中，写得不好的地方还请海涵，希望这篇文章对您有所帮助，这些大佬真值得我们学习。fighting！

文章目录

• 一、研究背景与总体概述

• 1.研究缘起与背景

• 2.研究目标与核心问题

• 二、研究方法与文献筛选流程

• 三、威胁狩猎的理论与流程框架（RQ1)

• 1.威胁狩猎与异常检测的关系

• 2. 系统化的狩猎流程

• 四、数学假设模型（RQ2）

• 1.隐状态与观测模型

• 2.威胁指示函数

• 3.异常检测与猎捕的协同数学模型

• 4.迭代式假设模型

• 五、主要研究方法分类与演化趋势（RQ3）

• 1. 监督学习方法

• 2. 无监督学习方法

• 3. 推理与逻辑方法

• 4. 图模型与知识图谱方法

• 5. 规则与行为驱动方法

• 6. 其他方法

• 六、主要研究挑战（RQ4）

• 1.高质量标注数据稀缺

• 2.数据不平衡与类别稀疏问题

• 3.多源异构数据融合困难

• 4. 对抗性攻击快速演化

• 5. 人类专家稀缺与知识成本高昂

• 七、未来发展方向与启示

• 八、学术价值与创新贡献

原文作者：Arash Mahboubi, et al.
原文标题：Evolving Techniques in Cyber Threat Hunting: A Systematic Review
原文链接：https://www.sciencedirect.com/science/article/pii/S1084804524001814
发表期刊：Journal of Network and Computer Applications 2024

1.研究缘起与背景

在网络攻击不断演化、传统防御手段逐渐失效的时代，威胁狩猎（Cyber Threat Hunting, CTH） 成为网络安全领域的主动防御前沿。 与被动的入侵检测系统（IDS）或事件响应机制（IR）不同，威胁狩猎旨在通过分析潜在行为模式、构建攻击假设、挖掘隐匿迹象，在攻击造成损害前主动发现对手。

论文指出，近年来：

• 全球活跃攻击组织已超230个；

• eCrime平均突破时间仅2分钟；

• 无文件攻击（Malware-free Attacks）与AI辅助社会工程攻击显著增加。

这表明传统基于签名或规则的检测系统难以应对动态威胁，网络防御迫切需要转向 “预测性安全与假设驱动分析” 的新范式。

2.研究目标与核心问题

作者通过系统综述（Systematic Literature Review, SLR）方法，明确提出了四个研究问题：

论文遵循SLR标准流程：

1. 初步检索阶段

   从IEEE、ACM、Scopus、Google Scholar等数据库检索1696篇相关文献。

2. 筛选阶段

   根据主题关键词（如“threat hunting”、“security analytics”、“intrusion detection system”等）过滤至287篇。

3. 评估阶段

   剔除综述、海报及简报类文献，最终保留117篇实证与方法研究论文。

文献被划分为四类以对应研究问题：

• 12篇：威胁狩猎流程研究（RQ1）
• 4篇：假设建模研究（RQ2）
• 63篇：威胁检测方法（RQ3）
• 38篇：挑战与难题研究（RQ4）

1.威胁狩猎与异常检测的关系

• 异常检测（Anomaly Detection）

  自动识别偏离常态的行为模式

• 威胁狩猎（Threat Hunting）

  基于情报与假设的主动探索行为

论文强调二者相辅相成：
威胁狩猎通过人类推理发现新威胁 → 为异常检测提供新特征与标签；
异常检测通过算法扩展威胁覆盖面 → 为狩猎提供数据支撑。

2. 系统化的狩猎流程（Ten-Step Model）

基于SANS威胁狩猎成熟度模型，作者提出了十步过程：

• 异构数据收集

• 威胁定义与假设制定

• 主动搜索与行为验证

• 威胁指标识别（IoC/IoA）

• 威胁分类与聚类

• 人工验证

• 防御体系比对与漏洞评估

• 模式与特征提取

• 防御系统改进（IDS、EDR、SIEM）

• 迭代更新与知识反馈

这一循环体现了“假设—验证—修正”的持续狩猎思想。

论文指出：威胁狩猎的核心在于“假设驱动（Hypothesis-driven）”，但行业长期缺乏形式化、可量化的数学模型。作者选取 4 篇关键文献，对假设建模进行分类与总结。

1.隐状态与观测模型

许多威胁行为不可直接观测（如横向移动、隐蔽持久化），只能通过系统事件、日志等“观测值 O” 推断攻击者“隐状态 H”。

该模型类似于隐马尔可夫模型（HMM）思想（论文没有直接使用 HMM，但思想一致）：

• H：攻击者当前所处的战术阶段

• O：日志、行为、网络流量等可见事件

• f(H,O)：威胁指示函数（Indicator Function）用于评估风险信号

论文提出可通过概率分布或启发式规则连接隐状态与观测，从而构建“攻击轨迹推断”。

2.威胁指示函数

论文提出“威胁指示函数 I(O)”概念，用于量化观测行为与潜在威胁之间的关联度，是数学化假设模型的关键要素。

作用：

• 从复杂、噪声较多的日志中筛选风险事件

• 将行为分布、情报关联度等信息映射为“威胁评分”

• 用于指导初始假设是否成立

示例形式：

I(O) = g(features, context, intelligence)

其中 g 可以是

• 聚类结果得分

• 图匹配相似度

• 行为异常度（如 Reconstruction Error）

• ATT&CK TTP 匹配程度

论文强调：
威胁指示函数是打造半自动化猎捕模型的核心组件。

3.异常检测与猎捕的协同数学模型

论文将“异常检测-威胁狩猎”关系建模为一种双向迭代机制：

• 异常检测提供行为概率分布 P(O)，帮助猎捕者定位可疑区域；
• 猎捕者根据推理生成新的假设 H，并补充新的攻击特征；

• 异常检测模型基于新的特征与标签得到改进；

• 系统进入下一轮循环。

这种模型可形式化为：

Hᵢ₊₁ = Update(Hᵢ, I(O), P(O))

