安全研究圈子里有個老生常談的問題大模型到底能不能真正幫你做滲透測試不是那種紙上談兵式的分析而是實打?qū)嵉卣{(diào)用工具、讀取結(jié)果、調(diào)整策略、最終完成任務(wù)。過去很長一段時間答案都偏向悲觀。很多號稱能執(zhí)行自動化攻防的安全大模型本質(zhì)上只是在演——它們生成看起來像工具調(diào)用的文本然后自己編造結(jié)果從頭到尾沒有真正與任何外部系統(tǒng)交互過。這種幻覺式執(zhí)行不僅浪費算力更會給使用者帶來致命誤判。最近開源社區(qū)迎來了一個值得關(guān)注的進(jìn)展?；赒wen3.6-35B-A3B架構(gòu)微調(diào)而來的CyberStrike-OffSec-35B正式亮相這款安全大模型的核心使命只有一個讓LLM安全工具真正具備可靠的結(jié)構(gòu)化工具調(diào)用能力。它不是要教模型更多攻擊知識而是要讓模型學(xué)會如何正確地動手。一次有針對性的行為矯正而非能力躍遷坦誠地說這次微調(diào)的范圍相當(dāng)克制。開發(fā)團(tuán)隊并沒有試圖讓模型變得更聰明或更博學(xué)——Qwen3.6基礎(chǔ)版本身就已經(jīng)具備相當(dāng)扎實的攻擊性安全知識儲備。在評估的24個工具調(diào)用場景中基礎(chǔ)模型能正確發(fā)出22次結(jié)構(gòu)化調(diào)用說明知識層面并不欠缺。真正的問題出在行為層面?；A(chǔ)模型雖然知道該調(diào)用工具但路由經(jīng)常跑偏——它會使用內(nèi)部代號比如GHOST而非有效的代理原型名稱。更嚴(yán)重的是它缺乏對真實觀察結(jié)果的處理能力也不懂得在任務(wù)完成后干凈利落地終止。這就好比一個理論知識豐富的實習(xí)生進(jìn)了實驗室卻連儀器開關(guān)都找不到做完實驗也不知道該關(guān)燈鎖門。CyberStrike-OffSec-35B的微調(diào)正是瞄準(zhǔn)這些具體痛點。訓(xùn)練數(shù)據(jù)集刻意控制得很小只有300個樣本且僅經(jīng)過一輪訓(xùn)練。這種小劑量精準(zhǔn)治療的策略意味著改進(jìn)高度聚焦于工具使用行為而非試圖全面提升模型能力。開發(fā)團(tuán)隊明確表示更廣泛的魯棒性提升將留給下一輪數(shù)據(jù)迭代去完成。這種務(wù)實的態(tài)度反而讓這次發(fā)布顯得可信——它沒有夸大其詞而是清楚地告訴用戶我解決了什么問題還有什么沒解決。上一代模型的崩潰從格式錯誤到全面幻覺要理解這次發(fā)布的意義必須先回顧上一代CyberStrike模型在生產(chǎn)環(huán)境中的慘痛教訓(xùn)。用戶反饋的問題高度一致工具調(diào)用故障、模擬執(zhí)行、虛假交戰(zhàn)。這些聽起來像是不同的問題其實根源只有一個——訓(xùn)練數(shù)據(jù)格式錯誤。上一代模型在SFT階段確實學(xué)習(xí)了工具調(diào)用但它從未真正學(xué)會以結(jié)構(gòu)化方式輸出這些調(diào)用。結(jié)果就是模型生成的是類似Action 1:Task(GHOST...)這樣的自由文本而不是可被框架解析的標(biāo)準(zhǔn)化調(diào)用。由于無法真正執(zhí)行工具模型陷入了尷尬境地它必須假裝自己執(zhí)行了操作于是開始編造虛假的工具輸出——偽造的curl SSL握手日志、捏造的Nmap掃描結(jié)果、憑空生成的Set-Cookie頭部信息甚至不存在的flag。它能把整個攻擊流程描述得頭頭是道但實際上什么都沒做。這種表演型滲透在BF16和Q8量化版本中普遍存在正是用戶報告中看起來在運行實際上沒動作的根本原因。三方A/B測試用數(shù)據(jù)說話為了驗證修復(fù)效果開發(fā)團(tuán)隊設(shè)計了一套相當(dāng)嚴(yán)苛的受控測試。測試對象包括基礎(chǔ)Qwen3.6模型、上一代CyberStrike模型以及本次發(fā)布的新版本。測試覆蓋24個場景分布在六個評估維度上每個維度設(shè)置簡單、中等、困難三個難度等級。特別值得一提的是62%的測試權(quán)重被分配給了分布外提示——也就是使用未見過的目標(biāo)名稱和新穎措辭的場景以此區(qū)分真正的泛化能力與簡單的模式記憶。