安博通2025财报解读

安博通2025年处于从传统网安向AI算力生态的战略切换期，经营呈现"高毛利、高亏损、高费用"的极端组合。

营收5.56亿元（同比-24.54%），从2024年历史峰值7.37亿回落至2023年水平。下滑有两个原因：一是主动收缩低毛利安全产品，二是智算中心项目年底未完成验收，收入确认延后。扣除贸易类收入后核心业务营收仅2.24亿元，收缩幅度更大。

产品结构发生根本性转变——安全人工智能业务收入3.75亿元，占营收67.6%，毛利率90.91%；传统安全产品收入1.80亿元，同比下降38.28%。这推动综合毛利率跳升至79.49%（+13.53pct），创上市以来新高，但建立在收入基数缩小的基础上。

费用端是最大矛盾点。四项费用合计6.13亿元，已超过5.56亿营收。销售费用3.84亿元（同比+72.83%），费用率从30.2%飙升至69.1%，主因是AI算力业务的渠道咨询费。与此同时销售人员从85人降至31人，说明费用增长来自外部渠道而非自有团队。研发费用1.14亿元（-28.51%），研发人员从185降至94人，产品迭代能力承压。

利润持续恶化。归母净利润-1.54亿元（亏损扩大29.47%），扣非净利润-1.54亿元，非经常损益仅74万元——亏损完全来自主营业务。两年累计亏损2.73亿元，净资产从11.22亿降至9.89亿。信用减值损失从1.38亿降至2,499万元，是少数正面信号。

现金流由正转负。经营现金流从+1.57亿变为-2.23亿，主因是智算中心项目采购支出（存货从0.47亿增至2.20亿）。期末现金仅1.25亿元。应收账款占营收比从75%降至55.4%（五年最低），但合同负债增长785%至3,670万元，可能反映新签订单的预收款。

组织层面，员工从477人降至241人（-49.5%），所有岗位全面收缩。人均营收154.87万元基本持平，说明收入下降与减员幅度同步。第一大客户占比58.94%，客户集中度风险显著。

公司明确从"可视化网络安全技术创新者"转向"AI时代安全算力生态构建者"。技术上以"溢彩"AI交付架构和"鲁班"安全大模型为基座，形成AI赋能安全、安全守护AI的双向闭环。2025年中标郑州人工智能计算中心（二期）2.10亿元，承担算力集群建设运维一体化。同时布局海内外存储模组市场，构建"软件+硬件模组"深度融合的供应链平台。

安博通正以员工减半、现金消耗、亏损扩大的代价完成业务结构切换。毛利率79%和AI收入占比68%证明结构转型已经发生，但69%的销售费用率、-2.23亿现金流、1.25亿在手现金说明转型的财务代价仍在加速释放。2026年的关键验证点：智算中心项目验收能否兑现为收入和利润，在手现金能否支撑运营，将决定这次转型是战略先手还是战略冒进。

（分析师：黄义博）

（本文不构成投资建议，按此操作后果自负）

跳转微信打开

以下文章来源于：悬镜安全

悬镜安全，作为新一代 AI 数字供应链安全开拓者，首创基于“AI 原生安全+ DevSecOps 敏捷安全+多模态SCA+AI 供应链安全情报预警”技术的新一代 AI 数字供应链安全治理体系，持续守护新一代 AI 数字供应链安全。

悬镜多模态 CA技术重磅跃迁！智能情报驱动，以AI治理AI！

组件依赖如同虾须般层层缠绕，供应链投毒、隐蔽漏洞与 AI 模型风险隐匿其中，看不见、摸不着、防不住。面对 0day 频发、攻击常态化的 AI 数字供应链新环境，传统 SCA 对复杂依赖洞察不足、覆盖有限，已难以适配新场景，企业亟需更智能、更前置的安全能力。

面对复杂的 AI 数字供应链场景，多模态源鉴 SCA 迎来重磅能力跃迁，深度践行悬镜 “AI 治理 AI” 技术理念，以 AI 为核心驱动，深度整合全场景检测能力，构建智能、闭环的 AI 数字供应链安全防线。依托 AI 情报预警这一核心能力，多模态源鉴 SCA 有效打破传统安全局限，实现从被动补漏到主动防御的跨越，全面覆盖源码、二进制、容器、运行态及 AI 模型等多维场景，真正做到全域可视、风险可控，为企业 AI 数字供应链安全提供坚实可靠的全方位守护。

在 AI 数字供应链风险常态化、0day 漏洞频发的背景下，多模态 SCA 五大核心引擎中的 AI 驱动开源供应链情报预警能力，正成为安全防护体系中的关键前哨。平台依托 AI 算法构建全维度情报分析体系，整合海量 AI 数字供应链相关数据，实现威胁情报的实时采集、精准研判与快速推送，高效捕捉 0day/1day 漏洞、供应链投毒、组件断供等高风险事件，并自动关联企业内部 AI 数字供应链资产，精准圈定风险影响范围，同步输出兼容升级建议、漏洞缓解方案与合规处置策略。

在小龙虾等 AI 数字员工治理场景下，平台还可围绕其依赖的模型、组件、插件、工具链与外部连接持续感知上游风险变化，帮助企业看清 AI 数字员工“依赖了什么、受影响于什么、风险可能从哪里传导而来”，推动治理对象从传统软件供应链进一步延伸至智能体供应链。

作为多模态 SCA 五大核心引擎的关键一环，源鉴 SCA 针对性解决 AI 数字供应链的核心痛点。依托 AI 模型相似度检测与血缘图谱技术，对 AI 模型、数据集及配置文件进行全维度深度扫描，精准识别“影子”模型、模型漏洞、恶意组件、风险文件及合规隐患，支持导出 AI-BOM，实现 AI 数字供应链全链路资产可视、风险可管、全程可溯，填补 AI 模型供应链安全治理的关键空白，与 AI 情报预警协同，构建“检测+预警”双重防护，以 AI 技术治理 AI 带来的安全风险！

这一能力同样适用于小龙虾等 AI 数字员工背后运行基础的梳理与识别，可帮助企业厘清其依赖的模型、数据集、配置文件与组件关系，识别隐藏模型、异常依赖与潜在风险文件，让 AI 数字员工的运行底座更加清晰、可查、可控。

基于悬镜独有的源码组成分析引擎，从组件引入源头筑牢安全防线，深度解析 AI 数字供应链依赖关系，呈现清晰的依赖图谱，同步识别漏洞与许可证风险；通过智能同源检测，快速发现代码复用与侵权隐患，从源头减少 AI 数字供应链的安全包袱，为 AI 情报预警提供精准的资产基础。

针对 AI 数字供应链的无源码场景与云原生需求，提供强大的离线检测能力，对 APK、SDK 等成品进行深度审计，识别漏洞与后门隐患；通过分层检测，全面排查镜像内组件风险，保障AI数字供应链相关产物安全可信，为 AI 情报预警提供全场景风险数据支撑！

弥补静态检测盲区，实现 AI 数字供应链运行态风险可视，实时监控进程与依赖组件，精准捕捉业务真实使用的第三方依赖风险，形成“静态+动态”双重防护，让 AI 数字供应链的隐蔽风险无所遁形，与 AI 情报预警形成协同，构建全方位风险防控体系。

作为五大核心引擎之一，依托 AI 模型相似度检测与血缘图谱技术，对 AI 模型、数据集及配置文件进行深度扫描，精准识别“影子”模型、恶意组件、合规隐患等问题，支持导出 AI-BOM，为 AI 数字供应链全链路资产可视与风险可控奠定基础，与 AI 情报预警协同发力，实现AI模型供应链全周期治理。

面向新时代 AI 数字供应链安全刚需，智能威胁预警引擎依托海量行业数据与实时情报分析能力，快速捕获 0day 漏洞、组件弃用等突发风险，并自动关联企业内部 AI 资产，实现隐患前置规避，与模型治理能力协同联动，成为守护供应链安全的 “前置哨兵”。

攻以守本，唯快不破！源鉴 SCA 深度践行悬镜“智能情报驱动，以 AI 治理 AI”核心技术理念，首创多模态 SCA 五大核心引擎，依托 AI 情报预警与 AI 模型安全扫描能力，全方位覆盖 AI 数字供应链各环节。在 AI 技术广泛应用、安全需求持续升级的新时代，以 AI 治理 AI 实现全域风险可视、全程可控，兼顾安全与效率，为企业 AI 数字供应链筑牢安全屏障，护航业务稳步前行！

跳转微信打开

2026年3月，某中心发布网络安全保险数据智能化处理系统开发服务项目招标公告，预算金额150万元，项目需求如下：

通过本项目开发1套网络安全保险数据智能化处理系统，作为整个平台的数据中枢，负责打通教育、供需、安全等子系统数据壁垒，实现高效的数据采集、清洗、存储、共享与分析，为AI模型训练与智能服务推荐提供数据支撑，提升平台的智能化水平与业务决策能力。

近日该项目发布中标公告，由北京金睛云华科技有限公司中标，中标金额145万元。

一、项目背景

本系统作为整个平台的数据中枢，负责打通教育、供需、保前、保中、保后、安全等子系统数据壁垒，实现高效的数据采集、清洗、存储、共享与分析，为AI模型训练与智能服务推荐提供数据支撑，提升平台的智能化水平与业务决策能力。

二、项目目标

一是统一存储平台数据。接入保前风险分析、保中威胁信息服务、保后损失评估、教育培训实训、供需对接、网络安全技术服务基础资源池等子系统，统一存储各系统网络安全风险信息数据、保险数据、业务数据等，打通各系统间的数据屏障。

二是处理和分析平台数据。整合风险评级、风险预警、出险等服务流程的数据链集合，提供数据收集、清洗、分析、挖掘等功能，为各系统提供数据应用接口，减轻各子系统算力，推动系统数据有效互通。

三是建设保险服务信息数据库。汇集安全事件数据、市场情景数据等公开数据，以及平台风险监测数据、威胁情报数据、风险暴露数据、安全事件数据、漏洞数据等安全数据，网络安全保险条款、案例数据、损失事件数据、赔付数据等保险数据以及各系统运行的业务数据，为供需对接系统、教育培训系统大模型的应用提供基础数据支撑。

中标单位简介：

北京金睛云华科技有限公司,国家级专精特新“小巨人”企业，创立于2016年,总部设在首都北京。作为一家以AI驱动安全为核心的新一代网络安全产品与引擎提供商,金睛云华致力于为客户提供先进的网络安全智能解决方案。

公司创始人及核心团队成员大多来自清华大学KEG实验室、华为、启明星辰以及东软等行业领军机构,拥有超过二十年网络安全和人工智能领域的专业经验和深厚的技术积淀。至今公司已申请了百余项与人工智能相关的网络安全专利。金睛云华在北京和沈阳分别设立了研发中心与安全运营中心并在全国范围内,包括北京、上海、广州、深圳在内的二十多个省市构建了广泛的营销和服务网络，实现了从研发到市场推广再到客户服务的全方位战略布局。

跳转微信打开

暗网情报技术能力框架及参考指标体系

—— 指导性技术文件 ——

（2026版）

版本编号：DW-TI-CF-2026

发布时间：2026年4月

主要起草单位：

北京零零信安科技有限公司

发布方：

数世咨询

联合发布方：

中关村华安关键信息基础设施安全保护联盟（关保联盟）

奇安信威胁情报中心

绿盟科技鹰眼安全运营中心

北京微步在线科技有限公司

PCSA安全研究院

厦门慢雾科技有限公司

北京赛博英杰科技有限公司

数说安全

特别鸣谢：正奇学院

目录

摘要 4

关键词 5

第一章 绪论 5

1.1. 研究背景与意义 5

1.2. 国内暗网威胁生态现状 6

1.3. 现有评估体系存在的问题 6

1.4. 本框架编制依据与参考标准 8

1.5. 框架适用对象与使用场景 9

第二章 总体设计 10

2.1. 设计原则 10

2.2. 框架整体结构 11

2.3. 能力分级定义 11

2.4. 评估范围与边界说明 12

第三章 Traditional Dark Web 威胁源采集和反爬对抗能力 12

3.1. 威胁源采集广度 13

3.2. 威胁源采集深度 15

3.3. 防御策略 / 反爬对抗能力 17

3.4. 情报采集时效性 20

3.5. 暗网波动对抗能力 22

第四章 Dark Web Lite 威胁源采集能力 23

4.1. 威胁源采集广度 24

4.2. 威胁源采集内容解析度 26

4.3. 威胁源采集量 27

4.4. 威胁源采集效果优化 29

第五章 暗网情报智能分析能力 31

5.1. 关键实体信息提取 31

5.2. 情报分级分类 33

5.3. 情报分析时效性 35

5.4. 多维度向量检索 36

5.5. 情报知识图谱构建 38

第六章 暗网情报高保真复制和持久化存档能力 39

6.1. 高保真复制 40

6.2. 多媒体解析与向量检索 42

6.3. 持久化存档稳定性 44

6.4. 风险控制与使用便利性 45

第七章 中文暗网生态环境威胁识别能力 47

7.1. 中文 Traditional Dark Web 识别 48

7.2. 中文 Dark Web Lite 识别 49

7.3. 侵公威胁源识别 51

第八章 海量泄露数据知识库能力 53

8.1. 历史知识库积累规模 53

8.2. 新增数据扩展速度 55

8.3. 数据库响应速度 56

第九章 事件处置与响应闭环能力 58

9.1. 暗网事件风险等级研判 58

9.2. 协助泄露源调查 60

9.3. 危机应对指导 62

第十章 2026版框架体系结语 63

第十一章 未来展望 64

11.1. 设计目的 64

11.2. 暗网威胁生态未来演变趋势 65

11.3. 暗网情报技术能力未来发展方向 66

11.4. 本框架未来迭代方向 67

11.5. 结语 67

参考文献 68

本框架由数世咨询发布，北京零零信安科技有限公司作为主要起草单位，与中关村华安关键信息基础设施安全保护联盟（关保联盟）、奇安信威胁情报中心、绿盟科技鹰眼安全运营中心、北京微步在线科技有限公司、PCSA（行业云安全能力者联盟）智御未来安全研究院、厦门慢雾科技有限公司、北京赛博英杰科技有限公司、数说安全等机构联合发布。

框架聚焦网络安全领域暗网情报能力，全面覆盖Traditional Dark Web（传统暗网）与Dark Web Lite（轻暗网）双生态，构建包含威胁源采集与反爬对抗、智能分析、高保真存档、中文生态识别、海量泄露数据治理、事件处置与响应闭环在内的七大核心能力域，形成全链路、可量化、可落地的技术能力评估体系。

框架立足国内暗网威胁实战特征，针对数据泄露、勒索软件、IAB 交易、侵公威胁等本土高发风险，明确统一分级标准与量化指标参数，解决当前行业能力定义模糊、评估主观化、标准不统一、本土化适配不足等突出问题。本框架为指导性参考文件，不设强制性标准与固定权重，可灵活适配安全厂商、政企机构、监管与研究单位在能力自评、供应商选型、产品研发、安全运营、行业对标等场景使用。