其中 Update 表示“基于数据—情报—推理的假设修正过程”。

论文指出，这种“协同模型”具有高度潜力，可成为未来自动化猎捕系统的理论基础。

4.迭代式假设模型

论文认为：威胁狩猎不是一次性推理，而是连续迭代的假设更新过程。

流程结构为：

1. 构建初始假设（H₀）

   基于情报、规则、经验

2. 数据观察（O₀）

   收集日志、事件、流量

3. 更新假设（H₁）

   根据 O₀ 的结果修正原假设

4. 验证（Validate）

   人工或自动验证

5. 生成下一阶段假设（H₂, H₃…）

论文将 63 篇方法性研究归纳为六类：

1. 监督学习（LSTM、CNN、Transformer）
2. 无监督学习（聚类、Autoencoder、LDA）
3. 推理方法（知识图谱、本体、因果推理）
4. 图模型/GNN（DeepHunter, ANUBIS）
5. 规则与TTP驱动（MITRE ATT&CK）
6. 其他方法（强化学习、自监督学习）

每类方法论文均给出其特点、适用场景与局限。

1. 监督学习方法（Supervised ML）

• 模型：LSTM、CNN、SVM、Random Forest、Transformer。

• 应用：恶意软件分类、APT路径预测、IIoT威胁检测。

• 示例：

• DRTHIS

  （Homayoun, 2019）利用深度学习识别勒索软件；

• DeepAG

  （Li, 2023）用Transformer预测APT攻击链；

• ATHRNN

  （Liu, 2022）结合Transformer与知识图谱提取ATT&CK技术。

📌 特点：性能高、可解释性有限、依赖标签数据。

2. 无监督学习方法（Unsupervised ML）

• 技术：Autoencoder、聚类、Word2Vec、LDA主题建模等；

• 应用：日志异常检测、威胁模式聚类、事件归因；

• 示例：

• LogAnomaly

  （Meng, 2019）基于LSTM的日志异常检测；

• THREATRAPTOR

  （Gao, 2021）自动化威胁行为提取系统。

📌 特点：适用于未知威胁与无标签环境，但存在误报问题。

3. 推理与逻辑方法

• 融合知识图谱、逻辑推理与因果模型；

• 示例：

• Narayanan, 2018

  基于本体的知识图推理；

• Marin, 2020

  将社会行为与技术特征结合的攻击预测模型；

• Dritsoula, 2017

  基于博弈论的攻击者策略建模。

📌 特点：增强可解释性，适合假设生成与高层策略分析。

4. 图模型与知识图谱方法（Graph-based & GNN）

• 代表模型：Poirot、DeepHunter、ANUBIS、AttackDB；

• 应用：APT溯源、攻击路径推断、威胁知识推理；

• 技术：Provenance Graph、Graph Neural Networks (GNN)、GraphSAGE、Link Prediction。

📌 趋势：成为当前威胁狩猎的核心方向，可视化攻击链与推理攻击阶段。

5. 规则与行为驱动方法（Rule-based Approaches）

• 特点：依托MITRE ATT&CK与STIX等标准知识库；

• 典型：SteinerLog、ProvTalk、_HERCULE_等；

• 关注：多阶段攻击重建与TTP映射。

6. 其他方法

• 强化学习与多臂老虎机模型（MABAT）

  优化威胁数据采集策略；

• UEBA行为分析

  通过用户行为异常识别内部威胁；

• 生成式AI与LLM在威胁建模中的应用

  未来趋势之一。

论文综合 38 篇相关工作，对威胁狩猎领域当前的核心挑战进行了系统化归纳。作者将挑战分为 数据层、方法层、对抗层、资源层 四大方向，共五项关键难题。这些挑战解释了为何威胁狩猎自动化难以完全落地，并为未来研究路径提供方向指引。

