安全护栏会卡住取证分析

npinto · x · 2026-07-19

作者在做日志取证分析时发现：如果把大规模真实攻击命令、利用载荷和 C2 产物发给商业前沿模型，往往会被安全护栏直接拦截，模型无法区分“事件响应人员”和“攻击者”。于是团队改用 **GLM 5.2** 这种开源权重模型，并部署在自有基础设施上完成分析。这样做的额外好处是，攻击者数据以及模型提到的凭据都不会离开他们的环境。