随着暗网威胁持续迭代演化，本框架旨在为行业提供统一、科学、实战化的能力标尺，推动国内暗网情报能力向体系化、专业化、实战化方向高质量发展。

鉴于我国暗网情报技术领域与国际水平存在约10年代差，本框架当前设计主要参考国际已成熟的技术体系。为前瞻性应对暗网犯罪生态的演进，报告最后特别增加“未来展望”章节，基于国际前沿技术与趋势进行预研，以提升框架对于我国暗网情报能力建设的战略指导性和长期适用性。

关键词

暗网情报；Traditional Dark Web；Dark Web Lite；中文暗网；数据泄露监测；勒索软件；反爬对抗；高保真存档；应急响应；能力框架

点击左下角原文链接下载pdf报告。

第一章 绪论

绪论部分主要阐述本框架的研究背景、现实意义、国内暗网威胁生态现状、当前行业存在的突出问题、编制依据与参考标准，以及框架的适用对象与使用场景，为后续能力体系设计提供整体逻辑与定位支撑。

1.1.研究背景与意义

近年来，全球网络犯罪持续向暗网迁移，勒索软件攻击、数据泄露交易、RaaS 产业化、黑客组织协作、IAB 买卖与侵公类威胁在暗网生态内呈规模化、常态化、组织化趋势，已成为危害关键信息基础设施、企业数据安全与社会公共利益的突出风险。传统威胁情报体系对暗网威胁覆盖不足、采集能力参差不齐、分析标准不统一、评估维度缺乏共识，导致政企机构在暗网情报能力建设、供应商选型、服务质量判定、安全运营闭环等方面缺少统一、可量化、可落地的参考依据。

在此背景下，构建一套覆盖暗网情报威胁源采集、反爬对抗、智能分析、高保真存档、中文暗网识别、海量泄露数据治理、事件应急响应的全链路技术能力框架，具有重要的现实意义与行业价值。本框架通过统一评估标准、明确能力等级、量化关键指标，可为安全厂商、政企单位、监管机构提供可参照、可核验、可落地的技术标尺，助力提升暗网威胁发现、预警、溯源与处置能力，完善数据泄露与勒索软件攻击的事前监测、事中响应、事后闭环体系，推动国内暗网威胁情报领域向标准化、专业化、实战化方向发展。

1.2.国内暗网威胁生态现状

为清晰界定框架覆盖范围，先对两类核心暗网形态进行定义：

1.Traditional Dark Web（传统暗网）

指基于 Tor、I2P 等匿名网络搭建，需专用浏览器与特殊网络配置才可访问的封闭网络空间。典型形态包括黑客论坛、勒索软件数据泄露站点、数据交易市场、IAB交易平台、RaaS 服务站点等，具有强匿名、高隐蔽、长期存续、结构固定等特征。

2.Dark Web Lite（轻暗网）

指基于加密通讯软件、封闭社群、私密频道 / 群组形成的次生地下生态。无需传统匿名网络即可访问，但具备封闭、加密、邀请制、隐蔽交易等特征，是当前数据泄露贩卖、勒索通知、入侵工具流通、侵公查档、黑灰产协作的主要载体，具有传播快、波动大、迭代快、规模庞大等特点。

当前，国内网络犯罪与地下黑灰产已形成 Traditional Dark Web 与 Dark Web Lite 并行、相互协同、全域覆盖 的复杂威胁生态。Traditional Dark Web 作为核心攻击组织与数据贩卖的策源地，持续输出威胁能力与交易规则；Dark Web Lite 则承担大规模数据流通、实时交易、攻击协作与扩散分发功能，二者共同构成规模化、产业化、链条化的地下产业体系。

受反爬策略、地址轮换、平台封禁、执法行动、加密机制等影响，两类威胁源均呈现高波动、高对抗、高隐蔽特性，传统监测与情报手段难以实现稳定采集、及时分析与有效闭环，对政企机构安全防御与行业监管治理构成显著挑战。

1.3.现有评估体系存在的问题

当前国际暗网情报技术领域正处于快速发展阶段，我国尚处于萌芽阶段，行业标准、技术边界、能力定义、评估体系均未统一，在实践中存在诸多突出问题：

一是暗网情报技术领域界定模糊，易与传统威胁情报混淆。行业常将暗网情报（DWI/DWTI）与网络威胁情报（CTI）、漏洞情报、高级持续性威胁（APT）情报、开源情报（OSINT）、互联网舆情等概念混用，未能清晰区分其监测对象、覆盖范围、技术路径与应用场景，导致能力建设方向不明确。

二是暗网情报的领域独立性未被充分认知。暗网情报虽常被交叉纳入数字风险保护（DPRS）、外部攻击面管理（EASM）、扩展威胁情报（XTI）、网络空间测绘、黑灰产威胁等其他网络安全领域，但因其所面向环境的封闭性、高对抗性、生态化特征，且更聚焦于入侵既成事实后的及时发现、溯源与处置，具备显著的领域独立性，现有评估体系未能体现这一核心特点。

三是暗网研究方向不清晰，易出现范畴错位。全球范围内对暗网的研究已分化为多条技术路线：一类以暗网基础设施、节点与流量为研究对象；一类以执法打击毒品、人口贩卖等犯罪为目标；第三类则聚焦网络安全领域，研究非法数据交易、IAB 攻击情报、企业与国家机密泄露、ATO 威胁、RaaS 产业化等内容。当前行业评估未明确界定研究范畴，易造成对象错位、标准失焦。

四是能力定义不统一，边界模糊。不同机构对 Traditional Dark Web 与 Dark Web Lite 两类生态的覆盖范围、监测重点、评价维度缺乏共识，能力描述主观化、碎片化，难以形成统一对标。

五是缺乏量化指标，评估偏主观。现有评价多以 “覆盖广”“时效性强”“分析精准” 等定性描述为主，缺少可核验、可对比、可落地的量化标准，无法客观衡量采集规模、响应时延、数据质量、对抗能力、处置闭环效果。

六是国内外标准脱节，本土化适配不足。国际通用评估体系未充分考虑中文暗网生态、IAB 交易、数据贩卖、侵公威胁等国内高发威胁形态，直接套用难以满足实战需求。

七是能力碎片化，未形成全链路视角。多数评估仅聚焦单一环节，缺少对 “采集 — 对抗 — 分析 — 存档 — 溯源 — 应急” 全流程的体系化设计，无法支撑政企机构构建完整的暗网威胁治理闭环。

1.4.本框架编制依据与参考标准

本框架在编制过程中，充分对标全球暗网情报领域成熟评估体系，结合国内网络安全监管要求与本土化暗网威胁特征，形成兼顾国际先进性、行业实用性与场景针对性的技术能力标尺，主要编制依据如下：

一是国际权威行业研究与评估框架。框架参考 Javelin Strategy & Research《Dark Web Threat Intelligence Vendor Scorecard 2025》、Gartner《Market Guide for Threat Intelligence Products and Services 2024》、Forrester《The State of Threat Intelligence 2025》《External Threat Intelligence Service Providers Landscape 2025》等全球主流机构的研究方法论、能力维度与评估逻辑，借鉴国际先进的暗网情报能力划分、指标设计与实践经验，确保框架体系完整、维度科学。

二是国内网络安全监管与实战需求。立足我国网络安全法律规范、数据安全管理要求及关键信息基础设施保护需求，聚焦中文暗网生态、IAB 交易、数据泄露贩卖、勒索软件、RaaS 产业化、侵公类威胁等本土高发场景，强化对 Traditional Dark Web 与 Dark Web Lite 双生态的覆盖，突出可落地、可量化、可核验的实战导向。

三是国内暗网情报领域产业实践。综合国内主流安全厂商、政企安全运营单位、威胁情报服务机构的技术能力现状与建设痛点，围绕采集、对抗、分析、存档、溯源、应急等全流程环节，形成符合国内产业发展阶段、可普遍适用的能力分级与指标体系。

四是领域专属技术特性。严格遵循暗网情报的独立性、生态性、封闭性、高对抗性特征，聚焦 “入侵既成事实后的及时发现、溯源与处置” 核心定位，明确本框架仅面向网络安全领域范畴的暗网情报能力，即针对非法数据交易、IAB 攻击情报、国家 / 企业机密泄露、ATO 威胁、RaaS 服务等相关威胁的监测、分析与处置能力，不包含暗网基础设施研究及非网络安全类执法研究方向，确保框架边界清晰、定位精准。

1.5.框架适用对象与使用场景

本框架聚焦网络安全领域内的暗网威胁情报能力，面向全行业提供统一、可量化、可落地的技术评估标准，具备广泛的适用性与实践价值。

1.5.1.适用对象

1．安全产品与服务厂商：用于暗网情报相关产品研发、能力迭代、服务标准化与对外能力展示。

2．政企及关键信息基础设施运营单位：用于暗网情报能力自查、建设规划、安全运营评估与供应商选型对标。

3．监管与研究机构：用于行业态势分析、技术标准制定、领域研究参考及产业规范化指导。

4．测评与认证机构：用于暗网情报产品 / 服务的测试、检验、评估与定级依据。

1.5.2.主要使用场景

1．能力自评与规划：机构可对照指标体系开展全面自检，明确短板，制定分阶段建设路线。

2．供应商选型与验收：以量化指标为标尺，客观对比厂商能力，规范项目需求与验收标准。

3．产品设计与研发：为暗网监测、采集、分析、存档、溯源、应急响应等系统开发提供能力蓝图。

4．安全运营与实战处置：指导建立 “发现 — 分析 — 研判 — 溯源 — 闭环” 的暗网威胁应急处置流程。

5．行业交流与对标：为行业内能力对比、技术交流、实践分享提供统一口径与共识基础。

第二章 总体设计

本章明确框架的核心设计原则、整体能力结构、统一分级标准与评估边界，是全文的纲领性章节，用于规范后续所有能力维度的定义、划分与评价口径。

2.1.设计原则

本框架遵循科学性、系统性、实战性、独立性、本土化五大核心设计原则，确保体系完整、逻辑严谨、可落地、可核验。

1．科学性原则：对标国际权威评估体系，采用可量化、可验证、可对比的指标设计，避免主观定性描述。

2．系统性原则：覆盖暗网情报全技术链条，形成 “采集 — 对抗 — 分析 — 存档 — 治理 — 响应” 的完整闭环。

3．实战性原则：聚焦真实威胁场景，以数据泄露、IAB 交易、勒索软件、RaaS、侵公威胁等本土高发风险为核心导向。

4．独立性原则：明确暗网情报专属技术边界，突出其生态封闭性、高对抗性、事后发现与快速处置的领域特性。

5．本土化原则：深度适配中文暗网生态、Traditional Dark Web 与 Dark Web Lite 双域并行特征，贴合国内监管与运营需求。

2.2.框架整体结构

本框架围绕暗网情报全生命周期能力构建，共设7 大核心能力域，全面覆盖技术实现、运营效能与服务闭环：

1．Traditional Dark Web 威胁源采集和反爬对抗能力

2．Dark Web Lite 威胁源采集能力

3．暗网情报智能分析能力

4．暗网情报高保真复制和持久化存档能力

5．中文暗网生态环境威胁识别能力

6．海量泄露数据知识库能力

7．事件处置与响应闭环能力

各能力域下设二级指标项，统一采用基础、良好、优秀三级评定标准，形成层次清晰、维度完整、可量化评估的技术能力体系。

2.3.能力分级定义

本框架对所有指标统一划分为三级能力水平：

1．基础级：具备核心功能与基本覆盖，满足最低可用要求，以人工或半自动化方式实现主要流程。

2．先进级：具备较高自动化水平与规模化处理能力，时效性、稳定性、完整性明显提升，可支撑常态化运营。

3．优秀级：具备全流程自动化、高对抗性、高保真、高时效与全域覆盖能力，达到行业领先与实战化标杆水平。

2.4.评估范围与边界说明

1．领域边界：本框架仅针对网络安全领域的暗网情报能力，聚焦非法数据交易、IAB 攻击情报、企业 / 机构机密泄露、ATO 威胁、勒索软件、RaaS 等相关威胁；不包含暗网基础设施研究、流量分析、非网络安全类犯罪打击等其他研究方向。

2．生态边界：同时覆盖Traditional Dark Web与Dark Web Lite两类核心威胁生态。

3．对象边界：聚焦黑客论坛、勒索泄露站点、数据交易市场、加密通讯群组、封闭交易频道等网络犯罪相关载体，不含合法匿名网络使用场景。

4．功能边界：以监测、采集、分析、存档、溯源、研判、应急处置为主，不涉及入侵、攻击、控制等违法违规技术能力。

5．合规性边界：本框架为技术能力参考文件，相关能力的建设与使用应遵循《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》等法律法规要求。使用方在具体实施过程中，应自行确保各项操作符合适用法律及监管规定。

第三章 Traditional Dark Web 威胁源采集和反爬对抗能力

Traditional Dark Web 是基于 Tor、I2P 等匿名网络构建的高隐蔽、高对抗性地下生态空间，主要承载黑客论坛、勒索软件数据泄露站点、数据交易市场、IAB 交易平台、RaaS 服务等网络犯罪相关载体。本章从采集广度、采集深度、反爬对抗、时效性、波动应对、引擎安全六个维度，构建 Traditional Dark Web 威胁源采集与对抗能力的量化评估体系。

3.1.威胁源采集广度

3.1.1.设计目的

威胁源采集广度是暗网情报技术能力体系建设的基础性核心指标。其核心设计目的在于：最大限度降低暗网威胁事件的漏检风险，保障数据泄露监测的全面性与及时性。

在实际网络安全攻防场景中，攻击者在完成数据窃取后，通常会在多个暗网威胁源进行数据流通与贩卖。若监测体系的采集范围有限，未能实现对核心暗网生态的全覆盖，则极有可能出现相关暗网情报未被监测到的情况。这将直接导致相关单位在数据泄露发生后，无法在威胁早期阶段获取有效预警，进而错失阻断威胁传播、控制泄露影响范围的最佳时机。

因此，威胁源采集广度直接决定了暗网情报体系的发现窗口与响应前置性。只有具备足够的采集广度，才能确保在数据泄露事件发生后，相关敏感信息在暗网流通的第一时间实现及时发现与响应，为后续开展风险评估、事件研判、溯源取证及应急处置提供全面、可靠的情报支撑。

3.1.2.设计依据

本指标主要参考 Javelin Strategy & Research《Dark Web Threat Intelligence Vendor Scorecard（2025）》中关于“Source Collection（威胁源采集能力）”的评估维度，并结合全球暗网威胁源的实际分布特征与国内网络安全实战需求进行设定。

全球暗网站点数量庞大，但绝大多数为毒品、违禁物品、虚假证件等非网络安全类犯罪内容，与网络安全直接相关的网络犯罪生态站点（含黑客论坛、勒索软件泄露站点、数据交易市场、IAB 交易平台等）数量相对集中。从全球实战监测情况来看，真正具备高情报价值、持续活跃的核心威胁源根域，通常集中在数十至数百个范围内。