1.高质量标注数据稀缺（Challenge 1）

威胁狩猎高度依赖 高可信标签、攻击场景、系统行为上下文，但现实中存在：

• 攻击样本稀少且分布极不平衡；

• 企业内部攻击事件很少公开；

• 多数 APT 场景无法真实重建；

• 大部分研究仅依赖少量公共数据集（如 DARPA、CICIDS）。

缺乏标注数据导致：

• 监督学习难以训练稳健模型；

• 模型容易过拟合特定环境；

• 难以构建跨域、通用的威胁检测能力。

2.数据不平衡与类别稀疏问题（Challenge 2）

在大型 SOC 环境中，恶意事件通常只占全部日志的 0.01%—0.1%。

论文指出：

• 绝大部分机器学习模型在此环境下会偏向正常类；

• 工具难以学习“异常且隐蔽”的攻击行为；

• 对于 APT 这类极低频事件，模型识别能力常常不足。

因此需要针对稀疏样本与不平衡数据设计更适合的算法（如异常检测、重采样、自监督学习等）。

3.多源异构数据融合困难（Challenge 3）

威胁狩猎需结合来自不同系统的多模态、多结构数据，例如：

• 系统调用日志

• 网络流量

• Windows 事件

• EDR/AV 行为追踪

• SOAR/SIEM 告警

• OSINT/CTI（开源威胁情报）

然而：

• 数据格式、时间戳、语义差异巨大；

• 无法轻易对齐到统一的攻击链上下文；

• 跨源推理的关联性弱，容易导致误报/漏报。

论文认为异构数据融合是当前威胁猎捕自动化系统的最大瓶颈之一。

4. 对抗性攻击快速演化（Challenge 4）

现代攻击呈现出快速进化趋势：

• 对抗样本（Adversarial Examples）影响 ML 模型判断；

• AI 生成内容用于社会工程、伪造数据；

• 零日漏洞与“无文件攻击”难以通过传统模式识别；

• APT 组织不断改变行为，使基于历史特征的模型迅速过时。

论文强调：

• 回溯式学习（Retrospective Learning）无法跟上攻击者动态演进速度

  需要新的“预测性、推理型、假设驱动”的方法。

5. 人类专家稀缺与知识成本高昂（Challenge 5）

威胁狩猎依赖经验丰富的分析师，但现实中：

• 高级分析师储备严重不足；

• 组织之间缺少高质量知识共享机制；

• 即便自动化工具强大，专家仍需为模型输出提供最终判断；

• 威胁情报（TI/CTI）的可信度与更新速度无法持续保障。

论文指出，即使自动化能力提升，“人机协作”仍将是未来长期状态，而人力短缺会继续制约威胁猎捕能力的提升。

• AI驱动智能狩猎系统

  结合生成式AI、强化学习、自动假设生成；

• 可解释与数学化模型

  基于隐马尔可夫模型（HMM）等进行威胁状态建模；

• 知识图谱与自动推理结合

  实现威胁情报、攻击路径、战术模式的统一；

• 人机协作与自动化融合

  在SOAR框架中嵌入人类分析循环；

• 多模态数据与自监督学习

  提升无标签环境下的威胁识别性能。

论文总结如下：

• 建立了威胁狩猎研究的系统分类框架；

• 提出“假设建模+迭代验证”的数学形式化思路；

• 综合评估了机器学习、知识图谱、逻辑推理、自动化工具等多维方法；

• 总结了数据集、工具（MITRE、MISP、OpenCTI等）及开源资源；

• 指明AI与人类专家协同的未来方向。

『网络攻防和AI安全之家』目前收到了很多博友、朋友和老师的支持和点赞，并且保持每周七次更新，尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！

(By:Eastmount 2026-04-12 周日夜于贵阳)

前文推荐：

• [AI安全论文] 01.人工智能真的安全吗？浙大团队分享AI对抗样本技术

• [AI安全论文] 02.清华张超老师 GreyOne和Fuzzing漏洞挖掘各阶段进展总结

• [AI安全论文] 03.什么是生成对抗网络？GAN的前世今生（Goodfellow）

• [AI安全论文] 04.NLP知识总结及NLP论文撰写之道——Pvop老师

• [AI安全论文] 05.RAID-Cyber Threat Intelligence Modeling Based on GCN

• [AI安全论文] 06.NDSS2020 UNICORN: Runtime Provenance-Based Detector for Advanced Persistent Threats

• [AI安全论文] 07.S&P19 HOLMES：基于可疑信息流相关性的实时APT检测

• [AI安全论文] 08.基于溯源图的APT攻击检测安全顶会论文总结

• [AI安全论文] 09.ACE算法和暗通道先验图像去雾算法详解（Rizzi | 何恺明老师）

• [AI安全论文] 10.英文论文引言introduction如何撰写及精句摘抄——以入侵检测系统(IDS)为例

• [AI安全论文] 11.英文论文模型设计（Model Design）如何撰写及精句摘抄——以IDS为例

• [AI安全论文] 12.英文论文实验评估（Evaluation）如何撰写及精句摘抄(上)——以IDS为例

• [AI安全论文] 13.英文SCI论文审稿意见及应对策略学习笔记总结

• [AI安全论文] 14.S&P2019-Neural Cleanse 神经网络中的后门攻击识别与缓解

• [AI安全论文] 15.Powershell恶意代码检测论文总结及抽象语法树（AST）提取

• [AI安全论文] 16.CCS2019 针对PowerShell脚本的轻量级去混淆和语义感知攻击检测（经典）

• [AI安全论文] 17.英文论文Design和Overview撰写及精句摘抄——以系统AI安全顶会为例

• [AI安全论文] 18.英文论文Evaluation（实验数据集、指标和环境）撰写及精句摘抄——以系统AI安全顶会为例

• [AI安全论文] 19.USENIXSec21 DeepReflect：通过二进制重构发现恶意功能（经典）

• [AI安全论文] 20.RAID19 基于Android移动设备的互联网流量中的位置数据泄漏分析（译文）

• [AI安全论文] 21.S&P21 Survivalism经典离地攻击（Living-Off-The-Land）恶意软件系统分析

• [AI安全论文] 22.图神经网络及认知推理总结和普及-清华唐杰老师

• [AI安全论文] 23.恶意代码作者溯源(去匿名化)经典论文阅读：二进制和源代码对比

• [AI安全论文] 24.向量表征：从Word2vec和Doc2vec到Deepwalk和Graph2vec，再到Asm2vec和Log2vec(一)

• [AI安全论文] 25.向量表征经典之DeepWalk：从W2V到DeepWalk，再到Asm2vec和Log2vec (二)

