AI取证实战第27期：本地大模型下IDA MCP VS IDA Assist实操测评

原创

小谢
小谢

小谢取证

2026年10月17日 18:27
福建

去阅读

AI取证实战第27期：本地大模型下IDA MCP VS IDA Assist实操测评

上期AI取证实战第26期：IDA Pro 9.5 Assist 接入本地大模型初体验关于本地大模型接入IDA9.5的Assist引发了评论区的一些讨论

这期我们就来测评对比对比一下在同样的配置同样的本地大模型的状态下，是IDA的MCP强还是Assist强。

以下是本地的测试环境：

接下来直接上2024年美亚杯资格赛当中的程序逆向题目：

手工解析的题解在：2024美亚杯资格赛程序逆向详解

为了将两个测试环境区别开来，分别创建两个文件夹分别存放Bitlocker.exe

接下来先是对IDA的MCP工具进行测试：

进入思考的循环，直接放弃：

这个也跑了4分钟多：

当然也有可能是本地环境的问题：

最后尝试一下官方的ida assist的MCP工具看能不能成功，这个时候我们切换到在线的大模型让他安装ida assist的MCP工具

ida assist的MCP工具特点：

在连接器当中点击“信任”

找到对应的assist，点击信任

Prompt：调用assist的MCP工具，Bitlocker.exe已在ida打开，在Bitlocker.exe中查找哪个字符串最有可能与显示的登录状态有关?

又陷入了循环，所以我放弃了workbuddy的agent。使用Pi agent尝试一下。

什么是Pi agent？

直接打开pi，让他安装mcp工具：

但最后他卡住了。后面也没管它了。

最后还是返回到ida的Assist，让他跑完剩下的题目看下效果把（以下每道题目跑的时间平均没有超过3分钟）：

跑的结果：

继续下一题：

答案：

继续询问下一题：

给出的分析结果：

最后来测评一题需要进行动态调试看他能不能直接出来答案：

参考David\_USB\_8GB.e01,决定能否解密 Bitlocker Key 的内存偏移量(Memory Offset)后,应该如何利用它来进行解密?

A:将该偏移量处的值改为 1 (true),以启用解密过程;

B:将该偏移量处的值改为 0 (false),以重新初始化加密过程;

C:将该偏移量的内容保存到档中以作解密过程中的key;

D:清空该偏移量的内存并强制退出程序

所以这题的答案是A。

确实是正确答案。

所以评测下来，在本地的环境下，在工具上有内嵌AI问答的优势明显高于连接MCP工具，因为不需要考虑连接MCP工具也不需要考虑skill太多，需要做skill路由，本地大模型进行连接会大量占用上下文等问题。类似这样的工具在AI取证实战第12期:电子数据取证的常用 AI 工具搭建及应用

最后如果需要IDA9.5的便携版（安装Assist教程在AI取证实战第26期：IDA Pro 9.5 Assist 接入本地大模型初体验）与文章中使用到的实操素材Bitlocker.exe，一键三连本文章，后台私信回复即可。

敬请各位大佬关注：小谢取证

扫取二维码获取

更多精彩

小谢取证