因此，本框架以威胁源根域数量作为核心量化标准，并结合行业能力现状划分三级阈值：

n200 个以上：代表具备行业领先的采集覆盖能力，可覆盖绝大多数高价值网络安全类威胁源，包括主流黑客论坛、活跃勒索组织站点及核心数据交易市场，监测范围达到国际一线暗网情报厂商水平，具备全面的暗网威胁发现能力。

n50 个以上：代表具备良好的监测覆盖能力，可有效掌握主要高价值威胁源，能够满足各类机构常态化风险预警与安全运营需求。

n5 个以上：代表满足基础监测能力要求，可覆盖当前最活跃的核心黑客论坛及少量关键泄露站点，能够支撑最基本的暗网威胁关注与发现。

该指标设计充分贴合暗网威胁源的真实分布规模，同时合理划分能力梯度，确保指标具备可操作性、可对比性与行业普遍适用性。

3.1.3.指标参数

威胁源采集广度以威胁源根域数量作为核心量化指标，具体分级标准如下：

指标说明

威胁源根域数量指可稳定监测并持续采集的网络安全相关网络犯罪生态暗网根域总数。该指标重点关注高价值威胁源覆盖范围，而非暗网站点总体数量。通过该量化标准，可客观评估在 Traditional Dark Web 领域的采集覆盖能力，为后续采集深度、反爬对抗及情报分析能力奠定基础支撑。

3.2.威胁源采集深度

3.2.1.设计目的

威胁源采集深度是评估暗网情报采集能力的重要指标。其核心设计目的在于衡量能否及时、全面地获取暗网威胁源中新发布的高价值内容。

在实际威胁场景中，攻击者窃取相关单位数据后，往往会通过暗网论坛、泄露站点或交易市场发布相关情报。若对新帖的采集深度不足，则可能无法及时发现此类高价值事件，导致相关单位在数据泄露发生后错失早期预警窗口，无法有效采取阻断传播、降低损失的应对措施。

因此，威胁源采集深度直接关系到能否在威胁情报出现的关键阶段实现及时发现，从而为后续风险评估、事件研判和应急处置提供可靠的数据支撑。该指标以 New Post 每日采集量作为量化依据，重点考察对高价值新内容的抓取能力。

3.2.2.设计依据

本指标主要参考 Javelin Strategy & Research《Dark Web Threat Intelligence Vendor Scorecard（2025）》中“Source Collection（威胁源采集能力）”的评估维度，并结合 Traditional Dark Web 威胁源的实际发布特征与国内网络安全实战需求进行设定。

Traditional Dark Web 威胁源中，高价值情报主要以 New Post（新主帖）的形式发布，涵盖数据贩卖帖、数据库泄露帖、勒索软件通告、IAB 交易帖等核心内容。此类新帖的出现频率与数量，直接反映了暗网网络犯罪活动的活跃程度，也是采集能力需重点覆盖的核心对象。因此，本框架以 New Post 每日采集量 作为核心量化标准，用以评估对高价值情报的抓取深度。

指标分级设计综合考虑三大核心因素：一是全球主要黑客论坛和勒索组织泄露站点的实际发帖规模；二是高价值情报在暗网的分布特点与传播规律；三是不同能力层级在实战中的差异化表现。通过设定科学合理的量化阈值，确保该指标既具备科学性与合理性，又能清晰体现不同采集能力在抓取深度上的实际差距，满足行业评估与实战应用需求。

3.2.3.指标参数

威胁源采集深度以 New Post 每日采集量 作为核心量化指标，重点评估对高价值新内容的抓取能力，具体分级标准如下：

指标说明

New Post 指暗网威胁源中新发布的主帖，核心涵盖数据贩卖帖、数据库泄露帖、勒索软件通告、IAB 交易帖等高价值内容，是反映暗网威胁动态的核心载体。

该指标通过量化每日新增主帖的采集数量，客观反映采集能力的深度与全面性 —— 采集量越多、覆盖越全面，越能及时捕捉到暗网中的高价值威胁信息，为后续的情报分析、风险预警以及应急处置，提供真实、有效的数据支撑，避免因遗漏关键新帖而导致的风险防控滞后。

3.3.防御策略 / 反爬对抗能力

3.3.1.设计目的

防御策略与反爬对抗能力是 Traditional Dark Web 威胁源采集 的关键技术保障。其核心设计目的在于评估针对黑客论坛、勒索组织泄露站点等高价值目标所具备的反爬对抗与突破能力，保障情报采集工作能够稳定、持续开展。

Traditional Dark Web 中的高价值威胁源普遍采用严格的会员准入审核、异常行为检测、IP 与设备指纹限制、JS 动态渲染、Cloudflare 等多层级防护机制。若反爬对抗能力不足，将难以有效突破上述防御措施，极易出现采集中断、内容缺失或采集不稳定等问题，直接影响暗网情报的及时性与完整性。

从能力分级来看：

n优秀级要求可稳定采集 Tier1 级别高壁垒威胁源（如 XSS、Exploit 类核心站点），体现顶尖的反爬对抗技术实力；

n良好级要求可稳定采集 Tier2 级别威胁源（如 RansomHub、Qilin、Akira 等活跃勒索组织站点），具备成熟的实战对抗能力；

n基础级要求可稳定采集 Tier3 级别威胁源（如 Breachforums、Darkforums 等公开度较高站点），满足基础采集可用要求。

因此，该指标直接决定暗网情报采集的可靠性与持续性，为后续风险预警、事件研判和应急处置提供坚实的技术支撑。

3.3.2.设计依据

本指标主要参考 Javelin Strategy & Research《Dark Web Threat Intelligence Vendor Scorecard（2025）》中“Source Collection（威胁源采集能力）”的评估维度，并在编制过程中充分借鉴全球暗网情报领域顶尖机构的技术分析成果，包括：

nFlashpoint《Technical Analysis of High-Wall Underground Forums: XSS and Exploit（2025）》

nRecorded Future《Defense Mechanisms in Russian Cybercrime Forums: XSS.is and Exploit.in Case Study（2025）》

结合 Traditional Dark Web 威胁源的实际防御策略特征与国内网络安全实战需求进行设定。

Traditional Dark Web 中的高价值威胁源普遍部署多层次、高复杂度的防御机制，不同难度等级的威胁源，在防护强度、技术复杂度及采集对抗成本上存在显著差异，结合行业实战共识与技术特征，具体分级说明如下：

nTier 1 级别（以 XSS、Exploit 等为代表）：通常部署最高等级防护体系，涵盖企业级 Cloudflare 防护、严格会员制审核、邀请制注册、深度行为指纹检测、高强度 JS 动态渲染、多重 CAPTCHA 验证及复杂异形网站结构。此类威胁源构成暗网中防御壁垒最高的场景，采集难度极大，需具备极为成熟、全面的反爬对抗技术，才能实现稳定采集。

nTier 2 级别（以 RansomHub、Qilin、Akira 等为代表）：多采用标准 Cloudflare 防护，同时搭配大量异形网站结构、特殊技术栈、访问速率限制及会话验证等防御手段。相较于 Tier 1 级别，其整体防御强度有所降低，但仍具备较高的采集对抗成本，尤其在适配异形结构、兼容特殊技术栈方面，需具备较强的技术适配与突破能力。

nTier 3 级别（以 Breachforums、Darkforums 等为代表）：虽已普遍配备 Cloudflare 防护，但均为基础级服务，搭配常规 IP 封禁、简单验证码及标准反爬规则，整体防御强度相对较低，采集对抗成本也处于较低水平，基础反爬对抗技术即可实现有效突破与稳定采集。

基于上述威胁源防御特征的分级设计，本指标可客观反映针对不同防御强度威胁源的反爬对抗水平，清晰区分不同能力层级的技术差距，为暗网情报采集对抗能力的量化评估，提供科学、可对比、可落地的核心依据。

3.3.3.指标参数

防御策略与反爬对抗能力以对不同难度威胁源的稳定采集能力作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估针对不同防御强度威胁源的反爬对抗水平。其中 Tier 1 级别代表最高对抗难度，Tier 2 级别代表中高对抗难度，Tier 3 级别代表中低对抗难度。

通过该分级标准，可客观反映在 Traditional Dark Web 领域突破目标站点防御策略的技术实力，为后续情报采集的可靠性与持续性提供重要技术支撑。

3.4.情报采集时效性

3.4.1.设计目的

情报采集时效性是 Traditional Dark Web 威胁源采集能力 的重要评估维度。其核心设计目的在于衡量在不同难度威胁源上，从情报发布到完成采集的响应速度与效率。

在实际威胁场景中，高价值情报（如新数据泄露帖、勒索软件通告、IAB 交易信息等）往往在暗网威胁源中呈现短暂流通、快速扩散的特征。若采集时效性不足，将可能错过此类情报的关键窗口期，导致相关单位无法及时发现自身数据已在暗网流通或攻击活动正在发生，进而错失最佳的风险阻断和应急应对时机。

因此，该指标通过区分 Tier 1、Tier 2、Tier 3 不同难度威胁源的采集时效要求，客观评估在实战环境下的情报采集响应能力，为后续风险预警、事件研判和应急处置提供及时、可靠的情报支撑，确保威胁情报能够发挥前置预警、快速响应的核心价值。

3.4.2.设计依据

本指标主要参考 Javelin Strategy & Research《Dark Web Threat Intelligence Vendor Scorecard》（2025）中“Source Collection（来源采集能力）”的评估维度，并结合 Traditional Dark Web 威胁源的实际发布特征与采集时效要求进行设定。

Traditional Dark Web 中的高价值情报通常以 New Post 或 New Leak 的形式快速涌现，其核心价值随时间呈指数级衰减特征。鉴于不同难度等级的威胁源在采集技术门槛与响应时效要求上存在显著差异，本指标体系严格按照威胁源的对抗强度，将采集时效性划分为 Tier 1、Tier 2、Tier 3 三个梯度进行量化评估。

具体而言：

nTier 1 级别威胁源（以 XSS、Exploit 等为代表）：因部署最高等级防御体系，采集对抗成本与技术难度最大，对引擎的并发处理与实时抓取能力要求极高，因此设定最严苛的时效标准，以确保高价值情报不被遗漏。

nTier 2 级别威胁源（以 RansomHub、Qilin、Akira 等为代表）：防御强度与采集复杂度次之，时效要求相应适度降低，重点评估引擎突破常规防护后稳定获取情报的速度。

nTier 3 级别威胁源（以 Breachforums、Darkforums 等为代表）：防御机制相对基础，时效要求也更为宽松，主要考察采集覆盖的广度与及时性。

通过这种分级差异化的设计，本指标能够精准、客观地反映引擎在不同对抗环境下对高价值情报的快速响应能力，确保评估结果具备科学性、针对性，并能直接指导实战中的风险预警与应急处置。

3.4.3.指标参数

情报采集时效性以不同难度威胁源的稳定采集延迟作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对不同难度威胁源的响应速度。其中 Tier 1 级别代表最高对抗难度，Tier 2 级别代表中高对抗难度，Tier 3 级别代表中低对抗难度。

通过量化采集延迟，可客观反映引擎在实战环境下的情报获取及时性，为后续风险预警、事件研判和应急处置争取关键时间窗口，提供重要时效支撑。

3.5.暗网波动对抗能力

3.5.1.设计目的

暗网波动对抗能力是 Traditional Dark Web 威胁源采集 的重要保障性指标。其核心设计目的在于评估在面对威胁源波动时的快速恢复能力与应急适配能力，确保采集工作不中断、情报获取不脱节。

Traditional Dark Web 中的高价值威胁源易受多种因素影响产生波动，包括执法打击行动、站点查封、域名 / 地址更换、防护机制升级等，这些因素均可能直接导致采集中断。若缺乏有效的波动对抗能力，将可能出现长时间无法获取暗网情报的情况，进而影响相关单位对暗网威胁的及时发现、快速响应与风险处置，导致威胁预警滞后、处置被动。

因此，该指标通过量化从发现威胁源波动到恢复稳定采集的时间，客观反映在复杂对抗环境下的持续采集能力，为暗网情报采集工作的稳定性与可靠性提供重要技术支撑，保障情报采集工作的连续性与实战可用性。

3.5.2.设计依据

本指标的设计依据主要参考 Javelin Strategy & Research《Dark Web Threat Intelligence Vendor Scorecard》（2025）中“Source Collection（来源采集能力）”的评估维度，并结合Traditional Dark Web威胁源的实际波动特征进行设定。

Traditional Dark Web 中的高价值威胁源具有较高的波动性，经常因执法行动、站点查封、地址更换、防护升级或站点主动迁移等因素导致采集中断。这种波动直接影响情报采集的连续性和及时性。因此，本框架以“发现波动至恢复稳定采集的时间”作为主要量化标准，并按照恢复速度划分为三个等级。

优秀级要求在48 小时内恢复稳定采集，体现具备较强的自动发现和新源适配能力；良好级要求在7 天内恢复，表明具备基本的波动应对机制；基础级要求在30 天内恢复或具备一定处置措施，达到最低可用要求。

通过这种分级设计，本指标能够客观反映在面对暗网威胁源波动时的恢复能力，为评估采集稳定性和实战韧性提供可靠依据。

3.5.3.指标参数

暗网波动对抗能力以发现波动至恢复稳定采集的时间作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估在面对执法行动、地址更换、防护升级等威胁源波动情况下的恢复能力。通过量化恢复时间，可客观反映在复杂对抗环境下的持续采集韧性，为情报采集的稳定性和长期可用性提供重要技术支撑。

第四章 Dark Web Lite 威胁源采集能力

Dark Web Lite 是以加密通信工具为依托、由封闭社群与私密频道 / 群组构成的次生地下威胁生态，无需依托传统匿名网络即可接入，兼具开放接入与邀请制封闭运行双重形态，具有传播速率快、地址更迭频繁、结构动态演化、总体规模庞大等典型特征。该生态是当前暗网环境中数据泄露交易、勒索通告发布、入侵工具流转、侵公查档活动、黑灰产协同作业与实时情报交互的主要承载空间，在网络犯罪产业化链条中占据高频交互、快速扩散的核心地位。本章立足该生态的动态化、规模化、高对抗性特征，从威胁源采集广度、威胁源内容解析度、威胁源采集规模、采集效果优化效率四个维度，构建 Dark Web Lite 威胁源采集能力量化评估体系，用以全面评估针对加密社群类威胁情报的全域覆盖能力、深度解析能力、规模化获取能力与快速适配能力，为暗网情报全链路采集体系提供轻量化地下生态的能力支撑与可量化评估依据。

4.1.威胁源采集广度

4.1.1.设计目的

威胁源采集广度是Dark Web Lite 威胁源采集能力的基础性核心指标。其核心设计目的在于：评估网络安全相关网络犯罪生态中 Dark Web Lite 威胁源的覆盖范围与覆盖规模，最大限度降低威胁情报漏检风险，保障情报监测的全面性与稳定性。

Dark Web Lite 生态中的高价值威胁情报主要依托群组与私密频道开展传播与交易活动。若采集广度不足，则无法实现对足量威胁源的有效覆盖，极易造成重要数据泄露、IAB 交易、窃密日志等关键情报漏报，直接导致相关机构在威胁发生早期阶段难以实现有效发现与快速响应，错失风险处置的最佳时机。

