第315章 四十分鐘！不完整的真話！
二月十六號，周一。中科院計算所。
林遠十點到的時候，計算所三號樓門口站著一個保安。他報了陳偉東的名字，保安核實後放行。
走廊里暖氣很足，窗外是灰濛濛的二月天。計算所的辦公樓比軟體所老——水磨石地面，木質扶手，牆上掛著幾幅泛黃的科學家人像。
三樓，307。門開著。
陳偉東坐在辦公桌後面，面前擺著一隻白瓷茶杯和一疊列印稿。辦公室不大，三面牆都是書架。
"林遠，坐。"陳偉東指了指對面的椅子。
"上次見面是半年前，軟體所。你講指標體系。"陳偉東端起茶杯喝了一口，"我當時就覺得你這個本科生不簡單。後來你的CTIN技術匯報我也聽了——雖然不是你主講，但架構思路明顯是你的。"
林遠沒接話。這種時候任何謙虛都是多餘的。
陳偉東放下茶杯。"我今天約你來，不是評審，不是答辯——就是技術同行之間的交流。你準備的東西可以講，我可能會打斷提問。開始吧。"
林遠打開筆記本電腦，接上投影儀。
四十分鐘。三個核心論點。
"第一個百分點——樣本庫擴充。"
他翻到第一頁。
"863課題測試數據集覆蓋2002年6月到2003年6月。開源版測試時間是2004年1月。中間這半年，全球惡意代碼環境發生了顯著變化——MyDoom的P2P傳播模式、Agobot的IRC遠程控制、Sasser的LSASS漏洞利用，全是數據集裡沒有的新攻擊類型。"
陳偉東點頭："樣本集在持續更新？"
"對。CTIN開源版部署後，2003年下半年建立了被攔截威脅樣本的自動回傳通道。"
"回傳通道——誰部署的終端？"
"主要是WatchGuard企業版客戶和VPN企業部署節點。"
陳偉東在筆記本上寫了幾行字。"合理。真實部署環境的樣本集和實驗室固定數據集本來就有差異。一個百分點——可以接受。"
林遠翻到第二頁。
"第二個來源——誤報率優化。課題階段誤報率3.2%，開源版降到了1.8‰。檢測規則精度提升貢獻了大約0.8個百分點的檢出率增益。"
"具體怎麼優化的？"
"細化了合法程序行為的分類標準。課題階段有幾類正常操作——批量文件重命名、定時任務調度——被誤判為可疑行為。我們重新建立了行為白名單，把誤報率降了兩個數量級。誤報降了，同等樣本量下檢出率自然上升。"
陳偉東沒追問。誤報優化在這個區間貢獻0.5到1個百分點，行業內有共識。
【寫到這裡我希望讀者記一下我們域名𝚃𝚆看書📕𝚜𝚑𝚞.𝚝𝚠】
"第三個。"林遠翻到第三頁，"啟發式檢測增強。"
他停了一秒。這是最關鍵的部分。
"核心變化：從靜態特徵匹配升級為行為特徵分析。傳統檢測引擎看'代碼長什麼樣'——文件頭、節區結構、已知殼特徵。我們加了一層：分析'代碼在做什麼'。"
陳偉東放下茶杯，身體微微前傾。
"什麼行為特徵？"
"三類。第一，文件操作模式——批量創建、修改、刪除。第二，註冊表操作模式——批量寫入、啟動項修改。第三，網絡連接模式——異常外連、數據外傳嘗試。"
"實現方式？"
"在原有靜態檢測邏輯上疊加了行為分析層。檢測引擎的核心流程沒變——先靜態匹配，匹配不到再走行為分析。行為分析模塊獨立於檢測核心。"
"代碼呢？讓我看看實現。"
林遠沒有猶豫。"沒有完整實現文檔。但有一個概念驗證級的骨架代碼。"
他打開那個Python文件，把電腦推到陳偉東面前。
一千二百行。三個核心模塊——行為特徵提取器、模式匹配引擎、異常分類器。
陳偉東戴上眼鏡，開始看代碼。
辦公室里安靜了整整五分鐘。
"特徵提取的邏輯寫得不錯。"陳偉東指著屏幕，"等一下——第三十行到五十行，這個特徵命名風格和你們開源版基礎檢測器的命名完全一致。"
"是。"林遠說，"啟發式模塊是從基礎檢測器上演化出來的。不是獨立開發的——是在原有架構上疊加的。"
陳偉東點了下頭。能看出演化痕跡，說明不是另起爐灶——這比憑空造一個模塊可信得多。