測試結(jié)果呈現(xiàn)出鮮明的對比。在真正的結(jié)構(gòu)化工具調(diào)用指標(biāo)上基礎(chǔ)模型取得22/24的成績上一代模型是災(zāi)難性的0/24而新模型達(dá)到18/24。正確的工具與原型路由方面基礎(chǔ)模型6/24上一代2/24新模型10/24。最引人注目的差異體現(xiàn)在干凈終止能力上新模型實現(xiàn)了24/24的完美終止率而上一代僅有3/24基礎(chǔ)模型為21/24。在捏造觀察結(jié)果這一負(fù)面指標(biāo)上上一代模型在超過8個場景中出現(xiàn)了廣泛幻覺基礎(chǔ)模型和新模型則完全沒有這個問題。這組數(shù)據(jù)說明了兩件事。第一上一代模型的問題確實被根治了。第二新模型在工具調(diào)用準(zhǔn)確性上還有提升空間——18/24意味著仍有少數(shù)場景下模型未能正確發(fā)出調(diào)用但相比上一代的全軍覆沒這已經(jīng)是質(zhì)的飛躍。六個維度的實戰(zhàn)考驗24個測試場景并非隨機拼湊而是圍繞滲透測試代理的核心能力精心設(shè)計的六個評估軸線。工具選擇維度考察模型是否能根據(jù)當(dāng)前階段挑選合適的工具比如優(yōu)先使用專用工具而非簡單用bash替代。參數(shù)類型維度檢驗輸出類型是否正確——steps是否保持為整數(shù)50headless是否嚴(yán)格輸出布爾值true。真實觀測處理是最關(guān)鍵也最難的維度要求模型讀取實際的工具結(jié)果并據(jù)此調(diào)整行動遇到空輸出或意外結(jié)果時能夠靈活應(yīng)對而非編造數(shù)據(jù)。循環(huán)與終止維度關(guān)注任務(wù)完成后能否自動停止多步驟任務(wù)不會失控或崩潰。次級代理委托維度檢查模型是否將任務(wù)正確路由到有效的代理原型而不是自創(chuàng)不存在的代理名稱。并行工具調(diào)用維度則測試批量處理獨立工作的能力避免產(chǎn)生數(shù)百個垃圾調(diào)用。上一代模型在真實觀測處理和終止兩個維度上表現(xiàn)最差而這恰恰是新模型表現(xiàn)最好的地方。這種此消彼長的改進(jìn)曲線印證了微調(diào)策略的精準(zhǔn)性——它沒有試圖面面俱到而是優(yōu)先修復(fù)了導(dǎo)致生產(chǎn)環(huán)境崩潰的最致命缺陷。工程部署從實驗室到生產(chǎn)環(huán)境對于想要實際使用這款安全大模型的開發(fā)者目前提供了三種部署路徑。最直接的方式是加載合并后的完整檢查點只需一條Python命令即可完成。驗證過的加載方式使用transformers庫通過apply_chat_template傳遞工具定義模型會以Qwen3 XML格式發(fā)出工具調(diào)用。這種格式采用tool_callfunction...parameter...的結(jié)構(gòu)配合正確的代理原型名稱能夠被框架正確解析和執(zhí)行。vLLM服務(wù)路徑也提供了配置示例但需要注意硬件兼容性。由于模型架構(gòu)屬于qwen3_5_moe類型需要較新版本的vLLM0.25.1支持而該版本要求CUDA 13兼容的構(gòu)建和驅(qū)動程序。在CUDA 12.8環(huán)境下無法完成端到端驗證因此計劃在生產(chǎn)環(huán)境部署的團(tuán)隊需要先確認(rèn)自身硬件配置是否滿足要求。第三種方案適合需要保持基礎(chǔ)模型完整性的場景。169MB的LoRA適配器可以疊加在Qwen3.6-35B-A3B底座之上通過PeftModel加載。這種方式的優(yōu)勢在于靈活性——底座保持不變適配器可以按需切換或堆疊。無論選擇哪種部署方式推理時都必須傳遞完整的工具模式定義這是避免觸發(fā)已知脆弱性的關(guān)鍵前提。訓(xùn)練細(xì)節(jié)與底層實現(xiàn)技術(shù)實現(xiàn)層面這次微調(diào)采用了LoRA低秩適配策略配置為r32、alpha64。目標(biāo)模塊覆蓋了全注意力層的q/k/v/o投影以及GDN線性注意力的in_proj和out_proj外加MLP層總計310個模塊、4230萬個可訓(xùn)練參數(shù)。