• [AI安全论文] 26.基于Excel可视化分析的论文实验图表绘制总结——以电影市场为例

• [AI安全论文] 27.AAAI20 Order Matters: 基于图神经网络的二进制代码相似性检测（腾讯科恩实验室）

• [AI安全论文] 28.李沐老师视频学习——1.研究的艺术·跟读者建立联系

• [AI安全论文] 29.李沐老师视频学习——2.研究的艺术·找问题和明白问题的重要性

• [AI安全论文] 30.李沐老师视频学习——3.研究的艺术·讲好故事和论点

• [AI安全论文] 31.李沐老师视频学习——4.研究的艺术·理由、论据和担保

• [AI安全论文] (32)南洋理工大学刘杨教授——网络空间安全和AIGC整合之道学习笔记及强推（InForSec）

• [AI安全论文] (33)NDSS2024 Summer系统安全和恶意代码分析方向相关论文汇总

• [AI安全论文] (34)ESWA2024 基于SGDC的轻量级入侵检测系统

• [AI安全论文] (35)TIFS24 MEGR-APT：基于攻击表示学习的高效内存APT猎杀系统

• [AI安全论文] (36)C&S22 MPSAutodetect：基于自编码器的恶意Powershell脚本检测模型

• [AI安全论文] (37)CCS21 DeepAID：基于深度学习的异常检测（解释）

  [AI安全论文] (38)基于大模型的威胁情报分析与知识图谱构建论文总结（读书笔记）

• [AI安全论文] (39)EuroS&P25 CTINEXUS：基于大模型的威胁情报知识图谱自动构建

• [AI安全论文] (40)CCS24 PowerPeeler：一种通用的PowerShell脚本动态去混淆方法

• [AI安全论文] (41)JISA24 物联网环境下基于少样本学习的攻击流量分类

• [AI安全论文] (42)ASC25 基于大语言模型的未知Web攻击威胁检测

• [AI安全论文] (43)ESWA25 评估大模型在真实攻击活动的恶意代码解混淆能力

• [AI安全论文] (44)一种基于LLM少样本多标签的Android恶意软件检测方法

• [AI安全论文] (45)C&S24 AISL: 基于攻击意图驱动与序列学习方法的APT攻击检测

• [AI安全论文] (46)大佬团队探索 IDS-Agent: 一种用于物联网可解释入侵检测的大模型Agent

• [AI安全论文] (47)LAMD: 基于大模型上下文驱动的Android恶意软件检测与分类

• [AI安全论文] (48)TIFS24 基于注意力的恶意软件API定位技术

• [AI安全论文] (49)JNCA24 网络威胁狩猎演化技术综述

跳转微信打开

本文详细讲解AI赋能桌面应用程序开发，希望您喜欢！

在大模型技术快速演进的背景下，软件开发正经历从“代码书写驱动”向“智能语义驱动”的范式转型。AI Coding 作为这一转型的核心形态，依托大语言模型的理解、生成与推理能力，使开发者能够通过自然语言表达需求，由 AI 协同完成代码设计、实现与优化。这种新模式正在显著降低编程门槛、提升开发效率，并推动软件工程进入智能协作时代。

本系列课程《AI Coding入门与实战》由 科大讯飞 与 CSDN 合作推出，并在“AI大学堂”平台面向公众开放。课程以大模型技术和AI Coding为基础，以真实开发案例为载体，系统讲解 AI Coding（iFlyCode） 的理论框架、技术原理与工程实践场景。在此特别感谢科大讯飞在大模型与智能编程工具领域的技术支持，以及 CSDN 在开发者生态建设方面的持续推动，使该课程得以面向更广泛学习者。

我们诚挚建议对人工智能编程、智能开发工具以及未来软件工程形态感兴趣的学习者，前往 AI大学堂平台 系统学习本系列课程。课程涵盖从概念认知、工具使用到项目实践的完整体系，适合高校学生、科研人员及工程开发者持续进阶。 学习者可在 AI大学堂官方网站或课程平台中搜索课程名称：

• AI大学堂官网：https://www.aidaxue.com

• 《AI Coding入门与实战》第1课 AI Coding概念与大模型赋能编程

• 《AI Coding入门与实战》第2课 基于通用大模型的代码生成

• 《AI Coding入门与实战》第3课 iFlyCode入门与数据分析实战

• 《AI Coding入门与实战》第4课 基于iFlyCode的网页开发实战【本博客的学习视频地址】

• 《AI Coding入门与实战》第5课 基于iFlyCode的桌面应用程序开发

• 《AI Coding入门与实战》第6课 基于iFlyCode的安全知识图谱构建

• 《AI Coding入门与实战》第7课 基于iFlyCode的图书管理网站系统开发

• 《AI Coding入门与实战》第8课 iFlyCode智能体开发与课程总结

代码开源地址：

• https://github.com/eastmountyxz/AI-Coding-iFlyCode

本课以“AI辅助桌面应用开发”为主线，围绕 iFlyCode 的代码生成与迭代能力，构建从需求抽象、提示词工程、界面开发到图像处理算法集成与应用发布的完整实践链条。课程选取 Python + Tkinter 作为桌面端GUI载体，并以 OpenCV 图像处理/识别 为算法能力来源，形成“交互界面—算法模块—工程部署”三位一体的教学闭环。相较于仅面向脚本编写的AI Coding示例，本课更强调工程语境下的模块化结构、可复用组件、可运行交付与可解释的提示词迭代，从而使学习者能够在真实业务需求中完成从原型到可用系统的过渡。课程目录如下：

文章目录

• 一.课程学习目标

• 1.课程概况

• 2.实战效果

• 二.桌面应用程序开发基础

• 1.桌面应用程序的基本定义

• 2.C/S与B/S架构

• 3.桌面应用程序开发常用工具与框架

• 4.基于Python的桌面应用程序开发

• 5.iFlyCode桌面应用开发的基本流程

• 三.Python图像处理与识别基础知识

• 1.图像处理与识别的基本定义

• 2.图像基础知识

• 3.OpenCV基础知识

• 4.图像灰度处理案例分析

• 5.图像锐化处理案例分析

• 四.基于iFlyCode的窗口程序及界面设计

• 1.主界面窗口生成

• 2.代码优化与精准提示构建

• 五.基于iFlyCode的图像处理系统开发实战

• 1.图像灰度处理代码实现

• 2.图像镜像处理代码实现

• 3.其余图像处理代码实现

• 六.基于iFlyCode的人脸识别系统开发实战

• 1.人脸识别系统开发

• 2.桌面应用系统发布及部署

• 七.课程总结与课后实践作业

一.课程学习目标

1.课程概况

该课程系统讲解AI Coding入门及实战应用内容，涵盖AI Coding基本概念、主流AI Coding工具及应用。课程以项目驱动为导向，基于科大讯飞iFlyCode工具，从数据分析、网页制作、图像处理、桌面应用编程、网站开发、科学研究编程等经典场景，详细讲解大模型赋能AI Coding的过程及用法，逐步培养初学者掌握AI辅助编程的能力，帮助其实现从基础入门到综合应用的跨越。课程兼顾理论与实践，注重工具操作、案例分析和编程思维的培养，旨在让大家真正能在编程开发、科研与工作中高效使用AI Coding，建立起AI Coding从零到一的过程。

第5次课《基于iFlyCode的桌面应用程序开发》旨在利用科大讯飞iFlyCode工具开发桌面应用程序及系统。以Python图像处理与图像识别为研究对象，开展图像处理桌面应用系统的开发实战案例，让大家快速掌握客户端应用程序AI Coding知识。

2.实战效果

桌面应用程序开发的实战效果如下图所示：

二.桌面应用程序开发基础

1.桌面应用程序的基本定义

首先从概念层面对桌面应用程序进行界定，强调其“本地运行、无需浏览器依赖、直接在操作系统环境中执行”的属性。这一界定凸显桌面应用在性能与交互方面的优势：其可以更充分地调用本地计算资源与系统API，适合处理图形处理、办公软件、数据分析等对交互延迟和计算吞吐要求较高的任务。

• 与Web应用相比，桌面应用在用户体验与系统能力调用上具备更强的确定性，尤其在涉及本地文件系统读写、摄像头/传感器接入、图像视频处理等场景时，桌面端通常能以更少的中间层完成能力落地。

