人工智能赋能网络安全应用测试获奖能力揭秘：大小模型协同的智能网络流量安全威胁检测

  //  

加密流量占比持续攀升，攻击手法日益隐蔽，传统基于规则与特征的检测手段面临困境。绿盟科技将自研流量检测及加密流量识别算法，与 AI Agent、大模型技术深度结合，构建了一套“大小模型协同、双引擎驱动、多源融合”的智能检测体系，让机器真正学会“读懂”流量。

图 1 方案总体架构

一

先分流，再研判：像分诊台一样处理流量

面对海量 PCAP 流量，方案的第一步不是“硬算”，而是“分诊”。基于行为特征与硬性特征，智能初筛分诊引擎将流量自动划分为多轮交互、单步可研判、TLS 加密、隐蔽隧道、非常规协议等类别：暴力破解、端口扫描、DNS 隧道、JA3 恶意指纹等典型行为被快速识别归档，正常业务流量直接放行。大规模流量快速分流与重点流量深度分析相结合，让算力精准投放到最值得分析的地方。

二

双引擎协同：一个管规模，一个管深度

批量研判 Workflow 智能体承担规模化自动分析：GRU-CNN、WebShell 检测、加密行为分析、应用载荷分类四类专用小模型并行初筛，大模型再依据置信度与冲突评估结果进行深度复核，“小模型高并发初筛 + 大模型深度复核”的协同研判机制，显著摊薄了整体推理成本。

流量检测 ReAct 智能体则专攻复杂流量：以“自主规划 + 工具调用 + 大模型推理”的模式，调度 tshark、Zeek、DPI 等工具完成 flow / packet / burst 多维解析，并内嵌覆盖木马回连、隐蔽隧道、扫描爆破、漏洞利用、WebShell 后门、恶意文件六大场景的流量检测 SKILL，一句话即可触发 pcap 五分类深度研判。

三

加密流量：从原始字节到最终研判的全链路

针对加密流量“内容不可见”的难题，方案构建了六层全链路检测：从 PCAP 标准化接入，到包长、包间隔、TLS 特征等六类特征提取，再到 JA3 指纹、Embedding 等四路并行特征处理；检测层由指纹检测、LGB、BERT、Kitsune 多模型协同，覆盖规则匹配、有监督分类与无监督异常检测三大范式，最终经综合决策层输出统一评分与检测归因。全程不依赖 IP / SNI 真实值，纯特征、形态与统计信号研判。

四

 动态加权投票：让每个结论可解释、可追溯

方案设计了动态加权投票机制：动态权重 = 模型基础权重 × 结果置信度 × 证据质量 × 模型一致性，四个维度共同决定每个模型在本次判定中的话语权，综合风险评分最高的类别即最终结论。全过程分析结果完整保留，每一条判定都能说清“为什么”，实现检测结果可解释、可追溯。

实测说话

小参数模型跑出大模型精度

在 7,495 条实网流量（含加密与混淆样本）的混合黑白样本测试中，自研 SecLLM-3.5-14B 取得 95.76% 的攻击结果准确率，媲美一众满血版通用大模型，而参数量与推理成本显著更低，兼顾了检出效果与落地经济性。

面临智能化攻防的全新挑战，绿盟科技风云卫以安全垂域大模型+多模型融合方式构建底座，将 AI 深度融入安全检测、运营研判与攻防对抗全链路，推动安全防护从被动处置走向自主闭环。它打通多源安全系统，以数字人智能体承接海量重复性安全工作，释放安全专家精力聚焦风险决策。以智制智，持续进化，风云卫正在为企业构筑可生长、可实战的数智安全防线，护航数字化业务行稳致远。