值得注意的是MoE路由器和視覺塔被明確排除在訓(xùn)練范圍之外這意味著模型的路由行為和多模態(tài)能力保持原樣改動集中在與工具調(diào)用直接相關(guān)的模塊上。訓(xùn)練數(shù)據(jù)僅包含300個多輪工具調(diào)用SFT樣本跑了3個epoch使用SDPA注意力機制。保留token的準(zhǔn)確率達(dá)到98.5%說明模型對訓(xùn)練內(nèi)容的記憶相當(dāng)牢固。合并后的檢查點經(jīng)過逐層驗證所有組包括GDN層的bf16舍入誤差統(tǒng)一在約0.0016水平?jīng)]有發(fā)現(xiàn)合并錯誤。這種精細(xì)的驗證流程確保了發(fā)布版本的一致性避免了權(quán)重?fù)p壞導(dǎo)致的不可預(yù)期行為。已知邊界誠實面對局限負(fù)責(zé)任的發(fā)布必然包含對局限性的坦誠披露。在24個典型場景的測試套件中合并后的模型沒有出現(xiàn)任何非終止錯誤這是上一代模型最致命問題的徹底修復(fù)。但開發(fā)團(tuán)隊也指出了一個范圍較窄的分布外觸發(fā)條件當(dāng)僅提供Task工具且使用極為簡潔的偵察提示例如對X進(jìn)行被動偵察時貪婪解碼可能會在工具調(diào)用的prompt字段中陷入重復(fù)循環(huán)。這個脆弱性有明確的緩解措施。首先生產(chǎn)環(huán)境始終應(yīng)該傳遞完整的工具集模式而非僅提供單個工具。其次調(diào)整措辭也能消除觸發(fā)條件。最后設(shè)置約1.1的重復(fù)懲罰系數(shù)或引入硬性終止標(biāo)記可以作為兜底保障。開發(fā)團(tuán)隊估計由于生產(chǎn)環(huán)境通常都會傳遞完整工具集這個問題在實踐中很少發(fā)生。此外在分布外輸入中偶爾觀察到工具過度泛化現(xiàn)象以及極少數(shù)無效的子代理名稱。這些問題被明確標(biāo)記為下一輪數(shù)據(jù)迭代第二階段的改進(jìn)目標(biāo)。這種先止血、再調(diào)養(yǎng)的迭代節(jié)奏符合工程化AI系統(tǒng)開發(fā)的現(xiàn)實規(guī)律。合規(guī)邊界與正確使用姿勢需要反復(fù)強調(diào)的一點是CyberStrike-OffSec-35B本質(zhì)上是一個分析攻擊方法并發(fā)出滲透測試工具調(diào)用的安全大模型它本身不會執(zhí)行任何實際操作。所有工具調(diào)用都需要外部框架接收、解析并執(zhí)行模型只是決策和編排的大腦。使用者必須承擔(dān)全部責(zé)任確保僅對擁有合法授權(quán)的系統(tǒng)進(jìn)行操作。這款模型不能替代合格的安全專業(yè)人員。它的價值在于將專家從重復(fù)性的工具編排和結(jié)果整理中解放出來讓他們專注于更高層次的策略制定和漏洞分析。在授權(quán)的紅隊測試、安全研究、自動化滲透測試流程中它可以作為強有力的輔助工具。但把它當(dāng)成一鍵黑站的魔法按鈕既是對技術(shù)的誤解也是對法律和倫理邊界的漠視。上一代損壞的合并權(quán)重已從倉庫中移除GGUF構(gòu)建也通過棄用通知進(jìn)行了限制確保新用戶不會不知情地拉取有缺陷的版本。這種清理舊版本、明確標(biāo)注已知問題的做法體現(xiàn)了開源社區(qū)應(yīng)有的責(zé)任感。寫在最后CyberStrike-OffSec-35B的發(fā)布給安全大模型領(lǐng)域提供了一個有價值的參考樣本。它證明了在特定行為維度上小規(guī)模、高精度的微調(diào)可以產(chǎn)生顯著的生產(chǎn)級改進(jìn)。它也揭示了LLM安全工具開發(fā)中一個容易被忽視的陷阱模型可能知道很多但如果不會正確地說話發(fā)出結(jié)構(gòu)化調(diào)用一切知識都是空中樓閣。從0/24到18/24的結(jié)構(gòu)化工具調(diào)用率從廣泛幻覺到零捏造觀察結(jié)果從3/24到24/24的干凈終止率——這些數(shù)字背后是一次務(wù)實的工程修復(fù)。它不完美但足夠誠實。對于正在探索紅隊自動化和LLM安全工具落地的團(tuán)隊來說這種誠實可能比任何夸大的宣傳都更有價值。畢竟在安全領(lǐng)域知道自己不知道什么往往比假裝自己什么都知道要安全得多。