同时，桌面应用具有“操作系统依赖性”，即需要针对Windows、macOS、Linux等平台分别适配或打包，这意味着桌面应用开发不仅是编程问题，也是工程分发与运行环境治理问题。

2.C/S与B/S架构

以客户端/服务器（C/S）与浏览器/服务器（B/S）架构对比，引导学习者理解桌面应用在信息系统中的结构位置。C/S架构通常由本地客户端承担较多交互与部分计算逻辑，服务器负责集中处理与数据存储，其优势在于较高的安全性、集中管理能力以及可扩展的分布式协作机制；典型应用包括企业ERP、即时通信软件、数据库客户端等。

3.桌面应用程序开发常用工具与框架

桌面应用开发并不只有单一路线，开发框架的选择会深刻影响界面能力、跨平台性、部署方式与后续维护成本。课程最终选用 Tkinter 作为实践框架，更好地帮助初学者学习如何与iFlyCode交互。

4.基于Python的桌面应用程序开发

本节明确采用 Tkinter 作为桌面GUI实现方案，并以“导入库—创建主窗口—设置标题与尺寸—进入主循环”等步骤展示其基本用法。这一部分的重要性在于建立桌面程序的最小可运行单元：只要主窗口能稳定启动，后续的按钮、菜单、画布与图像显示等功能才能以“增量迭代”的方式叠加。在AI辅助开发场景中，最小可运行单元尤为关键，因为它是验证生成代码是否正确接入框架运行机制的首要指标，也是后续提示词迭代的稳定基座。

Tkinter 的价值在于其与Python生态高度耦合，能够方便地与 OpenCV、NumPy 等计算库组合，并以较低门槛完成“界面+算法”的集成。

5.iFlyCode桌面应用开发的基本流程

该部分给出其基本流程，生成式开发区别于传统开发，开发活动从“直接编码”转向“以需求与约束为中心的生成—验证—修正循环”。其中，“提示词构建”并非简单描述功能，而是需要将界面结构、控件交互、算法能力、输入输出格式、异常处理等要素结构化表达，使模型能够在明确约束下生成可运行代码。

三.Python图像处理与识别基础知识

1.图像处理与识别的基本定义

本节对图像处理与图像识别进行基础界定：

• 图像处理通常面向像素级变换与增强，包括灰度化、滤波、锐化、对比度增强等；

• 图像识别则更强调从图像中提取可解释语义，如人脸检测与识别等任务。

2.图像基础知识

对于AI辅助开发而言，理解图像的基本数据结构至关重要，因为 GUI 与算法模块之间的接口往往以“数组/矩阵对象”或“图像文件路径”来传递信息。若学习者缺乏对图像数据表征的理解，则在集成OpenCV处理结果与Tkinter显示时容易出现类型不匹配、颜色通道错误或尺寸缩放失真等工程问题。

3.OpenCV基础知识

本节给出 OpenCV 的安装与导入方式，并明确其与 NumPy 的协同关系（OpenCV负责图像I/O与算法算子，NumPy负责数组计算与数据结构承载）。对于使用 iFlyCode 生成代码的学习者而言，明确依赖（如 opencv-python、numpy）不仅有助于生成正确的 import 与函数调用，也为后续打包部署时的依赖收敛提供清晰边界。

4.图像灰度处理案例分析

以灰度处理作为典型案例，强调其作为图像预处理步骤在视觉增强、特征提取与后续识别任务中的基础。灰度化将彩色图像从多通道映射到单通道强度表示，从而降低计算复杂度，并使边缘、纹理等结构信息更容易被后续算子捕获。

5.图像锐化处理案例分析

Sobel 算子作为锐化/边缘检测的代表方法，强调其通过离散微分计算图像亮度变化近似值，从而突出边缘结构。在桌面应用中，锐化功能常用于提升细节可见性，也可作为识别系统的特征增强手段。将其纳入课程实践，能够让学习者在应用层面直观观察参数与输出效果之间的关联，从而形成对图像处理算子可解释性的基本认知。

四.基于iFlyCode的窗口程序及界面设计

1.主界面窗口生成

在本节展示“图像处理桌面应用系统案例”的总体开发路径，并明确以 Tkinter 构建主界面作为基础。其方法论核心是“先搭骨架、再填功能”，通过生成可运行的窗口框架，将图像载入、显示区域、功能按钮区与状态提示区等交互要素纳入统一布局，确保应用具备清晰的信息流与操作流。对于桌面应用而言，主界面不仅是视觉呈现，更是事件驱动体系的载体：每一个按钮、菜单项与输入控件都对应回调函数入口，决定算法模块如何被触发、如何接收参数并如何输出结果。

在 iFlyCode 场景下的提示词构建：需要明确要求使用 Tkinter 构建图像处理桌面应用，并设定功能模块、界面布局与交互逻辑。该提示词实践体现了生成式开发的关键原则——需求表达必须结构化，尤其要说明窗口组件、按钮名称、触发功能、图像显示方式与错误处理策略等内容。

在真实开发过程中，项目需要模块化开发，部分功能会在后续持续编程中实现。那么，AI Coding能否持续优化我们的项目呢？

2.代码优化与精准提示构建

本节将重点转向“代码优化”与“精准提示”，并明确后续需要在主界面基础上补充灰度处理、镜像、直方图均衡化、Sobel锐化、均值滤波等功能。读者可结合星火、DeepSeek等大模型构建更丰富提示词，以提升代码质量与可维护性。

五.基于iFlyCode的图像处理系统开发实战

1.图像灰度处理代码实现

本节将实现图像灰度处理功能，并在主界面基础上拓展，以实现版本演进与增量开发。

注意：与前面课程内容不同，这里的代码是在上一小节所生成Python文件的基础上优化，从而实现更丰富的功能！

此外，在AI Coding提示词与代码生成过程中，桌面应用可能出现“结构不一致、变量命名冲突、状态未同步”等问题，因此灰度模块实现不仅要写出算法调用，还要确保其与主界面状态管理一致，如何利用AI优化代码至关重要。