"異常分類器的訓練數據從哪來？"
"2003年下半年從WatchGuard企業版部署中收集的被攔截樣本。去重後大約四百個case。"
"四百個——"陳偉東皺了下眉，"數據量偏少。"
"確實不多。所以骨架代碼目前只跑通了一個場景。"林遠說，"UPX變種殼——我把測試數據附在代碼注釋里了。變種樣本檢測率94%，正常樣本零誤報。"
"其他類型的殼呢？"
"正在擴展。ASPack、MEW——邏輯框架是通用的，但特徵庫還沒補全。"
陳偉東把電腦推回來，摘下眼鏡。
他靠在椅背上，看了林遠幾秒。
然後問了林遠準備了最久的那個問題。
"林遠，三個百分點——四個多月，十個人的團隊。你告訴我這個速度是正常疊代。"陳偉東語氣平淡，"我不信。"
空氣安靜了。
"團隊裡負責檢測引擎核心設計的有幾個人？"
"兩到三個。"
"誰是主導？"
林遠用了零點五秒控制自己的回答節奏。"我負責架構和算法方向，團隊裡一位工程師負責實現和驗證。"
"那位工程師是誰？"
"她沒有對外公開身份。"
陳偉東的眼神銳利了一瞬。"'她'？"
"技術很強。"林遠說，"比我強。"
這半句真話。
陳偉東沉默了幾秒。"一個你不願意透露姓名的天才工程師，加上一個本科生主導架構——在十個人的小團隊裡，四個多月做出這個成果。"
他沒有說"不可能"。也沒有說"我相信"。
"林遠，我問你最後一個問題。"陳偉東站起來，走到窗邊，"磐石工程是國家級的安全基礎設施。我在專家顧問組裡負責技術評審。你給我看的這些——樣本庫、誤報優化、骨架代碼——我可以認可技術邏輯是自洽的。但我需要你一句話。"
他轉過身。
"CTIN的核心技術，你們能不能自主掌控？"
林遠站起來。
"能。"
一個字。沒有修飾。
陳偉東看了他五秒。然後點了點頭。
"好。今天的交流到此為止。如果有後續問題，我會通過方總聯繫你。"
"謝謝陳老師。"
林遠合上筆記本，走出307。
走廊里沒有人。
他走得很快，腦子裡在復盤。
陳偉東問"誰主導設計"——他在判斷技術源頭。問"那位工程師是誰"——他在試探核心能力的歸屬。最後那個問題——"能不能自主掌控"——不是在問他，是在給自己找簽字的理由。
骨架代碼扛住了。趙強審查的第47行耦合問題反而成了加分項——陳偉東看到了演化痕跡，這比完美代碼更可信。
但陳偉東沒有完全相信。他只是暫時沒有追問的理由了。
林遠走出計算所大門。二月的風很冷，吹在臉上像刀割。
口袋裡手機震了一下。
"宿主，怎麼樣？"小艾的聲音在腦海里響起。
"技術敘事扛住了。骨架代碼沒問題。"他在心裡說，"但他沒完全信。他只是暫時放下了。"
"意料之中。陳偉東是數據驅動型的人。你今天給他的是邏輯自洽的故事，不是可復現的證據。他會接受邏輯，但不會停止思考。"
"我知道。今天的目的不是讓他完全相信——是給他一個'暫時不追究'的理由。"
"成功了？"
"成功了。但他最後那個問題——'能不能自主掌控'——說明他已經在做判斷了。不是在試探，是在評估。"
"評估結果？"
"他沒有否定。"
林遠走進中關村南五街的冷風裡。
身後，計算所灰色的大樓安靜地矗立著。
下一步會是什麼？林遠不用猜。陳偉東要麼找方總確認磐石工程的參與資格，要麼——找周明哲聊。
周明哲。
他和周明哲還沒通過氣。
"小艾，回去之後做一件事。"
"說。"
"幫我擬一份給周老師的郵件。不解釋今天的事——只是正常的863報告進度匯報。但末尾加一句：'近期有一些新的技術進展，改天當面跟您匯報。'"
"留一個口子？"
"對。不主動說，但讓周老師知道我有話沒說完。如果他問——我再決定說多少。"
"如果他直接找陳偉東聊呢？"
"不會。周明哲的為人——他不會在當事人不在場的情況下討論另一個人的技術。"
林遠加快了腳步。
下午四點半，路燈已經亮了。