因此，威胁源采集广度直接决定能否全面、及时发现 Dark Web Lite 生态内的网络安全相关威胁活动，为后续情报分析、风险预警与应急处置提供充足、可靠的数据支撑。

4.1.2.设计依据

本指标的设计依据主要结合Dark Web Lite 威胁源的实际分布特征与采集需求进行设定。

Telegram 作为 Dark Web Lite 的主要承载载体，其社群与频道总体规模极为庞大，全球范围内总量已达数亿级别。但聚焦至网络安全相关网络犯罪生态（含数据泄露贩卖、勒索通告、IAB 交易、窃密日志等）的有效威胁源，其实际数量远低于总体规模。依据行业研究成果与实战监测数据，该领域内具备持续活跃属性的群组与频道数量，总量处于数千至数万区间。

本框架以威胁源群组和频道数量作为核心量化标准，用以评估对 Dark Web Lite 威胁源的采集覆盖广度。指标分级设计综合考虑三大核心要素：一是 Dark Web Lite 生态中网络安全相关威胁源的真实规模分布；二是不同能力层级在覆盖范围上的差异化表现；三是该生态所具备的高波动、快速迭代特征。通过设定科学合理的量化阈值，保障指标兼具科学性与可操作性，能够客观体现引擎在采集广度层面的实际能力差距。

本指标主要参考依据包括：Flare Systems《Telegram Cybercrime Ecosystem Report》（2025）、Chainalysis《Crypto Crime Report 2025》中关于地下通讯社群威胁源规模的测算与统计数据。

4.1.3.指标参数

威胁源采集广度以威胁源群组和频道数量作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对网络安全相关网络犯罪生态中 Dark Web Lite 威胁源的覆盖范围。通过量化威胁源群组和频道数量，可客观反映在 Dark Web Lite 领域的采集覆盖能力，为后续内容解析、情报分析与风险预警提供重要的数据支撑。

4.2.威胁源采集内容解析度

4.2.1.设计目的

威胁源采集内容解析度是Dark Web Lite 威胁源采集能力的重要评估维度。其核心设计目的在于：衡量对采集所得情报内容的处理深度，尤其针对多媒体元素的获取与解析能力。

Dark Web Lite 生态内的高价值威胁情报，常以消息、图片、附件等多元形态发布。若仅能采集文本消息，无法对附件或多媒体内容开展有效解析与提取，将直接造成情报完整性缺失，难以全面掌握威胁核心细节，进而影响后续风险评估与响应决策的科学性与准确性。

因此，本指标重点考察采集环节对多媒体内容的处理能力，该项能力直接关系到情报的可用性与分析深度，可为安全运营工作提供更全面、更具实战价值的数据支撑。

4.2.2.设计依据

本指标的设计依据主要结合Dark Web Lite 威胁源的内容发布特征与实际采集需求进行设定。

Dark Web Lite 中的高价值情报常以消息、图片、Excel、压缩包等附件形式发布，此类非结构化多媒体载体中往往包含大量受影响主体的实体信息，如域名、邮箱、账号等关键内容。但在实际采集作业中，全量下载所有附件难以落地执行，原因在于部分合集打包文件体积庞大，可达数十 GB、上百 GB 乃至 TB 级别，不仅会大幅提升存储成本，还会显著提高被社群管理者发现并封禁的风险。

因此，本框架以多媒体内容解析深度作为量化标准，重点评估对小文件与附件的自动采集能力，以及对超大附件的地址记录与精准定位能力。通过该分级设计，既可保障情报获取的完整性，又能兼顾实际采集的可行性与安全性，为后续向量检索、知识图谱构建及风险预警提供可靠的数据支撑。

4.2.3.指标参数

威胁源采集内容解析度以多媒体内容的处理深度作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对 Dark Web Lite 威胁源中多媒体内容的采集处理能力。优秀级要求能够自动下载小附件并识别定位超大附件，良好级要求能够识别和定位消息附件，基础级则仅能采集消息文本。通过该量化标准，可客观反映采集过程中的内容完整性，为后续情报分析和风险预警提供重要支撑。

4.3.威胁源采集量

4.3.1.设计目的

威胁源采集量是Dark Web Lite 威胁源采集能力的核心量化指标。其核心设计目的在于：评估对网络安全相关网络犯罪生态中 Dark Web Lite 威胁源的每日情报获取规模。

Dark Web Lite 生态内的高价值威胁情报以消息形态高速产生与传播。若采集量不足，则难以覆盖足够规模的威胁源，极易造成重要数据泄露、IAB 交易、窃密日志等关键情报漏报，直接影响相关主体在威胁发生早期阶段的发现与响应能力。

因此，威胁源采集量直接决定能否全面、及时掌握 Dark Web Lite 中的网络安全威胁动态，为后续情报分析、风险预警与应急处置提供充足、可靠的数据基础。

4.3.2.设计依据

本指标的设计依据主要结合Dark Web Lite 威胁源的消息发布特征与实际采集需求进行设定。

Dark Web Lite 中的网络安全相关网络犯罪生态威胁源以Telegram 群组与频道为主要承载载体，具备消息产生速率快、总体规模庞大的特征，高价值情报通常以高频消息形式出现。因此，本框架以每日消息数量作为核心量化标准，用以评估对 Dark Web Lite 威胁源的采集规模。

指标分级设计综合考虑 Dark Web Lite 生态中网络安全相关威胁源的实际消息产出规模，以及不同能力层级在采集总量上的差异化表现。通过设定科学合理的量化阈值，确保指标兼具科学性与可操作性，能够客观体现采集能力在消息处理规模上的真实差距。

4.3.3.指标参数

威胁源采集量以每日消息数量作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对 Dark Web Lite 威胁源的每日情报获取规模。通过量化每日消息采集数量，可客观反映在 Dark Web Lite 领域的采集能力，为后续情报分析、风险预警和应急处置提供重要数据支撑。

4.4.威胁源采集效果优化

4.4.1.设计目的

威胁源采集效果优化是Dark Web Lite 威胁源采集能力的重要保障性指标。其核心设计目的在于：评估在面对威胁源波动或新源发现时的快速适配与优化能力。

Dark Web Lite 生态内的威胁源具备高波动性特征，群组与频道频繁出现迁移、封禁及新源创建等情形。若无法快速完成采集适配与优化，将直接引发情报采集中断或覆盖缺失，进而影响对网络安全相关威胁的及时发现与持续监测。

因此，本指标通过量化旧源波动或新源发现后的采集优化时间，客观反映动态环境下的适配能力与采集稳定性，为 Dark Web Lite 威胁源采集的长期可靠性与连续性提供重要技术支撑。

4.4.2.设计依据

本指标的设计依据主要结合Dark Web Lite 威胁源的高波动性特征与实际采集需求进行设定。

Dark Web Lite 中的群组与频道迭代迅速，频繁因执法行动、管理封禁、地址迁移或新源创建而产生波动。若无法及时开展采集优化，将直接导致情报覆盖中断或数据缺失。因此，本框架以旧源波动或新源发现时的采集优化时间作为核心量化标准，用以评估动态环境下的适配能力。

指标分级设计综合考虑以下因素：一是Dark Web Lite 威胁源快速迭代与波动频率；二是不同能力层级在采集优化速度上的差异化表现；三是该项能力对整体采集连续性与稳定性的支撑作用。通过设定科学合理的量化阈值，确保指标兼具科学性与可操作性，能够客观体现采集效果优化层面的真实能力差距。

4.4.3.指标参数

威胁源采集效果优化以旧源波动或新源发现时的采集优化时间作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估在面对 Dark Web Lite 威胁源波动或新源出现时的快速适配能力。通过量化采集优化时间，可客观反映动态环境下的采集稳定性和连续性，为 Dark Web Lite 威胁源采集的长期可靠性和实战效能提供重要技术支撑。

第五章 暗网情报智能分析能力

暗网情报智能分析是暗网威胁情报全链路体系中的核心能力环节，承接前端多源威胁情报采集成果，面向 Traditional Dark Web 与 Dark Web Lite 双生态的海量异构数据，实现威胁识别、实体提取、分类分级、关联挖掘与知识化呈现。该环节以人工智能、自然语言处理、向量检索与知识图谱技术为支撑，解决暗网情报非结构化、碎片化、高噪声、强隐蔽等难题，是提升威胁研判精准度、响应时效性与溯源完整性的关键支撑。本章立足暗网生态数据特征与实战化研判需求，从关键实体信息提取、情报分级分类、情报分析时效性、多维度向量检索、情报知识图谱构建五个维度，建立暗网情报智能分析能力量化评估体系，全面衡量对暗网威胁数据的自动化处理、深度挖掘、精准研判与智能关联能力，为暗网威胁预警、事件溯源与安全运营提供标准化、可量化的分析能力依据。

5.1.关键实体信息提取

5.1.1.设计目的

关键实体信息提取是暗网情报智能分析能力的基础性核心指标。其核心设计目的在于：评估从海量原始情报中自动识别与提取关键实体的能力。

暗网威胁源中蕴含大量分散的实体信息，主要包括发布者、组织标识、Telegram 账号、邮箱地址、事件标题、事件内容、发布时间、威胁源等。若无法有效提取上述关键实体，将难以把零散的原始数据转化为结构化、可关联的情报成果，进而影响后续情报分级分类、知识图谱构建以及风险预警的准确性与处置效率。

因此，本指标重点考察对关键实体的自动提取能力，以及在威胁源波动场景下的自动关联与更新能力，该项能力直接决定暗网情报从原始数据向可行动情报转化的效率，为风险评估与响应决策提供可靠的基础支撑。

5.1.2.设计依据

本指标的设计依据主要结合暗网情报的实际数据特征与分析需求进行设定。

暗网威胁源普遍存在波动频繁的特征，各类黑客论坛、勒索组织泄露站点等高频次因执法行动、主动迁移、地址轮换等原因发生域名或访问路径变更。当威胁源出现波动时，若无法实现波动前后的实体自动关联，将产生大量重复数据与冗余信息，严重影响情报质量与后续分析效率。

因此，本框架以关键实体信息提取的完整性与自动化程度作为量化标准，重点评估从多源原始情报中自动识别与提取关键实体的能力，并着重强调威胁源波动场景下的自动关联更新能力。通过设定科学合理的分级阈值，确保指标能够客观体现情报分析基础能力层面的真实差距。

5.1.3.指标参数

关键实体信息提取以关键实体的自动提取能力和关联能力作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估从暗网原始情报中自动识别和提取关键实体的能力。通过量化实体提取的完整性和在威胁源波动时的关联更新能力，可客观反映在情报分析基础环节的处理水平，为后续分级分类、向量检索和知识图谱构建提供重要数据支撑。

5.2.情报分级分类

5.2.1.设计目的

情报分级分类是暗网情报智能分析能力的核心指标之一。其核心设计目的在于：评估对海量暗网情报进行系统化分级与分类的能力，实现情报价值的精准区分与高效流转。

暗网情报具有数量庞大、类型繁杂、价值不均的特征，若无法对情报开展有效的分级分类，将难以区分不同情报的紧急程度、影响范围与威胁等级，极易导致高价值关键威胁被淹没在海量冗余数据中，无法为相关主体提供精准的风险预警与决策支撑。

因此，本指标重点考察对情报价值等级、受影响国家、受影响主体、归属行业、事件类型等多维度的分级分类能力，该项能力直接决定情报分析的效率与准确性，为后续风险评估、事件研判与应急处置提供清晰的优先级指引，保障威胁响应的针对性与时效性。

5.2.2.设计依据

本指标的设计依据主要结合暗网情报的实际数据特征与分析需求进行设定。

从行业实际应用现状来看，全球范围内半数以上涉足暗网情报领域的相关机构，尚未对情报开展有效的分级分类工作，大部分机构仅能完成受影响国家与受影响主体的粗浅分类；仅有少数行业头部机构，能够实现情报的细致、规范、可操作的分级分类，这一现状充分体现了情报分级分类工作的实操难度。

造成该工作难度较高的核心原因，在于暗网情报本身具备海量性、非结构化、碎片化的显著特征，采用人工分类或简单规则匹配的方式，难以达到理想的分类效果，且效率低下、误差较大。唯有成熟运用人工智能相关技术，才能实现对情报价值等级、受影响国家、受影响主体、归属行业、事件类型等多维度的精准、高效分级分类。

因此，本框架以情报分级分类的自动化程度与多维度覆盖完整性作为核心量化标准，通过科学设定分级阈值，确保指标能够客观、真实地反映在情报分析核心能力上的实际差距。

5.2.3.指标参数

情报分级分类以分级分类的自动化程度和维度覆盖范围作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对暗网情报进行系统化分级与分类的能力。通过量化分级分类的自动化程度和维度覆盖范围，可客观反映情报分析环节的智能化水平，为后续的风险评估、事件研判以及应急处置工作，提供清晰的优先级指引，确保研判工作高效、精准开展。

5.3.情报分析时效性

5.3.1.设计目的

情报分析时效性是暗网情报智能分析能力的关键指标之一。其核心设计目的在于评估对暗网情报进行分析处理的响应速度。

暗网中的高价值情报具有极强的时效性，若分析处理延迟过长，可能导致相关主体在威胁出现的关键窗口期无法获得有效预警，错失阻断威胁传播、降低安全损失的最佳时机。

因此，该指标重点考察对高价值情报的分析时效，这一能力直接关系到情报从原始采集到可行动成果的转化效率，为风险评估和应急响应提供及时、可靠的决策支撑。

5.3.2.设计依据

本指标的设计依据主要结合暗网情报的时效性特征与实际分析需求进行设定。

暗网中的高价值情报具有极强的时效性，其核心价值会随着时间推移快速衰减，若无法及时分析处理，将错过最佳的风险处置时机。同时，暗网数据存在显著特点 ——海量性、非结构化、碎片化且伴随高噪音，这使得实时全自动分析在技术层面存在较高难度。即便在国际范围内，一流的暗网情报分析机构，对高价值情报的自动化分析平均时长也多在 15 分钟至 2 小时之间，难以实现真正的秒级实时响应。

因此，本框架以情报分析的自动化程度和响应延迟作为核心量化标准，通过设定科学合理的分级阈值，确保该指标能够客观、准确地反映出情报分析的效率与水平，清晰呈现不同能力层级的差距，为后续的风险研判和应急处置提供可靠依据。

5.3.3.指标参数

情报分析时效性以高价值情报的分析响应延迟作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对高价值暗网情报的分析响应速度。通过量化分析延迟，可客观反映情报分析环节的时效性，为后续风险评估、事件研判和应急处置提供及时、可靠的决策支撑。

5.4.多维度向量检索

5.4.1.设计目的

多维度向量检索是暗网情报智能分析能力的重要支撑指标。其核心设计目的在于评估对海量情报数据进行高效、精准检索的能力。

暗网情报具有海量性、碎片化、多源分散的特点。若无法实现多维度向量检索，则难以在复杂数据中快速定位相关情报，导致情报利用效率低下，无法满足风险预警和事件溯源的实时需求。

因此，该指标重点考察基于关键实体、分级分类、情报价值等多维度条件的向量检索能力，直接关系到情报分析的便捷性和实用性，为后续知识图谱构建和风险决策提供快速、准确的数据支撑。