2.图像镜像处理代码实现

接着实现图像镜像处理功能。桌面应用若要具有工具属性，功能不应仅以单一路径实现，而应考虑用户对操作选项的需求，例如镜像方向、是否覆盖原图、是否保存输出等，同时必须保证图像对象在系统中的生命周期清晰可控。因而，在提示词层面需要明确镜像类型与UI交互方式，促使模型生成更贴近真实产品需求的代码结构。

3.其余图像处理代码实现

在本节将直方图均衡化、Sobel锐化、均值滤波等多个功能作为“后续三个功能”进行集中推进，并提出“精简提示词”的要求。通过“精简提示词”的练习，学习者应掌握将重复需求抽象为通用模板的能力，从而使生成式开发在规模化功能扩展时仍保持可控。

总之，该课程将“AI生成能力”引导到“工程组织能力”的轨道上，使学习者不仅能做出功能，更能维持系统随功能增长而不失控。

六.基于iFlyCode的人脸识别系统开发实战

1.人脸识别系统开发

在本节将案例从“图像处理”推进到“图像识别”，并以人脸识别系统作为代表性任务。课程在此强调仍遵循相同的iFlyCode开发路径，其关键在于将识别任务拆解为桌面应用可实现的子流程，例如摄像头/图片输入、检测与标注、结果展示与日志输出等，使识别能力以可交互方式嵌入应用，而非停留在命令行脚本层面。

2.桌面应用系统发布及部署

在本节聚焦桌面应用交付的最后一公里——将 Python + Tkinter 程序打包为 Windows 可执行文件（.exe），并给出以 PyInstaller 为代表的打包路径。最终，课程形成从“生成—运行—扩展—打包”的闭环，使学习者掌握可迁移到真实项目的桌面应用开发方法体系。

对于AI生成代码而言，部署环节常暴露隐藏问题，例如依赖库未正确包含、资源文件路径在打包后失效、OpenCV相关动态库加载异常、以及不同Windows环境下的兼容性差异。课程将打包部署纳入课程，体现其对工程完整性的要求，也符合企业应用对可交付性的基本标准。

七.课程总结与课后实践作业

本课程系统展示了 AI Coding 在桌面应用程序开发中的完整路径，构建了“提示工程—代码生成—工程部署”的现代软件开发教学模式，为 AI 时代编程教育提供了实践范式。课程总结如下：

• 桌面应用程序开发基础

• Python图像处理与识别基础知识

• 基于iFlyCode的窗口程序及界面设计

• 基于iFlyCode的图像处理系统开发实战

• 基于iFlyCode的人脸识别系统开发实战

• iFlyCode上下文编程对话用法

科大讯飞的AI大学堂开源视频地址，强烈推荐大家去学习。

• 《AI Coding入门与实战》第5课 基于iFlyCode的桌面应用程序开发

本课程的开源实践（GitHub: AI-Coding-iFlyCode）为后续教学与研究提供了宝贵的资产。

• https://github.com/eastmountyxz/AI-Coding-iFlyCode

本次课程的作业如下：

• 课程作业1：请了解桌面应用程序开发及图像处理基础知识。

• 课程作业2：请结合课程内容利用iFlyCode开发中文和英文翻译软件的桌面应用程序。

• 课程作业3：请利用iFlyCode开发图像处理与识别桌面应用系统。

• 课程作业4：请利用iFlyCode开发具有网络通信功能的对话客户端系统，能在两个界面进行对话聊天。

Eastmount已正式开启《AI Coding》专栏，将持续发布关于大模型辅助编程、国产AI IDE工具评测、AI自动化开发实战等系列内容，欢迎关注专栏，一起探索智能开发的前沿趋势，不断学习与精进。基础性文章，希望对您有所帮助，写得不好的地方还请海涵！

『网络攻防和AI安全之家』目前收到了很多博友、朋友和老师的支持和点赞，并且保持每周七次更新，尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！

(By:Eastmount 2026-03-03 周二写于贵阳)

跳转微信打开

2025年终总结，感谢大家这一年的支持，感恩！

2024年4月28日是Eastmount的安全星球 —— 『网络攻防和AI安全之家』正式创建和运营的日子，并且已坚持近一年分享。该星球目前主营业务为 安全零基础答疑、安全技术分享、AI安全技术分享、AI安全论文交流、威胁情报每日推送、网络攻防技术总结、系统安全技术实战、面试求职、安全考研考博、简历修改及润色、学术交流及答疑、人脉触达、认知提升等。下面是星球的新人券，欢迎新老博友和朋友加入，一起分享更多安全知识，比较良心的星球，非常适合初学者和换安全专业的读者学习。

”

曾记否，2013年感叹《一万年太久，只争朝夕》；2014年本科毕业写下《忆大学四年的得与失》；2015年选择回贵州工作，《再见北理工》依依不舍；2016年初为一名大学青椒，《教师路的开启，爱情味的初尝》；2017年又借调到省发改委学习忙碌一年，留下《人生百味，有你真好》；2018年数不清的加班，尝不尽的酸甜，《向死而生，为爱而活，忆编程戎马岁月》；2019年奔波考博重返校园，两人通过书信寄托情感，《把能努力的都努力好，最终等待命运垂青》；2020年小珞珞降生，《敏而多思，宁静致远》，希望他永远记住妈妈的辛苦；2021年已为人父，三十而立不再年轻，写下《缘起性空，归来不少年》；2022年异地读博艰辛，家人鼓励，《为梦想擦去蒙尘，愿大家健康平安快乐》；2023年博士毕业，《雄关漫漫真如铁，而今迈步从头越》。

那么，2025年和2024年又写些啥？2024年，自己换了新的工作，很荣幸成为了贵州大学的一员，这一年因为年底要写国基，心中默默许下“国基不中，年终总结停更”，因此错过了去年的年终总结。很幸运，25年开奖命中，因此，值此新春之际，回顾下2025的得与失。这一年，确实发生了很多事，科研、教学、工作、竞赛、分享，今朝得失，仿佛如昨。这一年，更感叹家人和亲情的温暖，责任和陪伴的重要，我们都是万家灯火中的一小盏，没有什么比家人更珍贵，微光如盏，谦以致远。寥寥数笔，仅记录这酸甜苦辣的一年，希望您喜欢！