第一關過了。但棋盤上的子越來越密。
林遠十點到的時候，計算所三號樓門口站著一個保安。他報了陳偉東的名字，保安核實後放行。
走廊里暖氣很足，窗外是灰濛濛的二月天。計算所的辦公樓比軟體所老——水磨石地面，木質扶手，牆上掛著幾幅泛黃的科學家人像。
三樓，307。門開著。
陳偉東坐在辦公桌後面，面前擺著一隻白瓷茶杯和一疊列印稿。辦公室不大，三面牆都是書架。
"林遠，坐。"陳偉東指了指對面的椅子。
"上次見面是半年前，軟體所。你講指標體系。"陳偉東端起茶杯喝了一口，"我當時就覺得你這個本科生不簡單。後來你的CTIN技術匯報我也聽了——雖然不是你主講，但架構思路明顯是你的。"
林遠沒接話。這種時候任何謙虛都是多餘的。
陳偉東放下茶杯。"我今天約你來，不是評審，不是答辯——就是技術同行之間的交流。你準備的東西可以講，我可能會打斷提問。開始吧。"
林遠打開筆記本電腦，接上投影儀。
四十分鐘。三個核心論點。
"第一個百分點——樣本庫擴充。"
他翻到第一頁。
"863課題測試數據集覆蓋2002年6月到2003年6月。開源版測試時間是2004年1月。中間這半年，全球惡意代碼環境發生了顯著變化——MyDoom的P2P傳播模式、Agobot的IRC遠程控制、Sasser的LSASS漏洞利用，全是數據集裡沒有的新攻擊類型。"
陳偉東點頭："樣本集在持續更新？"
"對。CTIN開源版部署後，2003年下半年建立了被攔截威脅樣本的自動回傳通道。"
"回傳通道——誰部署的終端？"
"主要是WatchGuard企業版客戶和VPN企業部署節點。"
陳偉東在筆記本上寫了幾行字。"合理。真實部署環境的樣本集和實驗室固定數據集本來就有差異。一個百分點——可以接受。"
林遠翻到第二頁。
"第二個來源——誤報率優化。課題階段誤報率3.2%，開源版降到了1.8‰。檢測規則精度提升貢獻了大約0.8個百分點的檢出率增益。"
"具體怎麼優化的？"
"細化了合法程序行為的分類標準。課題階段有幾類正常操作——批量文件重命名、定時任務調度——被誤判為可疑行為。我們重新建立了行為白名單，把誤報率降了兩個數量級。誤報降了，同等樣本量下檢出率自然上升。"
陳偉東沒追問。誤報優化在這個區間貢獻0.5到1個百分點，行業內有共識。
【寫到這裡我希望讀者記一下我們域名𝚃𝚆看書📕𝚜𝚑𝚞.𝚝𝚠】
"第三個。"林遠翻到第三頁，"啟發式檢測增強。"
他停了一秒。這是最關鍵的部分。
"核心變化：從靜態特徵匹配升級為行為特徵分析。傳統檢測引擎看'代碼長什麼樣'——文件頭、節區結構、已知殼特徵。我們加了一層：分析'代碼在做什麼'。"
陳偉東放下茶杯，身體微微前傾。
"什麼行為特徵？"
"三類。第一，文件操作模式——批量創建、修改、刪除。第二，註冊表操作模式——批量寫入、啟動項修改。第三，網絡連接模式——異常外連、數據外傳嘗試。"
"實現方式？"
"在原有靜態檢測邏輯上疊加了行為分析層。檢測引擎的核心流程沒變——先靜態匹配，匹配不到再走行為分析。行為分析模塊獨立於檢測核心。"
"代碼呢？讓我看看實現。"
林遠沒有猶豫。"沒有完整實現文檔。但有一個概念驗證級的骨架代碼。"
他打開那個Python文件，把電腦推到陳偉東面前。
一千二百行。三個核心模塊——行為特徵提取器、模式匹配引擎、異常分類器。
陳偉東戴上眼鏡，開始看代碼。
辦公室里安靜了整整五分鐘。
"特徵提取的邏輯寫得不錯。"陳偉東指著屏幕，"等一下——第三十行到五十行，這個特徵命名風格和你們開源版基礎檢測器的命名完全一致。"
"是。"林遠說，"啟發式模塊是從基礎檢測器上演化出來的。不是獨立開發的——是在原有架構上疊加的。"
陳偉東點了下頭。能看出演化痕跡，說明不是另起爐灶——這比憑空造一個模塊可信得多。