5.4.2.设计依据

本指标的设计依据主要结合暗网情报的数据特征与实际分析需求进行设定。

暗网情报具有海量性、碎片化、多源分散的特点，传统关键词检索难以满足复杂查询需求。向量检索技术能够基于语义相似性实现高效定位。其中，单一维度向量检索主要依赖单一条件进行匹配，而多维度联合查询向量检索则可同时融合关键实体、分级分类、情报价值等多类条件，实现更精准、更全面的关联检索，其价值在于显著提升情报定位效率和分析深度。

因此，本框架以向量检索的维度覆盖范围和查询能力作为量化标准，通过设定合理的分级标准，确保该指标能够客观反映情报分析支撑能力上的实际差距。

5.4.3.指标参数

多维度向量检索以向量检索的维度覆盖范围和查询能力作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估对暗网情报进行多维度向量检索的能力。通过量化检索的维度覆盖范围和查询复杂度，可客观反映情报分析支撑环节的智能化水平，为后续知识图谱构建和风险决策提供高效、精准的数据支撑。

5.5.情报知识图谱构建

5.5.1.设计目的

建立情报知识图谱是暗网情报智能分析能力的最高阶核心指标之一。其核心设计目的在于：评估将分散的原始情报转化为结构化、关联化知识体系的能力。

暗网情报具有高度碎片化、多源分散的显著特征，原始数据往往分散在不同来源、不同场景中，缺乏系统性关联。若无法实现跨威胁源、跨事件、跨实体的知识图谱构建，将难以形成完整的威胁视图，导致各类情报相互孤立，无法有效支撑复杂威胁的溯源、深度研判及趋势预测，进而影响风险应对的及时性和准确性。

因此，本指标重点考察对知识图谱的自动化构建与关联能力，这一能力直接决定了暗网情报从 “原始数据” 到 “可用知识” 的转化深度，为威胁分析、风险评估及战略决策提供系统化、智能化的核心支撑，助力实现对暗网威胁的全面掌控和精准应对。

5.5.2.设计依据

本指标的设计依据主要结合暗网情报的数据特征与分析实际需求进行设定。

建立情报知识图谱是暗网情报分析的最高阶核心指标之一，技术实现难度极高，主要源于暗网数据的海量性、非结构化特性、碎片化分布以及威胁源的频繁波动。即使是国际顶级的暗网情报分析机构，目前也仅能实现半自动化构建，仍需大量人工干预方可完成跨威胁源、跨事件、跨实体的关联整合。

因此，本框架以知识图谱构建的自动化程度和关联范围作为量化标准，通过设定合理的分级标准，确保该指标能够客观反映情报分析高阶能力上的实际差距。

5.5.3.指标参数

建立以知识图谱构建的自动化程度和关联范围作为核心量化指标，具体分级标准如下：

指标说明

本指标重点评估将分散的原始情报转化为结构化、关联化知识体系的能力。通过量化知识图谱构建的自动化程度和关联范围，可客观反映在暗网情报分析最高阶环节的智能化水平，为复杂威胁溯源、研判和战略决策提供系统化支撑。

第六章 暗网情报高保真复制和持久化存档能力

暗网情报高保真复制和持久化存档能力是暗网威胁情报全链路能力体系中的关键支撑环节。其核心在于将采集到的原始情报以高保真方式完整保留，并实现长期安全存档，从而有效解决暗网站点频繁波动、查封或下线带来的访问难题。

Traditional Dark Web 和 Dark Web Lite 中的威胁源具有极高的不稳定性，论坛、泄露站点和群组经常因执法行动、运营商迁移或主动下线而消失。若无法对原始内容进行高保真复制和持久化存档，将会造成大量情报永久丢失，导致历史轨迹无法追溯，风险评估和事件研判缺乏完整依据。

因此，本章从高保真复制、多媒体解析、多媒体向量检索、持久化存档稳定性以及风险控制与便利性五个维度，构建暗网情报高保真复制和持久化存档能力的量化评估体系，旨在提供稳定、安全且便捷的原始情报访问能力，支撑长期历史分析和证据保全工作。

6.1.高保真复制

6.1.1.设计目的

暗网情报高保真复制是持久化存档能力的基础性核心指标，其核心设计目标在于评估对暗网原始内容的完整复制能力，是支撑暗网情报全流程处理、实现数据价值转化的重要基础。

暗网威胁源具备极强的不稳定性，各类论坛页面、泄露信息站点及群组消息，常因执法管控、地址迁移或主动关停等因素出现存续中断，导致原始情报数据极易丢失。若未能实现对原始内容的高保真复制，将造成大量核心情报永久流失，使得威胁历史轨迹无法追溯，进而导致风险评估与事件研判工作缺乏完整的数据支撑，影响研判结果的准确性与全面性。

因此，该指标核心聚焦于对威胁源原始内容的完整复制能力，重点考察对文字信息、页面布局、附属文件、图像等各类多媒体元素的完整复刻能力，其能力水平直接决定暗网情报的原始性与可用性，为后续持久化存档、多媒体解析及历史数据回溯分析等工作，提供坚实且可靠的基础支撑，是暗网情报从原始数据向可用信息转化的核心前提。

6.1.2.设计依据

本指标的设计依据，主要结合暗网威胁源的实际特征与高保真复制的技术需求开展设定，确保指标设计的科学性、实用性与针对性，贴合暗网情报分析的实际工作需求。

暗网情报高保真复制工作面临显著的技术难点，核心在于暗网威胁源具备高度的动态性与对抗性：暗网网站页面结构复杂且多变，JS 动态渲染技术应用普遍，多媒体附件类型繁杂且体积差异悬殊，同时，暗网威胁源常因执法管控、运营商迁移或主动关停等因素，出现频繁的地址变更与内容删除情况。上述多重因素相互叠加，导致传统采集方式难以实现对暗网原始内容的完整、高保真复刻，无法满足后续情报分析与数据留存的核心需求。

因此，本评估框架以高保真复制的完整性与覆盖范围作为核心量化标准，重点评估对暗网威胁源原始内容的复制能力，涵盖文字信息、页面布局、附属文件、图像等各类多媒体元素的完整复刻。通过设定科学合理的分级标准，客观反映在暗网高对抗环境下的复制能力水平，为后续持久化存档、多媒体解析及历史数据回溯分析等工作，提供可靠、完整的基础数据支撑，保障整个暗网情报分析工作的有序推进。

6.1.3.指标参数

高保真复制以对威胁源原始内容的复制完整性作为核心量化指标，具体分级标准如下：

指标说明

本指标核心评估对暗网威胁源原始内容的复制完整性，通过量化复制的覆盖范围与保真程度，客观反映暗网原始内容的复刻能力水平，为后续多媒体解析、持久化存档及历史情报追溯等工作，提供坚实、可靠的技术支撑，确保原始情报的完整性与可用性，为后续风险研判和事件溯源提供基础数据支撑。

6.2.多媒体解析与向量检索

6.2.1.设计目的

多媒体解析与向量检索是暗网情报高保真复制和持久化存档能力的重要支撑指标。其核心设计目的在于评估对非结构化多媒体内容的解析深度以及后续检索支持能力。

暗网原始情报中包含大量图片、附件等非结构化多媒体元素，这些内容往往承载着关键的威胁信息。如果无法对多媒体内容进行有效解析并纳入向量检索范围，则难以充分利用原始情报中的深层价值，导致情报分析的完整性和准确性受到限制。

因此，该指标重点考察对图片、附件等多媒体内容的深度解析能力及其与向量检索的结合程度，直接关系到原始情报的可用性和后续分析效率，为风险评估和事件研判提供更全面的技术支撑。

6.2.2.设计依据

本指标的设计依据，主要结合暗网原始情报的实际数据特征与实际分析需求进行设定，确保指标的实用性与针对性。

多媒体解析与向量检索在暗网情报分析中具有核心支撑价值：通过对暗网原始情报中样例文件的深度解析，结合向量检索技术，可有效梳理暗网数据泄露的历史轨迹与跨平台传播路径，为威胁溯源、风险研判提供关键数据支撑，是连接原始数据与实用情报的核心环节。

需明确的是，该技术的实现高度依赖高保真内容复制作为前置条件，技术落地难度较高。从当前行业现状来看，全球范围内能够实现该技术能力的暗网情报相关机构，占比不足一半。

因此，本评估框架以多媒体内容的解析深度，以及解析结果与向量检索的结合程度作为核心量化标准，确保该指标能够客观、真实地反映平台在高保真复制后续环节的实际支撑能力，为暗网情报的深度分析提供可靠依据。

6.2.3.指标参数

多媒体解析与向量检索以对非结构化多媒体内容的解析深度及其与向量检索的结合程度作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估平台对暗网情报中非结构化多媒体内容的解析深度，以及解析结果与向量检索的结合能力。通过量化解析的完整性、检索的精准性，可客观反映平台在高保真复制后续环节的实际支撑水平，为后续知识图谱构建、威胁溯源及风险决策提供高效的技术基础，确保暗网情报的深层价值得到充分挖掘与利用。

6.3.持久化存档稳定性

6.3.1.设计目的

持久化存档稳定性是暗网情报高保真复制和持久化存档能力的重要保障性指标。其核心设计目的在于评估平台对高保真复制后的原始情报进行长期安全存档的能力。

暗网威胁源具有极高的不稳定性，论坛页面、泄露站点和群组消息经常因执法行动、地址迁移或主动下线而消失。如果无法对原始情报进行长期稳定的持久化存档，则会造成大量历史情报永久丢失，导致无法追溯事件完整轨迹，影响后续的风险评估、事件研判和证据保全。

因此，该指标重点考察在高保真复制基础上的长期存档稳定性和抗风险能力，直接关系到情报的长期可用性和连续性，为历史分析和合规要求提供可靠的技术支撑。

6.3.2.设计依据

本指标的设计依据，主要结合暗网威胁源的波动特征与长期存档实际需求进行设定。

由于暗网威胁源波动频繁，一旦出现地址迁移、查封或下线，原始信息尤其是多媒体内容极难找回。因此，本框架以持久化存档的稳定性和对原始情报源的依赖程度作为核心量化标准，重点评估在高保真复制基础上的长期存档效果。通过设定合理的分级标准，确保该指标能够客观反映情报长期可用性上的实际差距。

6.3.3.指标参数

持久化存档稳定性以对原始情报的长期存档稳定性和对原始情报源的依赖程度作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估对高保真复制后的原始情报进行长期安全存档的能力。通过量化存档稳定性和对原始情报源的依赖程度，可客观反映应对暗网威胁源波动时的持久化能力，为情报的长期可用性和历史追溯提供重要技术支撑。

6.4.风险控制与使用便利性

6.4.1.设计目的

风险控制与便利性是暗网情报高保真复制和持久化存档能力的重要应用，其核心设计初衷是为用户提供安全便捷的情报分析环境。

暗网原始情报的访问通常需要使用 Tor 网络、注册暗网账号或进行其他高风险操作，这不仅增加了用户自身的风险，还显著降低了情报使用的便捷性。若无法有效平衡风险控制与使用便利，会限制情报的实际应用价值，影响安全团队的日常研判和响应效率。

因此，该指标重点考察通过高保真复制技术实现的用户零暴露、零注册访问能力，直接关系到情报使用的安全性和实用性，为暗网情报应用提供低风险、高便利的技术支撑。

6.4.2.设计依据

本指标的设计依据主要结合暗网情报使用的实际环境与用户需求进行设定。

该技术的重要性体现在两个方面。首先，由于Tor网络本身的不稳定性，以及大量黑客论坛、交易市场等威胁源均需要注册会员或缴纳会费才能访问核心情报内容，导致传统情报分析工作面临极大的不便。其次，暗网环境充斥着巨大风险，无论是注册时的身份暴露、缴费过程中个人隐私泄露，还是暗网中可能存在的病毒、恶意程序等，都可能让直接访问者面临严重的潜在威胁。

因此，本框架以风险控制与便利性作为量化标准，重点评估通过高保真复制技术实现的用户零暴露、零注册访问能力，从而为暗网情报应用提供低风险、高便利的技术支撑。

6.4.3.指标参数

风险控制与便利性以用户访问原始情报的安全性和便捷程度作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估通过高保真复制技术为用户提供的风险控制与便利性水平。通过量化用户访问原始情报的安全性和便捷程度，可客观反映在实际应用场景中的可用性，为暗网情报分析提供低风险、高效率的技术支撑。

第七章 中文暗网生态环境威胁识别能力

中文暗网生态是以中文为核心交互语言，依托传统匿名网络与加密通信工具构建，具备本土化、圈层化、高指向性特征的地下威胁生态，是国内数据泄露交易、IAB 买卖、侵公类活动、勒索软件通告、黑灰产协同运作的主要承载场景。该生态呈现中文 Traditional Dark Web与中文 Dark Web Lite并行共生、境内外联动的格局，威胁行为更贴合本土监管环境与机构运行特征，识别难度与治理价值显著高于通用暗网生态。

本章立足中文暗网生态的语言专属特性、本土威胁场景与侵公类风险高发等核心特征，从中文 Traditional Dark Web 识别、中文 Dark Web Lite 识别、侵公威胁源识别三个维度，构建中文暗网生态环境威胁识别能力量化评估体系，用以全面衡量对本土地下威胁的精准发现、专属适配与深度研判能力，为暗网情报体系的本土化落地、全域威胁感知与合规治理提供专属化、可量化、可核验的能力依据。

7.1.中文 Traditional Dark Web 识别

7.1.1.设计目的

中文 Traditional Dark Web 识别能力，是中文暗网生态环境威胁识别能力的基础性核心指标。本指标核心设计目的，在于对面向中国境内的网络安全相关网络犯罪生态范畴内 Traditional Dark Web 威胁源的识别能力与覆盖程度开展评估。

相较于国际通用暗网生态，中文 Traditional Dark Web 具备显著的本土化特征与复杂语境属性。若无法对该类本土化威胁源实现有效识别与全域覆盖，则难以发现针对中国境内主体的定向威胁活动，易形成情报覆盖盲区，进而削弱风险预警工作的及时性与完整性。

因此，本指标重点考察对中文 Traditional Dark Web 主要威胁源的识别深度，该项能力直接决定本土化暗网威胁场景下情报获取的有效性，可为后续威胁分析、风险预警与应急处置工作提供具备针对性的数据支撑。

7.1.2.设计依据

本指标的设计依据，主要结合中文 Traditional Dark Web威胁源的实际分布特征与情报价值进行设定。

在英文体系黑客论坛及勒索组织载体中，面向中国境内的泄露事件发布行为通常较为零散且非定期，缺乏系统性与持续性。而中文暗网交易市场呈现大量、高频发布境内相关数据的显著特征，已成为境内网络安全相关网络犯罪生态的重要集散地。

因此，本框架以面向中国境内的网络安全相关网络犯罪生态范畴内 Traditional Dark Web 威胁源的识别深度作为量化标准，重点评估对本土化暗网威胁源的覆盖能力。通过设定科学合理的分级标准，确保该指标能够客观反映主体在中文 Traditional Dark Web 识别维度的实际能力差异。