文章目录

• 一.微光如盏，谦以致远

• 科研总结

• 教学总结

• 技术总结

• 竞赛总结

• 二.万家灯火中的一小盏

• 亲情最美

• 陪伴最美

• 三.2026年展望

一.微光如盏，谦以致远

这一年，除参与实验室组建和学校日常工作外，在科研、教学和技术中也做了些事。

科研总结

这一年，在忙碌中发表和录用了6篇论文，包括4篇SCI论文（SCI二区2篇）和2篇核心论文。其中，XLM4Detector实现了Excel宏代码恶意软件的解混淆和识别；CTI-thinker是团队首篇融合大模型和RAG对威胁知识抽取和推理的研究；SWJZ2Vec说文解字模型实现了古籍的实体识别；发表在《软件学报》的《面向APT攻击的溯源和推理研究综述》，通过50页的内容对自己博士四年的研究进行总结。同时，还有幸参与了8篇论文的发表，在此感谢这一年所有指导和帮助我的老师。

这一年，非常幸运中了四个课题，修改了150多稿的国家自科立项，虽是地区也是自己的心血，希望未来四年能深入研究下“面向高隐蔽攻击的行为检测及溯源推理关键技术”。同时，有幸参与的算力安全省重大专项和主持的两个省级项目也需加油。2025年底，自己第一次获批了省社科项目，“中华民族共同体视域下濒危水书的数智化保护研究”，亦是对自己多年数字人文第二个方向的鼓励，真心希望能为家乡文化保护贡献一丝力量。再次感谢学校和团队的帮助，以及指导我们的老师。

这一年，与好伙伴们合作撰写的四本专著上市，也见证了与伙伴们多年的友谊。《Deepseek赋能日常办公与科学研究开发实践》是自己第一部大模型相关书籍，期待未来Codebuddy、提示工程、智能体、AI安全、Openclaw技术的总结。在此感谢北京航空航天大学出版社、机械工业出版社、人民邮电出版社及编辑老师，感谢超哥、香香老师、杜老师等的合作与支持。感谢2025，始终有一群一起拼搏和深夜交流技术的朋友。

这一年，申请了4个发明专利，有幸参与了3个专利的授权和1个标准的发布。这一年，中国知网再次成为了全国高被引学者5%，未来不知道能否进入全球的高被引学者，感觉难。这一年，有幸成为了科大讯飞大模型领域专家及荣誉讲师，受聘担任人民邮电异步社区图书出版专家顾问。这一年，有幸参与的安全项目荣获新闻行业领域的科技三等奖。

这一年，还有太多科研经历记录于心。大家往往看到的只是一个个数字，看到的是老师有两个假期，然而，这每一份成果的背后都是科研人日夜的艰辛，都是赶车出差途中的忙碌，都是学校与团队背后的支持，都是家庭背后的付出，唯有感恩。大学老师轻松吗？未必。回想起每次带娃补课，他在里面学习，我在外面学习；每次节假日出去旅行，都要背上比几块砖还重的外星人，感慨。2025已悄然逝去，2026希望大家在科研之余，还是多些陪伴，多些锻炼，少些内卷。

教学总结

2025年的九月，我终于拿到了教师资格证。说来惭愧，2016年就成为了一名大学教师，今天才拿到这个证。然而，人生嘛，不是什么事情都总能让人满意的，挫折未必是坏事（自我安慰）。

这一年，自己首次尝试了新工科和新文科的创新教学，在贵州大学阳明学院给大一新生开设了《数字人文技术及运用》通识课程。周二下午的四节连堂，从周五到周一感觉都在备课，融合大模型与贵州特色文化的课程知识，从阳明文化到侗族大歌苗族刺绣，再到濒危水书、屯堡傩戏文化，再到中华民族文化和全国各地非遗数字活化，每次课程都与前沿AI数字化技术进行了融合。确实，教书是一名良心活，只求问心无愧。学生们做的作业和作品我还真挺满意的，尤其看到你们积极融合课程去竞赛，去创新。这一刻，足矣！

• 第1课 走进数字人文：从古籍保护到AI大模型数智化技术
• 第2课 用数据可视化技术探索阳明心学的贵州足迹
• 第3课 古籍数字化保护与危水书智能化识别
• 第4课 非遗数字化探索：侗族大歌与苗族刺绣图腾识别及挖掘
• 第5课 清水江文书数字化整理与古诗词本体及数字人构建
• 第6课 数字人文视角下的贵州生态红色旅游评论智能分析与文创探索
• 第7课 非物质文化遗产数字保护与贵州特色文化数字化传承
• 第8课 新文科视野下的数字人文拓展与实践——大一新生能做什么与怎么做

这一年，有幸给实验室的研究生分享了《信息系统安全》和《人工智能安全》课程，代码实战与科研普及的方式，只求学生们能尽快进入研究生状态，开启自己的第一篇学术论文，融合最新的AI技术。

这一年，与科大讯飞和CSDN合作，联合推出了《AI Coding入门及应用》开源课程。通过八次课程详细概述了iFlyCode如何赋能网站开发、桌面应用程序开发、知识图谱构建以及智能体开发，第二次课已超过万人学习。让世界享受AI的魅力，欢迎大家去讯飞的AI大学堂学习，感谢讯飞和CSDN。

• https://github.com/eastmountyxz/AI-Coding-iFlyCode

师者，传道授业解惑也。希望自己能保持初心，如2016年放弃北京互联网选择回家乡教书一样，认真对待每一名学生。还是那句话，“每当看到一双双求知的眼神，恨不得把所有知识都倾囊相授，也真的很享受每一堂课”。当然，每门课程结束收集学生们的建议也是多年的习惯，只为更好地帮助同学们理解和应用计算机知识，在此感谢所有学生。

技术总结

这一年，只撰写了43篇原创技术文章，是近14年最低的一年。新开设了《AI Coding》《数字人文》《漏洞挖掘与利用》《LLM+AIGC实战》《科研成果分享》等专栏。其中，印象比较深刻的是大模型与系统安全融合的技术文章，也算是对新技术的学习和实践。未来，人工智能技术会持续发展，不知道自己是否还有精力再学习新知识和分享新技术，不再年轻，尽力就好。

