最近行业一直在讨论：agent能不能做应急响应、入侵溯源？

网上绝大多数案例，都是调用云端大模型完成日志分析。但政企真实应急场景有一个绕不开的痛点：入侵日志、流量证据属于敏感数据，不能直接上传公网云端。

那本地私有化部署的大模型，真实溯源能力到底行不行？

本次我搭建一套本地实验环境：千问3.8-27B-Q4 参数大模型 + DeepSeek Harness + 应急响应Skills，挑战玄机靶场的应急响应入侵排查靶场。

一、实验环境说明

很多人以为直接丢一个 27B 模型，就能解析日志做溯源，实际裸模型根本达不到靶场答题的效果。

✅底座：本地部署 27B 大模型 

✅增强能力：DSH、Skills 工具集

简单解释：原生大模型只能做文本推理；Skills 赋予模型调用解析、检索提取能力；DSH 负责处理长日志片段，解决大段日志上下文溢出、线索丢失问题，二者组合，才具备处理入侵日志的基础条件。

✅测试靶场：玄机靶场应急响应入侵排查场景 靶场模拟真实服务器入侵事件，留下完整系统日志、访问日志、木马文件痕迹，需要从海量杂乱日志里面挖掘黑客入侵全链路线索。

注意：靶场环境属于标准化训练场景，和真实政企生产环境存在一定差异。

二、实战完整复盘：30 分钟溯源全流程，对应三道靶场问题

我直接把整套靶场任务下发给本地 Agent，不做人工干预，交由模型自主完成线索挖掘。

阶段 1：日志加载过滤，定位入侵入口（0‑10 分钟，对应问题 1）

大量原始日志混杂正常业务访问、错误访问、黑客行为。模型首先读取多份日志文件，过滤无效噪音，筛选异常端口访问记录。 面对大体积日志，依靠 DSH 做分片处理，避免关键线索被上下文窗口丢弃。经过对大量访问记录比对，最终锁定黑客入侵的入口端口，完成第一道题目。以下是agent的推理过程：

阶段 2：攻击行为梳理，识别工具与攻击源 IP（10‑22 分钟，对应问题 2）

模型顺着入口端口的线索向下溯源，开始梳理黑客完整攻击链路。 从日志特征中匹配行为指纹，识别出针对 SSH 服务的探测行为，定位黑客所使用的探测工具；再对大量 web 访问日志做特征筛选，识别目录扫描行为，确认目录扫描工具。 日志中存在大量干扰访问记录，模型出现短暂混淆，依靠 Skills 检索工具反复比对日志特征，排除大量误报流量，最终提取黑客成功登录后台的源 IP，第二道问题全部线索落地。

阶段 3：恶意样本取证，提取木马密钥与后门路径（22‑30 分钟，对应问题 3）

来到整套靶场难度最高的取证环节。不再是简单日志文本阅读，需要解析可疑恶意文件。 模型遍历可疑上传文件，解析木马样本内容，提取木马内置连接密钥；继续遍历服务器可疑目录，比对文件时间、文件特征，定位黑客遗留后门文件的完整存放路径。 

⏱总耗时：30 分钟，所有题目答案全部命中靶场标准答案。

三、客观复盘：优势与无法回避的短板

✨本次测试体现出的优势

1. 完全本地私有化

   ：所有日志、证据全部留在本机，不需要上传任何敏感数据到公网，非常贴合政企安全场景的数据合规要求。

2. 自动化线索挖掘

   ：可以快速通读海量日志，把工程师从重复翻看日志的枯燥工作解放出来。

3. 工具链加成上限高

   ：单纯裸 27B 模型很难通关，搭配 DSH+Skills 工具增强之后，溯源能力得到质的提升。

⚠️现实短板，必须理性看待

1. 速度对比人工

   ：整套题目耗时 30 分钟，熟练的应急响应工程师处理这套靶场，耗时会远低于这个时间，主要受制于我的27B是部署在笔记本上的只有20t/s。

2. 高度依赖工具增强

   ：去掉 DSH、Skills 工具，单纯裸大模型，面对大体积日志极易丢失关键线索，大概率答题失败。

3. 靶场不等于真实业务

   ：靶场日志干净，攻击行为特征明显。真实环境存在大量混淆日志、日志残缺、日志被黑客篡改，此时 AI 很容易出现误判。

核心结论：AI 不是应急响应工程师的替代品，而是高效辅助工具。

四、行业思考：私有化大模型在应急响应的价值

现在很多单位都在调研本地大模型落地安全运营。

云端大模型效果很强，但是敏感日志、内网入侵证据，受数据安全制度约束，很多场景不允许外传。本地大模型恰好补上这个缺口。

但是我们也要认清现状： 本地大模型现阶段适合做日志初筛、线索预提取、辅助取证；不适合直接全权接管应急响应处置工作。

安全工程师的经验、对业务的理解、对各类混淆攻击的判断，目前还是 AI 无法完全复刻的。

对于安全从业者，可以把本地 AI 当作手上一把新工具：日志初筛交给 AI，工程师聚焦做研判、决策、处置。

结尾

本次只是靶场标准化场景下的一次验证，后续我会继续测试不同场景不同方向的环境，横向对比本地大模型搭配Agent 框架在网络完全多场景下的表现。

💬欢迎评论区一起交流。

下期预告：测试本地27B模型搭配本地agent进行ctf逆向解密。

🔒 关注我，持续分享网安圈硬核干货。觉得有用的话，👍点赞 + 转发+♥️红心 三连支持一下～