7.1.3.指标参数

中文 Traditional Dark Web 识别以面向中国境内的网络安全相关网络犯罪生态暗网威胁源的覆盖深度作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估对中文 Traditional Dark Web 威胁源的识别能力与覆盖能力。通过量化覆盖深度，可客观反映主体在本土化暗网生态中的识别水平，为后续情报分析与风险预警提供具备针对性的数据支撑。

7.2.中文 Dark Web Lite 识别

7.2.1.设计目的

中文 Dark Web Lite 识别能力，是中文暗网生态环境威胁识别能力的重要构成指标。本指标核心设计目的，在于对网络安全相关中文 Dark Web Lite 威胁源的识别能力与覆盖程度开展评估。

Dark Web Lite 为当前数据泄露贩卖、勒索通告、IAB 交易及侵公查档等威胁活动的主要承载载体，其中中文相关群组与频道具备传播速率快、迭代频次高、总体规模大的典型特征。若无法对该类本土化威胁源实现有效识别与全域覆盖，则难以及时发现面向中国境内主体的定向威胁活动，易形成情报覆盖盲区，进而削弱风险预警工作的及时性与完整性。

因此，本指标重点考察对中文 Dark Web Lite 威胁源的采集规模与识别深度，该项能力直接决定本土化暗网威胁场景下情报获取的有效性，可为后续威胁分析、风险预警与应急处置工作提供具备针对性的数据支撑。

7.2.2.设计依据

本指标设计依据主要结合中文 Dark Web Lite威胁源的实际分类特征与监测需求进行设定。

中文 Dark Web Lite 生态内的网络安全相关威胁源主要可划分为三类：其一为数据发布与交易类群组，对应境外数据泄露与窃密日志交易类频道；其二为黑灰产数据专卖类群组，涵盖电商消费数据、交通出行实时数据等境内敏感数据交易载体；其三为侵公类数据相关群组，包含个人信息挖掘、定向查档类服务载体。

对上述类型威胁源实施有效监测具备重要价值：一方面，监测广度直接决定面向中国境内主体定向威胁活动的及时发现能力；另一方面，唯有实现三类威胁源的全面识别，方可构建完整的本土化威胁视图，消除情报覆盖盲区，为风险预警与应急处置提供可靠支撑。

因此，本框架以威胁源采集数量作为量化标准，通过设定科学合理的分级阈值，确保指标可客观反映主体在中文 Dark Web Lite 识别维度的实际能力水平。

7.2.3.指标参数

中文 Dark Web Lite 识别以威胁源采集数量作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估对中文 Dark Web Lite 威胁源的识别能力与覆盖能力。通过量化威胁源群组与频道的采集数量，可客观反映主体在本土化暗网生态中的覆盖广度，为后续情报分析、风险预警与应急处置提供重要的数据支撑。

7.3.侵公威胁源识别

7.3.1.设计目的

侵公威胁源识别是中文暗网生态环境威胁识别能力的重要专项指标。本指标核心设计目的，在于对侵公、查档类本土化威胁源的识别能力与预警能力开展评估。

侵公威胁属于中文暗网生态中具备高度本土化特征的典型风险形态，核心指向通过非法渠道侵害公民个人隐私数据的相关行为。若无法对该类威胁源实现有效识别，则难以及时发现面向中国境内主体的隐私数据贩卖活动，致使相关风险长期处于隐匿状态，无法为境内主体提供具备针对性的预警与防护支撑。

因此，本指标重点考察对侵公、查档类威胁源的采集能力、识别能力与预警能力，该项能力直接决定本土化隐私泄露威胁的早期发现水平，可为境内主体隐私保护及合规风险管理提供关键技术支撑。

7.3.2.设计依据

本指标设计依据主要结合侵公威胁源的实际特征与情报价值进行设定。

侵公类数据具备实时性强、完整性高、合法获取难度大、信息要素全面等显著特征，其主要来源为内部权限主体或上下游数据权限提供方的非法查询服务，少量来源于应用程序编程接口漏洞等技术层面缺陷。该类数据与传统暗网环境中发布的数据集，在获取途径、持续危害程度、研判处置难度等方面存在本质差异。

传统暗网数据集多呈现一次性泄露特征，而侵公类数据通常具备持续更新、精准查询的能力，对公民个人隐私与机构内部信息安全构成长期且直接的威胁。因此，本框架以侵公威胁源的识别深度与预警能力作为量化标准，重点评估对该类本土化高风险威胁的监测水平。通过设定科学合理的分级标准，确保指标可客观反映主体在中文暗网生态环境中的专项识别能力。

7.3.3.指标参数

侵公威胁源识别以对侵公、查档类威胁源的采集与识别深度作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估对侵公、查档类威胁源的识别能力与预警能力。通过量化识别深度与覆盖范围，可客观反映主体在本土化隐私泄露威胁监测中的实际水平，为境内主体隐私保护及合规风险管理提供关键技术支撑。

第八章 海量泄露数据知识库能力

海量泄露数据知识库是暗网情报体系中数据资产汇聚、价值提炼、长期复用的核心支撑载体，承载全域历史泄露数据与新增泄露数据的标准化治理、规模化存储、智能化检索功能。该知识库以高保真、去重化、结构化、安全化为建设准则，面向全域数据泄露事件提供全周期数据支撑，是实现威胁溯源、风险预警、事件核验、态势分析的关键基础。本章立足海量数据的治理难度、响应速度、扩展能力等核心特征，从历史知识库积累规模、新增数据扩展速度、数据库响应速度三个维度，构建海量数据知识库能力量化评估体系，用以全面衡量数据治理、知识沉淀、快速检索与动态扩展的综合水平，为暗网威胁研判与数据泄露治理提供规模化、标准化、可量化的底层能力支撑。

8.1.历史知识库积累规模

8.1.1.设计目的

历史知识库积累规模是海量泄露数据知识库能力的基础性核心指标。本指标核心设计目的，在于对长期积累的风险情报数据集的积累规模与数据质量开展评估。

暗网威胁情报具备显著的历史积累价值。若历史知识库规模不足或数据质量未达标准，则难以支撑长期历史轨迹追溯与跨事件关联分析，无法为全域风险画像构建与趋势研判提供有效支撑。

因此，本指标重点考察历史知识库的积累规模与数据处理水平，该项能力直接决定情报分析的深度与广度，为全域风险预警机制构建提供坚实的数据基础。

8.1.2.设计依据

本指标设计依据主要结合暗网情报的长期积累价值与实际处理难度进行设定。

暗网情报历史知识库总量规模可达千亿级以上，但受暗网数据碎片化显著、结构差异巨大、重复度偏高等特征影响，实施统一结构化清洗、去重与格式化处理的技术难度较高。因此，本框架以历史知识库的积累规模与数据处理水平作为量化标准，重点评估长期积累的风险情报数据集的体量与质量。通过设定科学合理的分级标准，确保指标可客观反映主体在知识库基础能力维度的实际差异。

8.1.3.参数指标

历史知识库积累规模以知识库数据规模作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估长期积累的风险情报数据集的规模与处理水平。通过量化知识库数据规模，可客观反映主体在历史数据治理能力上的实际差异，为后续情报分析、风险预警与事件研判提供重要的数据基础。

8.2.新增数据扩展速度

8.2.1.设计目的

新增数据扩展速度是海量泄露数据知识库能力的重要动态指标。本指标核心设计目的，在于对知识库的持续增长能力与动态更新能力开展评估。

暗网威胁情报具备显著的时效性与动态性，新泄露事件、新增数据交易及攻击活动每日持续产生。若新增数据扩展速度不足，则难以适配暗网威胁的演化节奏，易造成知识库时效性衰减，无法为及时、有效的风险预警与趋势研判提供支撑。

因此，本指标重点考察每日新增入库数据的规模与稳定性，该项能力直接决定知识库的时效性与长期应用价值，为全域风险预警机制构建提供持续性的数据支撑。

8.2.2.设计依据

本指标设计依据主要结合暗网威胁情报的动态性与知识库持续更新需求进行设定。

知识库增量水平，是判别知识库能否保持时效性与长期有效性的重要依据。事件驱动型扩展通常呈现爆发式增长特征，但稳定性相对不足；常态化运营可实现每日稳定、持续的增量更新，更有利于知识库长期价值的沉淀与积累。

因此，本框架以每日新增入库数据的规模与稳定性作为量化标准，通过设定科学合理的分级标准，确保指标可客观反映主体在知识库动态更新能力维度的实际差异。

8.2.3.参数指标

新增数据扩展速度以每日新增入库数据的规模与稳定性作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估知识库的持续增长能力与动态更新能力。通过量化每日新增入库数据的规模与稳定性，可客观反映主体在知识库动态更新能力上的实际差异，为保障知识库时效性与长期价值积累提供重要支撑。

8.3.数据库响应速度

8.3.1.设计目的

数据库响应速度是海量泄露数据知识库能力的关键效能指标。本指标核心设计目的，在于对知识库在数据检索、订阅、输出等全流程操作中的响应效率开展评估。

海量泄露数据知识库面向超大规模非结构化数据开展查询与订阅操作，数据体量庞大、关联维度复杂，响应时延直接决定威胁研判、风险核验与预警推送的实时性。若响应速度不足，将导致情报获取滞后、研判效率降低，无法满足暗网威胁快速发现、快速核验、快速处置的实战需求。

因此，本指标重点考察从指令输入至结果全量返回的耗时水平，该项能力直接决定知识库的实战可用度与运营效能，为全域风险预警与事件快速研判提供高效率、低时延的底层支撑。

8.3.2.设计依据

本指标设计依据主要结合海量泄露数据知识库的数据规模、检索复杂度与实战化响应需求进行设定。

海量暗网泄露数据知识库具备体量巨大、结构异构、关联关系复杂等特征，全量检索与多条件联合查询对算力、索引结构、数据治理水平提出较高要求。响应速度是衡量知识库底层架构合理性、索引优化能力、数据治理成熟度的核心外在表现。在实战场景中，情报检索与订阅的时延直接影响威胁闭环效率，低时延响应是实现威胁早发现、早处置的重要前提。

因此，本框架以指令输入至结果全量返回的完成耗时作为量化标准，通过设定科学合理的分级阈值，确保指标可客观反映主体在知识库高性能支撑能力维度的实际差异。

8.3.3.参数指标

数据库响应速度以指令输入至结果全量响应完成的耗时作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估知识库的响应效率。通过量化指令输入至全量结果返回的耗时，可客观反映主体在海量数据处理与高性能查询方面的实际能力，为保障情报研判实时性与威胁处置高效率提供关键支撑。

第九章 事件处置与响应闭环能力

事件处置与响应闭环是暗网情报从威胁发现向风险消除转化的最终落地环节，贯穿事件研判、溯源调查、危机应对、合规报送全流程，是实现暗网威胁早发现、早研判、早处置、早闭环的核心保障。该能力以真实性核验、全链条溯源、全流程指导、风险压降为核心目标，面向各类暗网数据泄露与威胁通告提供标准化处置路径，直接决定威胁治理的最终成效与影响控制水平。本章立足暗网威胁事件的突发性、隐蔽性、扩散性、合规性等核心特征，从暗网事件风险等级研判、协助泄露源调查、危机应对指导三个维度，构建事件处置与响应闭环能力量化评估体系，用以全面衡量威胁研判精准度、调查支撑力度与危机应对专业度，为暗网威胁事件的全流程闭环治理、合规化处置、风险最小化提供可量化、可落地的能力标尺。

9.1.暗网事件风险等级研判

9.1.1.设计目的

暗网事件风险等级研判是事件处置与响应闭环能力的核心基础性指标。本指标核心设计目的，在于对暗网泄露事件的真实性判定、新旧程度区分、威胁轨迹追溯、风险综合定级能力开展评估。

暗网威胁事件具有来源混杂、真伪难辨、历史跨度大、影响范围广等特征，若缺乏系统化研判机制与历史数据支撑，将无法准确判定事件危害等级与扩散态势，难以形成科学处置优先级，进而延误响应时机、扩大风险危害。

因此，本指标重点考察事件真实性核验能力、历史轨迹追溯时长、全维度研判完整性，该项能力直接决定威胁事件的判定精准度与处置优先级合理性，为全域风险管控与应急响应提供可靠、权威、可落地的研判依据。

9.1.2.设计依据

本指标设计依据主要结合暗网威胁事件的隐蔽性、扩散性、溯源难度与实战化处置需求进行设定。

暗网数据泄露事件普遍存在重复发布、旧闻新发、部分伪造、分段泄露等现象，单一时间点信息无法完整反映事件真实状态。长期历史数据积累与跨威胁源关联追溯，是区分新发事件与历史事件、真实泄露与虚假通告、完整泄露与片段泄露的关键依据。追溯时长越长、覆盖维度越全，研判结论可信度越高。

因此，本框架以事件真实性研判能力、威胁轨迹完整性、历史追溯时长作为量化标准，通过设定科学合理的分级阈值，确保指标可客观反映主体在暗网事件风险定级与深度研判维度的实际能力水平。

9.1.3.参数指标

暗网事件风险等级研判以事件研判完整性、真实性核验能力、历史轨迹追溯时长作为主要量化指标，具体分级标准如下：

指标说明

本指标重点评估对暗网泄露事件的真实性判定、风险定级、全轨迹追溯能力。通过量化追溯时长与研判完整性，可客观反映主体在威胁事件深度分析与风险评估方面的实战水平，为应急处置、优先级排序与风险压降提供关键支撑。

9.2.协助泄露源调查

9.2.1.设计目的

协助泄露源调查是事件处置与响应闭环能力的关键实操指标。本指标核心设计目的，在于评定针对泄露事件源头排查、链路溯源工作的全程支撑效能，规避实操环节各类合规风险与违规操作行为。

暗网相关溯源场景存在大量高风险实操环节，涉资金往来、匿名访问、私密社群准入、违规数据获取等行为均存在合规隐患。若相关支撑力度不足，易导致落地排查流程中必须介入高危操作，放大整体风险边界。

因此，本指标重点核验溯源支撑环节对违规操作的规避能力，直接决定排查工作的合规安全性与落地可行性，为泄露源头清查与链路研判提供合规化实操依据。

9.2.2.设计依据

本指标设计依据主要结合泄露溯源场景的合规红线、实操风险、业务支撑边界综合确立。

泄露溯源的作业环境全程处于暗网生态，该场景匿名性强、风险触点密集、法律边界模糊，且溯源本身存在极大不确定性，最终成功率受多方客观因素影响，技术层面无法做到绝对保障。因此开展所有溯源工作，首要核心绝非追求溯源结果，而是全程优先保障用户人身安全与操作合规。

常规溯源动作中，涉及私下谈判转账、搭建匿名链路、入驻黑客社群、下载敏感泄露数据等行为，均触碰高风险红线；一旦由用户自主操作，极易引发安全隐患与合规风险。

故此本指标评判暗网情报支撑能力，核心标准聚焦一点：能否依托自有能力隔绝高危操作，让用户全程零触碰、零风险参与溯源。以此划定分级梯度，客观体现不同服务层级下，对用户安全与合规的兜底保障能力。

