□ 南京日报/紫金山新闻记者 张甜甜
凌晨，一场无声的“抓捕”正在进行。
某电力集团关键信息系统内，数据流平静如常，但隐匿的攻击者正悄然逼近。瞬间，多个站点通信中断同时触发。
别慌。暗处，一双“眼睛”早已锁定它们。
系统迅速反应，实时推演。多源数据自动汇聚，虚假的线路跳闸信号等“伪装者”被逐一剔除。对手的全盘计划被推演还原，下一步动向被提前预判：A站信号与物理潮流吻合，确认真实故障；B、C两站信号与设备状态矛盾，系虚假注入。数套分级处置方案弹出，并标注可能带来的次生风险……这场“抓捕”干净利落，背后是一个名为“惊蛰”的网络安全大模型。
国家互联网信息办公室发布的最新一批生成式人工智能服务备案公告显示，博智安全科技股份有限公司旗下“博智惊蛰大模型”通过备案，这个准备在暗处守护数字山河的大模型，拿到了“上岗”通行证。
“网巡员”实时在线，找出隐匿“钉子”
“惊蛰节到闻雷声，震醒蛰伏越冬虫。”春雷初动，发声启蛰，这是节气的本义。如今，为守住特种、能源等关键行业网络防线，找出隐匿其中的“钉子”，“惊蛰”大模型出击。
“以前网络遭隐蔽攻击，传统工具只能等病毒暴发、系统瘫痪后才报警，我们也只能事后破案——回头找‘线索’、追‘脚印’、拼‘画像’，经过几个小时复盘才能理清对手进攻路子。”博智安全副总裁兼总工程师胡志锋打了个比方，“现在有了‘惊蛰’大模型，就像安排了一名‘网络巡查员’24小时盯着整套网络，对手刚留下隐藏漏洞、试探性渗透的细微痕迹，就能立刻觉察，揪出暗藏威胁，当场给出完整攻防方案，从‘事后破案’变成‘现场抓捕’。”
速度是决胜的关键。据介绍，在日常的复杂攻击链回溯分析中，传统安全分析师平均耗时4—6小时，“惊蛰”大模型能在15分钟内还原完整攻击路径，时间压缩超过90%。“在网络安全领域，快一步，可能就能定胜负。”胡志锋说。
快，不是天上掉下来的。
没有平时的千锤百炼、艰苦磨砺，就没有战场上的所向披靡、胜券在握。如何既让模型学到攻防知识，又不触碰保密红线？博智安全的方案是“数据可用不可见”：原始数据留在各单位本地涉密环境，不向外传输；仅加密传输模型梯度与参数更新，同时对训练数据施加隐私保护噪声，防止从模型反推原始样本。“软硬件全部国产化闭环，没有数据跨境和算法不可控的风险。”胡志锋说。
训练“左右互搏”，“工具库”常用常新
兵无常势，水无常形。网络对抗是动态博弈，对手也能用AI，也在升级，如何让自己的“工具库”常用常新？
走进博智安全，一块块大屏上，红蓝两军正昼夜不息地交战。这是“惊蛰大模型”的“双智能体对抗训练系统”：同时启动攻击方和防守方两个AI智能体，持续开展自动化红蓝对抗。攻击方不断变换策略，尝试新的渗透路径；防守方实时分析对手动向，训练识别从未见过的新型攻击手段。每一次对抗结束，系统自动生成大量新型攻防样本，喂给模型继续迭代。就像两个顶尖高手持续“华山论剑”，招数越练越精，拆解越来越快。这些“打出来”的经验，最终沉淀为实战能力。
有人问，这不就是AlphaGo自己跟自己下棋吗？
“AlphaGo的棋盘有固定规则，边界封闭，输赢分明。网络对抗不一样——对手的策略在持续演变，没有固定规则，今天用这招，明天可能换一套全新的打法。”胡志锋补充道，“惊蛰”大模型仍要结合人类专家红蓝演练样本与真实攻防告警样本融合训练，这3条训练线拧成一股绳，才能让模型既具备自动化进化能力，又不脱离实战约束。
安全可控，做“参谋”不做“司令”
快，还不够。
通用大模型会“编故事”——业内称为“幻觉”。这在聊天、写作场景中或许无伤大雅，但在网络安全领域，一次虚假情报或错误研判，可能导致无法挽回的后果。“惊蛰”大模型的解法，是用四层架构给模型套上“缰绳”。
与通用大模型“基座+对话层”的简单结构不同，“惊蛰”大模型采用“基座大模型+可信知识库+多层安全围栏+决策溯源校验”的纵深体系。训练阶段，所有数据经过专家多级审校，并刻意加入大量“信息不足时拒绝臆断”的样本，给模型定下“铁律”：拿不准就不下结论。更关键的是，模型输出的每一个分析结论，都只是“情报参谋”而非“行动指令”。
“人可以借助机器的速度，但最终的‘扳机’必须扣在人手里。”胡志锋说，这是技术底线，也是安全红线，“AI所有输出仅作为决策参考，不具备自动执行权限，关键处置动作必须人工确认。”
更前沿的触角，正在向“深空、深海、深地”延伸。“按照企业规划，‘惊蛰’大模型未来将承担3类核心任务：融合空天、水下、地下多源异构信号，快速甄别隐蔽网络干扰与链路攻击；搭建空天海一体化数字孪生靶场，模拟跨域网电对抗、推演攻防战法；适配无人潜航器、天基卫星等远端隔离设备，实现边缘自主研判与即时风险阻断。”胡志锋说。
惊蛰虽无声，山河却有盾。越来越多的南京科技企业正在接过接力棒，用自主创新锻造守护数字山河的“矛”与“盾”。