• 恶意软件分析 (12)LLM赋能Lark工具提取XLM代码的抽象语法树

• 恶意软件分析 (13)LLM赋能实现基于机器学习的恶意家族分类

• [LLM+AIGC] 08.零基础DeepSeek生成可视化科研图形（NapKin + ChatExcel）

• [安全开源分享] Datacon24漏洞赛道冠军分享：vuln_wp —— 大模型赋能的漏洞自动化分析全解析

• [AI Coding+安全] 二.CodeBuddy赋能恶意代码分析与家族分类实践

• [系统安全] 六十三.Powershell恶意代码检测系列 (6) 混淆和反混淆

• [系统安全] 六十四.漏洞挖掘与利用 (1)WinRAR漏洞在APT攻击中的应用总结

这一年，Github仅提交了510次，新开源了AI-Coding-iFlyCode、LLM-for-Malware、AI-Coding-CodeBuddy、DeepSeek-is-all-you-Need等项目，但更多还是记流水账。希望未来不忙的时候，能分享一些高质量的开源代码。

这一年，有幸被邀请成为了贵州省“护网”演习暨第八届贵阳大数据及网络安全精英对抗赛的裁判，也是自己第一次作为安全类比赛的裁判，与各位前辈和大佬学到了很多知识。此外，自己第五次受邀作为CSDN年度博客之星的专家评委，看到了很多年轻的分享者和新鲜的技术文章；也看到了大模型对原创技术文章的影响，AIGC是给我们带来了便利，还是危害呢？引人深思。但学习AI技术并应用于各行各业已成为趋势，使用者一定要有自己的理解和思考。

这一年，自己作为漏洞挖掘的菜鸟，从零开始学习漏洞安全知识，并获得了人生的第一个CNVD漏洞证书和编号，希望未来自己能掌握这门技术。这一年，跟着AI技术的发展，不断学习了大模型、RAG、MCP、智能体、Skill技术，从DeepSeek到CodeBuddy、iFlyCode，再到OpenClaw、Seedence 2.0，真是学无止境！

竞赛总结

这一年，作为硕导认真指导着研究生撰写论文、参与竞赛、撰写代码和开启科学研究。这一年，作为大一新生的班主任，每周的晚自习、班会、知识分享和谈心谈话，尽力让学生们适应大学的生活。这一年，作为指导老师与研究生、本科生积极讨论竞赛，申报学生的SRT项目。除夕这天下午，还有两位同学还给我发了论文最新版本和竞赛的PPT，我是该高兴呢？还是该高兴。

非常幸运，从中国国际大学生创新大赛到“挑战杯”，从中国研究生数学建模竞赛到全国大学生统计建模大赛，再到全国大学生乡村振兴大赛、全国创新创业大赛，以及学校的“四大文化工程”、博士村长等。在陈老师的带领下，我们参加了各种各样的比赛。这一年，我们竞赛获奖24项，国家级6项，省部级6项，校级12项。很多个夜晚我们都在讨论创新、选题和PPT，再忙碌的日子你们总会第一时间修改返稿。看着你们奋斗滴汗，作为老师非常开心，你们也非常给力，希望你们能珍惜这段日子。

这一年，每周都会解答陌生网友的问题，累计应该有近千次。这一年，做了好几次技术分享，与好几位博友线下面基。这一年，得到了很多很多人的帮助，也认识了很多厉害的人师。这一年，就这样离去。

再次感谢所有的同行者。微光如盏，谦以致远；知行合一，砥砺前行，感恩！

二.万家灯火中的一小盏

2025年，忙碌苦辣中又带着淡淡的酸甜。这一年，让我更加感受到了亲情的温暖，爱情的甜蜜和陪伴的重要。确实，我们都只是万家灯火中的一小盏，生活中的挫折并不可怕，但一定要勇敢，一定要热爱生活。

亲情最美

亲情是什么？是妈妈永远给孩子夹的那根冒着热气的鸡腿，是爸爸悄悄给孩子修好的玩具赛车，是老婆过年前在商场忘记自身却给丈夫买的那件红毛衣，是离家时后备箱被塞得满满当当的腊肉火腿，是一家人携手共渡难关，更是小珞小贝口中一声声的“爸爸妈妈”。当了父母之后，越发觉得没有什么比亲情和陪伴更美好，越发觉得一家人平平安安、健健康康、开开心心才是生活，才是家。

陪伴最美

这一年，即使再累再忙，每个周末都会带两个小可爱出去玩耍爬山。小朋友的笑容真的很治愈，总能给一家人带来欢声笑语，但有时候调皮得又也让人愤怒。

一月，我们看了非遗喷火和青岩古镇。二月，我们见到了雄伟的FAST大锅，在天河潭看了五彩的喀斯特溶洞。三月，镇山村、银子坡的阳光和野菜诱人，挖野菜、采泡已经成为日常。

四月，一家人去到了乌江百里画廊，船在江上行，人在画中游。五月，回到了美丽的老家施秉，可惜两个小宝高烧返程。六月，博物馆、图书馆、恐龙小镇、河滨公园都是常客，露台烧烤更是美味极了，我们小妹也周岁喽。

七月，在省外，小珞最喜欢的三星堆面具看了，七彩梦幻九寨沟看了，变脸川剧看了，火锅也吃了；在省内，水东乡的徒步走了，安顺屯堡地戏品了，外星球石头摸了，肥肠烧烤也吃了。

八月，去到关岭考古小珞和女神手都敲麻了，去到高坡看梯田和捉昆虫，回到家乡施秉终于漂了一次流。九月，小哥哥开学了，周边的各种公园徒步玩耍。

十月，国庆节一家人去泉州看海抓螃蟹，生日期间妈妈又带小珞去广州珠海长隆爽完，小朋友开心极了，这一刻，你就是最幸福的宝贝，辛苦妈妈了。可怜我小贝因为太小只能在家哼唧。

十一月，小妹大一点终于被带出来玩了，她也感受到了大自然的魅力。十二月，两小个陪伴着公园里遛弯跨年，一家人鼓励着奶奶康复，团团圆圆才是真。