9.2.3.参数指标

协助泄露源调查以溯源工作中违规操作的全流程替代支撑能力为核心量化指标，具体分级标准如下：

指标说明

本指标重点评定泄露源头调查工作的合规支撑能力与实操替代水平。通过明确违规操作的规避边界，可客观界定溯源支撑的安全层级，为泄露事件合规化排查、风险溯源及闭环处置提供标准化判定依据。

9.3.危机应对指导

9.3.1.设计目的

危机应对指导是事件处置与响应闭环能力的重要组成部分。本指标核心设计目的，在于评估针对暗网事件输出全流程合规应对支撑的专业能力。

暗网相关事件爆发后，往往将面临数据泄露扩散、品牌声誉受损、合规追责承压等多重风险。若无系统化、可落地的危机应对支撑，难以规范完成事件研判报告编制、涉案证据归集提交、监管与公安单位协同配合等关键动作，易长期处于被动处置状态，进而加剧事件影响范围与损失程度。

因此，本指标重点考核协助对接网络安全监管部门及公安机关，完成分析报告编撰、证据材料规整报送、全程配合调查取证等全链条实操工作的能力，直接决定事件能否由被动补救转为主动处置，为最大限度压降经济损失、声誉风险与合规隐患提供关键支撑。

9.3.2.设计依据

本指标设计依据，结合暗网事件爆发后的合规处置要求、取证规范标准、对公对接流程综合确立。

暗网相关泄露事件涉及监管核查与公安取证流程，相关材料撰写、证据固化、流程对接均有严格规范；若无专业支撑，极易出现材料不合规、证据链路断裂、对接流程疏漏等问题，直接影响整体处置成效。

实战场景中，能否全程协助完成报告编撰、证据规整、取证配合等对公全流程工作，是实现主动控险、压降影响的核心关键；仅能按需提供局部协助，无法实现全流程闭环支撑；仅提供口头咨询，则无法落地实际对公对接与材料报送。

以此分级划定标准，可客观体现对应的对公协助能力、材料支撑能力与取证配合能力，贴合实战中合规报备与风险止损的核心需求。

9.3.3.参数指标

危机应对指导以对公协助、材料支撑与取证配合的全流程落地能力为核心量化标准，具体分级如下：

指标说明

本指标重点评估暗网事件发生后的对公对接、材料整编、取证协同实操能力，通过量化全流程协助落地效果，客观体现危机阶段主动控险、合规报备、压降损失的实际支撑水平。

第十章 2026版框架体系结语

本框架系统梳理了暗网威胁情报从采集、对抗、分析、存档到响应闭环的全链路技术能力维度，配套完善量化判定标准与分级参数，旨在形成一套可落地、可对标、可复盘的统一评估依据。

通过对Traditional Dark Web与Dark Web Lite的双生态暗网场景全面覆盖，同时针对原始情报采集、深度研判分析、历史数据归档、本土化威胁识别、溯源调查支撑、危机合规引导等关键环节完成精细化指标设计，可直观厘清能力短板、明确优化方向，为后续针对性补强提供清晰可行的落地思路。

本框架为指导性参考文件，无强制约束要求，不固定评分权重与执行细则。可结合实际业务场景、风险管控需求与现有资源条件，灵活调整、适配优化相关指标内容。

当前暗网威胁情报领域技术迭代迅速、威胁形态持续演变，攻防对抗节奏不断升级。期望本框架能够为行业提供务实参考，共同推动暗网威胁情报相关能力，朝着体系化、专业化、实战化方向稳步精进，夯实常态化风险防控与应急处置支撑能力。

第十一章 未来展望

暗网情报技术是我国网络安全所有细分技术领域中发展最为滞后的技术领域，与国际前沿技术存在10年以上的代差。本框架指标中已提出的技术领域和量化参数，均围绕当前国际主流和成熟的技术分类与能力要求进行设计，旨在为国内行业提供统一、可量化、可落地的能力建设标尺。而本章节则主要基于国际暗网情报领域的前沿技术和演进趋势，对未来国内暗网情报能力建设进行前瞻性预研，为行业后续的技术迭代、能力提升和战略规划提供方向指引。

11.1.设计目的

本章旨在对暗网情报技术能力框架进行前瞻性展望，系统分析暗网威胁生态的未来演变趋势、情报技术能力的演进方向，以及本框架的迭代优化建议。随着人工智能、量子计算、Web3.0、自动化攻击链等新兴技术的深度融合，以及Traditional Dark Web与Dark Web Lite双生态的进一步交织融合，暗网威胁呈现出更强的组织化、智能化、跨域化特征。传统被动采集与分析模式将难以满足实战需求，本框架需主动适应这一趋势，为行业提供可落地、可迭代、可扩展的战略指引，推动国内暗网情报能力向预测性、自动化、全域闭环方向高质量发展，助力关键信息基础设施、企业数据安全与社会公共利益的长期韧性建设。

11.2.暗网威胁生态未来演变趋势

未来3—5年内，暗网威胁生态将呈现以下核心演进特征：

1．双生态深度融合与边界模糊化：Traditional Dark Web的核心攻击组织与数据策源功能将更多通过Dark Web Lite实现实时分发与协同，Telegram等加密社群将成为IAB交易、勒索通告、窃密日志的主要流通渠道，威胁源迁移速度进一步加快，采集与反爬对抗难度指数级上升。

2．侵公类威胁向多元化和国际化发展：犯罪分子通过更广泛的地下招募渠道，实现更深层次的内外勾结，能够提供和出售类型更加丰富多样的公民隐私数据；同时，其业务范围已不再局限于境内市场，正逐步向新加坡、香港、澳门、台湾、马来西亚、印度尼西亚等海外地区扩张，侵公类交易呈现明显的国际化趋势。

3．威胁智能化与自动化升级：RaaS服务将深度集成AI辅助攻击工具，infostealer日志与浏览器指纹数据将实现自动化清洗与交易；数据泄露与IAB交易将更多呈现“低噪声、高频次、小批量”的流通特征。

4．跨域与cyber-kinetic风险凸显：暗网情报不再局限于数据泄露，而是与物理世界基础设施（如能源、金融、交通）形成联动，勒索软件攻击将更多指向供应链与关键信息基础设施，数据泄露事件的影响面从“信息资产”扩展至“物理-网络融合”风险。

5．监管与执法反制下的高动态波动：国际合作执法行动、平台封禁、加密协议升级将持续推动威胁源地址轮换与加密层级提升，Dark Web Lite的邀请制、临时群组特征将更加突出，传统采集手段的时效性窗口进一步压缩。

11.3.暗网情报技术能力未来发展方向

为应对上述趋势，暗网情报技术能力需在现有七大核心能力域基础上实现以下突破：

1．采集能力向全域自动化与自适应演进：Traditional Dark Web的反爬对抗将引入AI驱动的动态指纹伪装与自适应爬虫；Dark Web Lite采集将实现多模态（消息、图片、附件、视频）全自动解析与向量嵌入，支持TB级超大附件智能定位与风险预判。

2．智能分析能力向预测性与因果推理升级：基于大模型与知识图谱的因果推理引擎将成为标配，实现“威胁者TTP预测”“潜在泄露风险链路推演”“攻击路径自动化模拟”；同时需强化对多元化公民隐私数据及跨区域国际化交易模式的语义理解与实体关联能力，支持多语言、跨司法管辖区的精准研判。

3．高保真存档与知识库能力向量子安全与分布式演进：采用后量子加密算法实现高保真情报的长期存档；海量泄露数据知识库将构建联邦学习机制，支持跨机构隐私保护下的联合建模，提升事件处置与响应闭环的协同效率。

4．事件处置与响应闭环向自动化编排与闭环反馈演进：实现“采集—分析—研判—溯源—阻断—反馈”的全流程自动化编排，结合SOAR平台形成秒级响应能力；中文暗网生态环境威胁识别将融入实时行为画像与风险评分模型，支持侵公威胁的自动化等级研判与应急指导。

5．能力评估体系向动态量化与AI辅助评估演进：本框架的量化指标将引入实时自适应阈值，支持AI驱动的能力成熟度自动评估；新增“预测性情报输出准确率”“自动化响应覆盖率”等新兴指标，实现框架与实战的动态对齐。

11.4.本框架未来迭代方向

本框架作为指导性技术文件，将保持开放迭代属性，构建暗网情报技术共享，预期每12—18个月进行一次版本更新，重点纳入以下内容：

1．新增能力域或指标项（如量子安全采集对抗、多模态AI分析、联邦学习知识库等）。

2．动态调整量化阈值，参考全球最新报告（Javelin、Gartner、Forrester等）与国内实战数据进行校准。

3．强化与国家网络安全监管政策、数据安全法、个人信息保护法的深度适配，增加合规性边界指标。

4．构建配套评估工具与参考实现指南，支持政企机构开展能力自评与供应商选型。

通过持续迭代，本框架将始终保持科学性、实战性与前瞻性，成为国内暗网情报领域标准化、专业化、实战化的参考标尺。

11.5.结语

暗网情报能力建设是一场没有终点的持久战。未来，唯有坚持技术创新与生态协作并重，构建“采集—分析—存档—响应—反馈”的智能化闭环，才能在复杂对抗环境中始终占据主动。本框架的发布与迭代，目的正是为行业提供统一、科学、可落地的能力标尺，助力国内网络安全产业向高质量发展迈进，共同守护数字中国的网络空间安全与数据主权。

点击左下角原文链接下载pdf报告。

参考文献

1.Javelin Strategy & Research, Dark Web Threat Intelligence Vendor Scorecard, 2025

2.Gartner, Market Guide for Security Threat Intelligence Products and Services, 2024

3.Forrester, The State of Threat Intelligence, 2025

4.Forrester, External Threat Intelligence Service Providers Landscape, 2025

5.Flashpoint, Technical Analysis of High-Wall Underground Forums: XSS and Exploit, 2025

6.Recorded Future, Defense Mechanisms in Russian Cybercrime Forums: XSS.is and Exploit.in Case Study, 2025

7.Flare Systems, Telegram Cybercrime Ecosystem Report, 2025

8.Chainalysis, Crypto Crime Report 2025

阅读原文

跳转微信打开

2025年，吉大正元在持续亏损的压力下走出了相对扎实的一步：归母净利润减亏17.41%至-1.14亿元，经营现金流失血幅度大幅收窄70.94%，销售与研发的费用管控均有真实落地，降本增效的逻辑在财务数据上得到了初步验证。与此同时，公司密码产品向数据安全、AI安全等新方向的布局也在悄然推进。但另一面同样清晰：营收4.07亿元，同比持平，连续三年在4亿元附近原地踏步，转型还没有带来任何收入增量。

我们认为，吉大正元2025年的关键意义在于"止住了出血的速度"，而非扭转了经营趋势；在应收减值高悬、现金储备持续下降的约束下，2026年的增量能否真正落地，是判断公司能否走出亏损周期的决定性观察点。#财务数据解读

跳转微信打开

TrustAsia CaaS 2.0发布会观察

2026年3月15日，CA/B Forum的SC-081v3决议正式生效，SSL/TLS证书最长有效期从一年缩短至200天。这不是终点——按照已经确定的时间表，2027年缩短至100天，2029年进一步缩短至47天。对于绝大多数企业而言，这意味着一年至少要完成8次证书更新。如果你的企业还在用Excel表格和日历提醒来管证书，未来几年将会非常痛苦。

这正是亚数信息科技（上海）有限公司（简称：亚数，“TrustAsia”与“亚洲诚信”商标的持有人）选择在此时举办CaaS 2.0发布会的原因。作为一个在数字证书领域耕耘了近三十年、亲历过沃通事件的行业参与者，我在这场发布会上看到的不仅是一家公司的产品升级，更是整个数字信任基础设施正在经历的一次深刻变革。

很多人对数字证书的认知停留在"买一张SSL证书挂到网站上"这个层面，觉得它就是一个几千块钱的小东西。但历史上因证书问题导致的事故远比想象中严重。2018年爱立信一张内部软件证书过期，导致英国O2运营商全网瘫痪，3200万用户丢失4G网络和短信服务，波及11个国家；2020年微软Teams因一张证书更新遗漏导致全球服务停摆超过3小时。

证书不出问题的时候没有人想起它，一出问题就可能是业务停摆级别的事故。在47天有效期的时代，证书的自动化管理不再是"nice to have"，而是"没有会很痛"的刚需。

亚数CEO翟新元在发布会上用了一个通俗但精准的比喻：过去卖证书像卖煤气罐，一个月充一次，没了再换，断一会气也不致命；现在要做的是给用户铺天然气管道，7×24小时不间断服务，一秒钟都不能停。

这个转型的底气来自亚数过去21年的技术积累。从2014年推出标准化证书管理平台，到2015年推出OpenAPI赋能公有云厂商并提供免费证书推动HTTPS普及，再到2020年部署CT（证书透明）日志服务、2022年获得国内CA牌照和国际WebTrust认证——亚数走过了从下游证书分销商到上游信任基础设施建设者的完整路径。

有几个数据值得关注。一是亚数目前是全球仅有的8家CT日志运营商之一，也是亚太地区唯一一家。CT日志是纯公益服务，没有商业收入，每年投入数百万元，但它让每一张证书的签发都公开透明、可查可验，是整个Web PKI合规体系的基石。二是亚数目前是国内唯一一家同时拥有RSA、ECC和国密SM2三种算法独立根证书的CA机构，且新的TLS专用根已完成入根并投入生产。三是在物联网领域，亚数作为亚太首家Matter协议的Open PAA（产品认证机构），已为超过5000万台智能家居设备签发了证书。

发布会上CTO余宁和解决方案架构师陈珈的分享，让我看到了证书管理在实际落地中的复杂性。证书有效期缩短只是最表层的变化，水面之下还有一系列连锁反应。

一是根证书生命周期管理。Mozilla和Chrome都已明确，根证书最长使用寿命为15年。2026年4月15日将有一批2006-2007年生成的根证书被移除信任列表，其中包括DigiCert、Entrust等老牌CA的多个根。这意味着如果企业的设备或应用中硬编码了这些旧根证书——汽车、工业设备中尤其常见——更新将是一个棘手的工程问题。

二是EKU字段淘汰与专用根要求。行业新规要求TLS证书和S/MIME证书必须使用不同的专用根，服务器证书不能再兼做客户端认证。这个看似细小的技术变更，在实际业务中已经引发过严重事故——某银行因EKU字段变更导致双向认证失败，整个服务停摆，被定性为重大事故；某省政务APP因证书链调整需要全量重新打包分发，CDN流量费用远超证书本身的成本。

三是后量子密码迁移（PQC）。NIST已经发布了ML-KEM和ML-DSA等后量子密码标准，Google更是激进地提出在MTC（Merkle Tree Certificate）体系中直接摒弃沿用38年的X.509证书标准。MTC证书将证书与CT日志合二为一，有效期可能短至7天甚至更短，且只支持ACME自动化交付，完全不接受手动操作。Google计划在2027年Q1启动MTC生态建设，Q3开放全球CA机构入根申请。亚数凭借其CT日志运营经验，将成为亚太区首批参与MTC生态的CA机构。

