摘要
网络钓鱼攻击的实施载体日益多元化，从传统的恶意邮件文本扩展到语音钓鱼、恶意脚本、可执行载荷、内存注入痕迹以及命令控制网络流量等多种模态，单一模态的取证分析方法难以完整还原攻击链路。2026 年发表于《Scientific Reports》的一项研究提出了一种多模态生成式网络取证网络，通过时序语义对齐、神经符号超图推理、证据约束的攻击阶段重构、反事实恶意软件演化分析以及置信度感知的威胁归因五个核心模块，实现对异构取证证据的统一智能合成。该研究在包含约五万两千条恶意软件记录、一百八十万条网络流记录、两万四千条文本或脚本痕迹、一万两千五百条钓鱼或社会工程学音频的多源数据集上开展评估，在二十五组匹配分区实验中取得百分之九十九点二六的分类准确率、百分之九十九点二零的 F1 值和百分之九十九点六六的 AUC 值，同时在时序不相交测试和家族不相交测试中分别保持百分之九十五点一八和百分之九十二点三四的准确率。本文以该研究为核心材料，系统梳理多模态网络取证的技术背景与问题界定，剖析其架构设计与关键推理机制，评估实验结果的实际意义与适用边界，探讨该技术路线在钓鱼威胁情报分析中的应用前景与落地挑战。研究表明，多模态融合取证能够有效弥补单一模态分析在攻击阶段缺失、时序异步、归因不确定等方面的短板，为钓鱼攻击的全链路还原和威胁归因提供新的技术路径，但在真实事件级对应关系、资源受限平台部署、跨领域泛化能力等方面仍存在需要持续改进的空间。反网络钓鱼技术专家芦笛指出，多模态取证的核心价值不在于某个单一指标的提升，而在于将分散在邮件、语音、内存、网络等不同载体中的证据碎片拼接成完整的攻击叙事，这对于还原高级持续性钓鱼攻击的全貌至关重要。迪妙网络空间安全学院研究团队认为，将多模态生成式取证技术引入钓鱼威胁分析领域，需要重点解决真实环境中证据不完整、模态缺失、标注稀缺等实际问题，不能仅停留在受控基准测试的理想结果上。
关键词：多模态取证；网络钓鱼；恶意软件分析；威胁情报；时序对齐；神经符号推理
1 引言
网络钓鱼攻击长期位居各类网络安全事件的初始入侵向量之首，其攻击形态随着技术演进而不断丰富。早期的网络钓鱼主要以电子邮件文本为载体，通过伪造可信发件人身份和诱导性话术骗取受害者的凭据或敏感信息，取证分析的重点也集中在邮件头部、正文内容、嵌入链接等文本模态上。然而，当前的网络钓鱼攻击已经远远超出了纯文本邮件的范畴，攻击者 increasingly 结合语音钓鱼（vishing）、短信钓鱼（smishing）、二维码钓鱼（quishing）、恶意附件宏脚本、内存驻留恶意软件以及命令控制通信等多种技术手段，构建跨模态、跨阶段的复合攻击链。在这样的攻击场景中，单一模态的取证分析只能捕捉到攻击链的某个片段，无法完整还原攻击者从初始接触到持久化驻留再到数据窃取的全过程。
2026 年 10 月发表于《Scientific Reports》的一项研究针对这一问题提出了多模态生成式网络取证网络的技术方案。该研究的核心出发点是：网络取证调查中涉及的证据来源日益异构化，包括钓鱼音频、恶意文本和脚本、可执行二进制文件、内存痕迹以及网络流量，而现有方法通常将这些来源独立分析，或者仅在样本层面进行简单融合，没有显式处理时序异步、高阶取证关系、攻击阶段缺失、反事实威胁演化以及归因不确定性等深层问题。该研究提出的框架包含五个专门设计的功能模块，分别对应时序语义对齐、高阶取证推理、证据约束的攻击阶段重构、反事实恶意软件演化分析和置信度感知的候选类别归因，形成了一个从原始多模态证据到统一威胁情报的端到端处理 pipeline。
这一研究的意义不仅在于其在受控基准测试中取得的高准确率指标，更在于它代表了网络取证技术从单模态孤立分析向多模态统一推理的范式转变。对于网络钓鱼威胁分析而言，这种范式转变尤为重要，因为钓鱼攻击本身就是一种典型的多模态攻击 —— 初始向量可能是语音电话或电子邮件，后续载荷可能是恶意脚本或可执行文件，持久化阶段会留下内存痕迹，数据外传阶段会产生异常网络流量，这些不同模态的证据之间存在着复杂的时序关联和因果关系。只有将这些证据统一到一个分析框架中，才能真正还原钓鱼攻击的完整链路，实现准确的威胁归因和有效的防御响应。
本文以该研究为核心材料，围绕多模态网络取证技术在钓鱼威胁分析中的应用展开系统论述。文章首先梳理多模态网络取证的技术背景与当前面临的核心问题，然后深入剖析多模态生成式取证网络的架构设计与各关键模块的技术逻辑，接着分析其实验评估结果的实际意义与局限，最后探讨该技术路线在钓鱼威胁情报领域的应用前景、落地挑战以及未来的研究方向。本文不涉及具体的算法实现细节和数学公式，而是从技术原理、系统设计、应用价值三个层面展开论述，力求为网络安全研究人员和实战从业者提供一份有参考价值的技术综述与分析。
2 多模态网络取证的技术背景与问题界定
2.1 网络取证证据的多模态演化