"異常分類器的訓練數據從哪來？"
"2003年下半年從WatchGuard企業版部署中收集的被攔截樣本。去重後大約四百個case。"
"四百個——"陳偉東皺了下眉，"數據量偏少。"
"確實不多。所以骨架代碼目前只跑通了一個場景。"林遠說，"UPX變種殼——我把測試數據附在代碼注釋里了。變種樣本檢測率94%，正常樣本零誤報。"
"其他類型的殼呢？"
"正在擴展。ASPack、MEW——邏輯框架是通用的，但特徵庫還沒補全。"
陳偉東把電腦推回來，摘下眼鏡。
他靠在椅背上，看了林遠幾秒。
然後問了林遠準備了最久的那個問題。
"林遠，三個百分點——四個多月，十個人的團隊。你告訴我這個速度是正常疊代。"陳偉東語氣平淡，"我不信。"
空氣安靜了。
"團隊裡負責檢測引擎核心設計的有幾個人？"
"兩到三個。"
"誰是主導？"
林遠用了零點五秒控制自己的回答節奏。"我負責架構和算法方向，團隊裡一位工程師負責實現和驗證。"
"那位工程師是誰？"
"她沒有對外公開身份。"
陳偉東的眼神銳利了一瞬。"'她'？"
"技術很強。"林遠說，"比我強。"
這半句真話。
陳偉東沉默了幾秒。"一個你不願意透露姓名的天才工程師，加上一個本科生主導架構——在十個人的小團隊裡，四個多月做出這個成果。"
他沒有說"不可能"。也沒有說"我相信"。
"林遠，我問你最後一個問題。"陳偉東站起來，走到窗邊，"磐石工程是國家級的安全基礎設施。我在專家顧問組裡負責技術評審。你給我看的這些——樣本庫、誤報優化、骨架代碼——我可以認可技術邏輯是自洽的。但我需要你一句話。"
他轉過身。
"CTIN的核心技術，你們能不能自主掌控？"
林遠站起來。
"能。"
一個字。沒有修飾。
陳偉東看了他五秒。然後點了點頭。
"好。今天的交流到此為止。如果有後續問題，我會通過方總聯繫你。"
"謝謝陳老師。"
林遠合上筆記本，走出307。
走廊里沒有人。
他走得很快，腦子裡在復盤。
陳偉東問"誰主導設計"——他在判斷技術源頭。問"那位工程師是誰"——他在試探核心能力的歸屬。最後那個問題——"能不能自主掌控"——不是在問他，是在給自己找簽字的理由。
骨架代碼扛住了。趙強審查的第47行耦合問題反而成了加分項——陳偉東看到了演化痕跡，這比完美代碼更可信。
但陳偉東沒有完全相信。他只是暫時沒有追問的理由了。
林遠走出計算所大門。二月的風很冷，吹在臉上像刀割。
口袋裡手機震了一下。
"宿主，怎麼樣？"小艾的聲音在腦海里響起。
"技術敘事扛住了。骨架代碼沒問題。"他在心裡說，"但他沒完全信。他只是暫時放下了。"
"意料之中。陳偉東是數據驅動型的人。你今天給他的是邏輯自洽的故事，不是可復現的證據。他會接受邏輯，但不會停止思考。"
"我知道。今天的目的不是讓他完全相信——是給他一個'暫時不追究'的理由。"
"成功了？"
"成功了。但他最後那個問題——'能不能自主掌控'——說明他已經在做判斷了。不是在試探，是在評估。"
"評估結果？"
"他沒有否定。"
林遠走進中關村南五街的冷風裡。
身後，計算所灰色的大樓安靜地矗立著。
下一步會是什麼？林遠不用猜。陳偉東要麼找方總確認磐石工程的參與資格，要麼——找周明哲聊。
周明哲。
他和周明哲還沒通過氣。
"小艾，回去之後做一件事。"
"說。"
"幫我擬一份給周老師的郵件。不解釋今天的事——只是正常的863報告進度匯報。但末尾加一句：'近期有一些新的技術進展，改天當面跟您匯報。'"
"留一個口子？"
"對。不主動說，但讓周老師知道我有話沒說完。如果他問——我再決定說多少。"
"如果他直接找陳偉東聊呢？"
"不會。周明哲的為人——他不會在當事人不在場的情況下討論另一個人的技術。"
林遠加快了腳步。
下午四點半，路燈已經亮了。
第一關過了。但棋盤上的子越來越密。