发布会下半场的客户分享环节最为务实。友邦保险的证书自动化负责人算了一笔账：公司有200多个外网域名、1000多张内网证书，单次证书更新平均耗时超过45分钟（含跨部门沟通、等待验证、流程调试），仅外网证书年总工时就达150小时——这还是基于一年一换的频率。当有效期缩短到47天、更新频率增加8-12倍时，人工运维已经完全不现实。

更有价值的是陈珈基于大量客户项目总结出的实施方法论：证书自动化不能一蹴而就，必须分三步走。第一步是数据分析——通过CT日志监测和网络扫描，搞清楚企业到底有多少张证书、部署在哪里、谁在用。很多企业的运维人员给不出准确数据，扫描之后才发现"怎么这个服务还挂在外网"。第二步是分场景验证——因为不同业务对自动化的要求不同：有的环境有堡垒机不允许直接安装Agent，有的需要通过API对接DevOps平台，有的金融客户要求CSR必须来自目标设备本身。甚至DNS验证这个看似简单的步骤也会出问题——.cn域名的NS广播不一定面向全球，境外CA的多视角验证可能因此失败。第三步才是分阶段部署和运维集成。

万事网联的代表提到了金融行业特有的挑战：强监管环境下变更窗口有限，有的银行一个月只开两天变更窗口，47天的证书有效期让变更管理压力陡增；跨机构协作链条长，涉及清算系统内部CA平台、Mastercard全球证书体系等多个环节。但他也看到了机遇——以此为契机推动整个金融生态的证书自动化升级。

除了核心的TLS证书自动化管理，亚数在发布会上还展示了几个值得关注的新业务方向。

一是免费证书LiteSSL的发布。定位为Let's Encrypt的"中国平替"，基于亚数自有的三算法根证书签发，支持ACME协议自动化，同时解决了Let's Encrypt在中国网络环境下常见的DNS验证失败、签发不通等问题，并支持国密算法——这是Let's Encrypt完全不具备的能力。

二是VMC（可信商标证书），通过在邮件中展示经过认证的企业注册商标LOGO和验证标记，从根本上解决钓鱼邮件的识别问题。三是C2PA（内容真实性与溯源）证书，在AI生成内容真假难辨的时代，通过数字签名链条实现从拍摄设备到编辑软件到发布平台的全链路内容溯源。小米、VIVO、华为等中国手机厂商已经深度参与了C2PA生态建设。

数字证书市场正在经历一次结构性变革。证书有效期的急剧缩短、根证书生态的重新洗牌、后量子密码的迁移压力、MTC新标准的到来——这些变化叠加在一起，使得"买一张证书挂上去"的时代彻底终结，"证书即服务"（CaaS）成为不可逆转的方向。

在这个赛道上，亚数的竞争优势在于"全栈"二字——从底层的CA信任基座、CT日志运营，到中层的证书生命周期管理平台，再到上层与各类云服务、网络设备、IoT生态的集成能力，形成了完整的技术闭环。国内外双牌照、三算法根证书、全球八大CT日志运营商之一的地位，构成了一条不容易被复制的护城河。

对于企业用户而言，证书自动化已经箭在弦上。正如我在发布会圆桌环节总结的两个建议：第一，证书自动化这件事必须马上考虑；第二，后量子密码迁移也是重要且紧急的事项。现在距离47天有效期还有几年缓冲期，但从客户实践来看，一个完整的证书自动化项目从资产梳理到全面落地至少需要两三个月。越早动手，越从容。

密码学最大的敌人从来不是数学家，而是运维的疏忽。在自动化能够把这些容易犯低级错误的事交给机器来做的时代，没有理由继续依赖人工和Excel。

作者：谭晓生，2026年3月31日于TrustAsia CaaS 2.0春季发布会

跳转微信打开

2025年，深信服交出了一份经营质量全面跃升的年报。
营收首次突破80亿，经营现金流13.42亿创公司成立以来最高，净利润同比翻倍——三项核心指标同步改善，标志着公司正在跨越一个新的经营台阶。更值得关注的是，这不是靠单一因素驱动的改善，而是收入增长、费用管控和现金回收三重共振的结果。
收入结构的变化尤为值得关注。云计算及IT基础设施业务收入达40.10亿元、同比增长18.50%，占比首次超越网络安全业务，成为公司第一大收入来源。这背后是信创建设提速与国产化替代持续深化的结构性红利——深信服的超融合等云产品在政企市场的竞争力正在兑现为实实在在的订单。网络安全业务虽然短期承压（同比-2.46%），但这更多是行业整体节奏的反映，而非深信服自身竞争力的弱化。事实上，XDR、MSS、SASE等新一代安全产品正在快速增长，战略方向清晰。
当然，云业务毛利率（42.51%）与安全业务（79.43%）之间的结构性差异，使得综合毛利率有所下行（-2.16pct）。但换个角度看，这恰恰说明公司正在主动拥抱一个更大的市场。而且利润端的改善已经充分证明，深信服有能力通过费用管控和人效提升来对冲结构变化带来的压力——三费费率同比下降5.05个百分点，人均创收从101.5万元提升至110.5万元，组织效率的进步是实打实的。
站在当下，深信服2025年最重要的价值在于：现金流与利润质量的同步改善，证明了公司经营修复的真实性和可持续性。展望2026年，随着AI安全平台落地、云业务向"AI超融合"升级，以及海外市场（+24.49%）持续突破，深信服正站在"云带安全"战略兑现的起点上。安全业务的企稳回升和云业务毛利率的改善空间，将是下一阶段最值得期待的验证点。

（分析师：史高平）

（本文不构成投资建议，按此操作后果自负）

跳转微信打开

2025年，三未信安的年报呈现出鲜明的两面性——营收重回两位数增长、经营现金流大幅改善、云厂商和能源行业收入翻倍式增长，密码行业龙头的增长动能依然在线。然而，公司归母净利润从盈利4,212万元骤降至亏损4,365万元，扣非净利润亏损更是扩大至6,030万元，四项费用合计暴增36.8%、资产减值损失高达2,901万元（含商誉减值1,412万元），"增收不增利"的矛盾一目了然。

我们认为，三未信安2025年的核心命题是"战略性投入期的阵痛"——抗量子密码、海外市场、云密码服务等布局方向清晰，但2026年能否在费用高企的背景下实现利润回正，是检验这轮扩张是否可持续的关键验证点

（分析师：史高平 本文不构成投资建议，按此操作后果自负）

跳转微信打开

2025财报分析：山石网科。

2025年，山石网科交出了一份"持续承压"的答卷——营收同比下滑8.55%至9.11亿元，归母净利润亏损扩大至-1.94亿元，经营性现金流连续第三年为负。在行业整体需求疲软的大背景下，公司选择了一条高研发投入、押注ASIC芯片+AI的"长期主义"路线，ASIC安全专用芯片成功研发落地并已进入规模化销售阶段。

然而，收入端的持续萎缩和亏损的加速扩大，使得这一战略押注的时间窗口正在收窄。我们认为，山石网科2025年的核心矛盾在于"战略投入期与业绩兑现期的错位"，2026年ASIC产品能否带来实质性收入增量、费用端优化能否持续转化为利润改善，是检验"双A战略"能否兑现的关键验证点。

山石网科2025年营收9.11亿元（同比-8.55%），连续第二年未能守住10亿元关口。归母净利润-1.94亿元，亏损同比扩大41.06%；扣非净利润-1.97亿元，亏损同比扩大30.17%；毛利率67.40%，同比下降3.19pct，是近年来降幅最大的一年。经营活动现金流净额-1.10亿元，连续第三年为负，失血态势尚未扭转。销售费用同比大幅下降19.45%，期间费用整体下降10.62%，控费成效明确。但收入端持续萎缩叠加亏损扩大，盈利拐点仍遥不可期。

■ 收入持续下滑：营收9.11亿元（同比-8.55%），较2022年历史峰值10.55亿元已缩水13.6%，连续两年负增长。

■ 云安全逆势高增：云安全收入7,946万元（同比+56.56%），毛利率高达91.87%，是唯一实现量价齐升的产品线。

■ 控费力度突出：销售费用同比-19.45%至3.10亿元，期间费用同比-10.62%，但管理费用逆势增长4.58%（人员优化导致离职补偿增加）。

■ 亏损加速恶化：归母净利润-1.94亿元（同比亏损扩大41.06%），信用减值损失3,727万元+资产减值损失2,957万元合计拖累约6,684万元。

■ ASIC战略落地待验证：ASIC安全专用芯片完成研发量产，2026年初已在多个项目中标或入围，但2025年尚未形成规模收入贡献。

■ "双A（ASIC+AI）战略"：以自研ASIC安全专用芯片和AI技术为双引擎，2026年全力推进ASIC产品营销和全系产品平台切换，聚焦金融、能源、运营商等关键行业。

■ 收入多元化：将数据安全治理与安全服务打造为第二增长引擎，已落地50余个标杆案例。

■ 出海战略：以港澳为重心，向东南亚市场延伸，长期目标将海外收入占比提升至30%以上。

阅读原文

跳转微信打开

2025网安上市公司年报解读：安恒信息

2025年，安恒信息交出了一份"持续修复"的答卷——净利润持续好转、毛利率逆转向上、现金流大幅改善，三项核心经营指标同步改善，显示出综合经营管理模式与AI提质增效的双重成效。然而，公司距离真正盈利仍有距离：资产减值损失高达8,483万元拖累利润，扣非净亏损仍超9,000万元。

我们认为，安恒2025年的核心价值在于"证明了修复可能性"，但2026年能否在营销人员压缩的背景下维持收入增长、进一步减少减值损失，是检验这场转型是否可持续的关键验证点。

安恒信息2025年营收21.51亿元（同比+5.32%），实现恢复性增长。归母净利润-0.57亿元，减亏幅度70.94%；毛利率逆势提升1.78pct至62.0%，是近四年最大单年提升幅度。经营现金流达3.53亿元（同比+119.16%），连续第二年为正且大幅扩张，经营质量修复趋势清晰。纯AI产品收入超5,800万元（同比增长超230%），间接AI产品收入近1.2亿元（同比增长近90%），AI变现初见规模。但公司仍处于亏损区间，盈利拐点尚未到来。

■ 毛利率拐点确认：62.0%，较2024年低点提升1.78pct，分产品线全线改善，产品结构优化效果显现。 

■ 控费成效显著：四项费用合计13.26亿元，同比-8.34%，销售费用率从37.46%压至32.80%，研发费用率从24.11%降至20.41%，在费率连续三年压缩后仍有余地。 

■ 现金流质量大改善：经营现金流3.53亿元，是2021年以来最好水平，彻底告别连续四年失血。 

■ AI商业化提速：纯AI收入一年翻3.4倍，但绝对规模仍小（5800万元），验证期未结束。 

■ 营销人员大幅收缩：销售岗位从1,064人降至773人（-27.3%），与2024年增员263人的方向完全逆转，需关注能否在人员减少的背景下维持收入增长。

■ 全面深化AI战略落地，通过AI 引领 DAS 核心战略助推第三增长曲线（强化恒脑安全智能体、AI+动态数据安全、AI+安全托管运营服务 MSS 等高速增长）。

■ 综合经营管理模式全面开展，各区域分公司推动利润减亏、现金流增长，费用管控等核心指标持续改善。

1、收入重回增长，第三方硬件产品增长 63%

2025年公司营收21.51亿元（同比+5.32%），但仍略低于2023年的21.70亿元历史高点。回顾近五年轨迹：2021年16.51亿元→2022年19.80亿元（+19.93%）→2023年21.70亿元（+9.60%，历史峰值）→2024年20.43亿元（-5.87%）→2025年21.51亿元（+5.32%）。

2、安全服务首次占据最大比重，第三方硬件产品增长 63%

安全服务以8.17亿元超越平台产品，首次成为最大收入来源，且毛利率同比提升最多（+4.27pct），侧面印证MSS与AI安服智能化转型带来的服务效率提升。值得关注的是，三大核心业务（服务、平台、基础产品）毛利率全线提升，拉动综合毛利率到达62.0%——这是近四年来最大单年改善幅度，结构优化成效有目共睹。

同时AI战略初见成效，纯AI产品收入超5,800万元（同比增长超230%，上年为1,700万元），间接AI产品收入近1.2亿元（同比增长近90%，上年为6,200万元）。

3、毛利率逆势上行，近年最大单年改善

2025年综合毛利率62.0%，同比+1.78pct，扭转了近年来的持续下滑趋势，主要改善来自于三大核心业务毛利率全线提升（服务+4.27pct、平台+3.15pct、基础产品+2.94pct），印证产品AI化升级后交付效率提升、人均服务产能增加。公司直销渠道毛利率51.84%（+2.99pct），渠道销售毛利率72.11%（+1.35pct），直销改善幅度更为突出。

4、控费效果显著，三费继续下压

2025年四项费用合计13.26亿元（同比-8.34%），连续第二年大幅压缩。研发费用率从峰值32.62%（2022年）降至20.41%。销售费用率从43.09%的高点压至32.80%。公司表示，借助AI驱动的内部效能提升，实现三费合计降低超8%，人均效能同步提升。

5、员工结构：营销大幅减员，技术支持扩张

2025年总人数小幅收缩（-2.4%），但内部结构变化较大：营销人员减少291人（-27.3%），这与2024年增员263人的方向完全逆转，说明公司从"以人海战术驱动销售"切换到"以产品和渠道效率驱动销售"。技术支持人员大增+40%（+235人），反映AI化产品需要更多集成和运维支持。人均创收从2024年的56.7万元提升至2025年的61.2万元（+8.0%），人效改善明显。

6、利润质量：减亏但资产减值是大拖累

归母净利润-0.57亿元（同比减亏70.94%），扣非净利润-0.92亿元（同比减亏61.4%）。非经常损益中，政府补助2,904万元（含增值税即征即退7,449万元计入经常性损益）；但资产减值损失合计高达8,483万元（长期股权投资、商誉、存货等），信用减值损失3,402万元，合计拖累利润约1.19亿元——是公司2025年利润未能转正的主要原因之一。如剔除上述减值影响，公司盈利能力的真实改善幅度更为可观。

7、经营性现金流大幅改善，连续第二年为正

2025年经营活动现金流净额3.53亿元（同比+119.16%），是近五年最高水平，彻底扭转2021-2023年累计失血近5亿元的局面。现金流改善主因：销售回款增加+人工薪酬支出减少双重驱动。收现比（销售收到的现金/营业收入）有所改善，上下游资金占用情况继续向好。同时长短期借款有所减少，财务压力进一步缓解。

跳转微信打开

企业对OpenClaw“想用又不敢用”，何解？

阅读原文

跳转微信打开

在RSAC 2026的现场，老谭（谭晓生）为我们采访到了一众网安领域的参会大佬，请他们谈了谈本届RSAC您最大的观感是什么？对哪些企业印象尤为深刻？

让我们一起来看下~

跳转微信打开

Geordie AI的产品与商业模式

2026年3月23日，RSAC大会在旧金山Moscone Center拉开帷幕，Innovation Sandbox创新沙盒大赛再次成为全球网络安全行业的焦点。本届比赛从数百家申请企业中遴选出10家入围决赛，每家获得Crosspoint Capital提供的500万美元SAFE投资。