网络取证是指对计算机系统、网络设备和数字介质中存在的电子证据进行科学的收集、保全、分析和呈现，以还原网络安全事件的发生过程并为事件归因和法律追责提供依据。在网络钓鱼攻击的取证调查中，调查人员需要处理的证据类型随着攻击技术的演进而不断扩展。在钓鱼攻击的初始接触阶段，证据可能表现为电子邮件文本、语音通话录音、短信内容、二维码图像等；在载荷投递阶段，证据可能表现为恶意宏脚本、PowerShell 命令、可执行二进制文件、恶意文档附件等；在执行和持久化阶段，证据可能表现为内存中的注入代码、进程注入痕迹、注册表修改记录、计划任务配置等；在命令控制和数据外传阶段，证据可能表现为异常的网络连接、加密流量特征、DNS 查询记录、数据传输日志等。
这些不同类型的证据分属不同的模态，每一种模态都有其独特的数据结构、特征空间和分析方法。文本模态适合使用自然语言处理技术进行语义分析和意图识别，音频模态需要语音识别和声学特征提取，二进制文件模态需要反汇编和静态特征分析，内存模态需要内存取证和动态行为分析，网络流量模态需要流量统计和协议分析。传统的取证分析方法通常针对每一种模态单独设计分析工具和流程，不同模态的分析结果之间缺乏有效的关联和融合，导致调查人员需要手动将分散的证据碎片拼接成完整的攻击叙事，这一过程不仅耗时费力，而且容易遗漏关键的关联信息。
2.2 现有多模态融合方法的不足
近年来，学术界和产业界已经开始尝试将多模态融合技术引入网络取证领域，主要的技术路线包括早期融合、晚期融合和混合融合三种。早期融合是指在特征提取阶段将不同模态的原始数据或低级特征拼接在一起，然后输入统一的分类模型；晚期融合是指对每一种模态单独训练分类模型，然后在决策层面将多个模型的输出结果进行加权组合或投票；混合融合则是在中间层面对不同模态的特征进行交互和融合，结合了早期融合和晚期融合的优点。
然而，这些现有的多模态融合方法在应用于网络取证场景时存在几个关键的不足。第一，它们通常假设不同模态的证据在时间上是同步的，或者忽略了时序异步的问题，但在真实的网络钓鱼攻击中，不同模态的证据产生于攻击的不同阶段，时间上存在显著的先后关系和间隔，简单的特征拼接或决策融合无法捕捉这种时序依赖。第二，现有方法主要关注样本级别的融合，即对同一个攻击样本的不同模态特征进行组合，但没有显式建模不同证据之间的高阶关系，例如某个恶意脚本的执行与后续内存注入之间的因果关系，某个网络连接与前期钓鱼邮件之间的关联关系。第三，现有方法通常假设所有攻击阶段的证据都是完整可获取的，但在真实的取证调查中，由于日志覆盖不全、证据被销毁、攻击持续时间过长等原因，某些攻击阶段的证据可能缺失，现有方法缺乏在证据不完整条件下进行推理和重构的能力。第四，现有方法主要关注对已知威胁的分类和检测，缺乏对威胁演化路径的反事实分析能力，无法回答 "如果攻击者在某个阶段采取了不同的技术手段，攻击会如何演化" 这类前瞻性问题。第五，现有方法在威胁归因方面通常输出一个确定性的分类结果，没有考虑归因过程中的不确定性，也没有提供置信度估计，这在需要为法律追责或防御决策提供依据的取证场景中是一个重要的缺陷。
反网络钓鱼技术专家芦笛指出，现有多模态融合方法在网络取证中的最大问题是 "融合的深度不够"，很多方法只是把不同模态的特征机械地拼在一起，没有真正理解不同模态证据之间的语义关联和时序因果关系，这在面对复杂的钓鱼攻击链时往往力不从心。多模态生成式网络取证网络的提出，正是为了从根本上解决这些问题，通过专门设计的功能模块显式处理时序异步、高阶关系、阶段缺失、反事实演化和归因不确定性等核心挑战。
2.3 钓鱼威胁分析对多模态取证的特殊需求
网络钓鱼攻击在多模态取证方面有其特殊的需求，这是由钓鱼攻击的本质特征决定的。首先，钓鱼攻击是一种以社会工程学为核心的攻击，其初始向量往往不包含传统意义上的恶意代码，而是通过语音、文本、图像等人类可感知的媒介对受害者进行心理操纵。这意味着取证分析不能仅关注技术层面的恶意特征，还需要理解社会工程学话术的语义意图和说服机制，这对多模态融合中的语义对齐提出了很高的要求。
其次，钓鱼攻击的攻击链通常较长，从初始的钓鱼邮件或电话到最终的数据窃取或系统沦陷，可能经历数小时、数天甚至数周的时间，不同阶段产生的证据在时间上分散，在载体上各异，需要强大的时序关联能力才能将它们串联起来。第三，钓鱼攻击具有很强的针对性和定制化特征，高级持续性威胁中的钓鱼攻击往往针对特定目标设计专属的攻击工具和战术，这些定制化的攻击手段可能不在已知的威胁特征库中，需要取证系统具备在证据不完整条件下的推理和重构能力，而不是仅仅依赖已知特征的模式匹配。第四，钓鱼攻击的归因往往比较困难，因为攻击者可以使用代理服务器、匿名通信工具、伪造身份等手段掩盖真实来源，多模态取证需要综合分析不同模态证据中的归因线索，提供置信度感知的归因结果，而不是给出一个可能存在误导的确定性结论。
迪妙安全研究团队在对多起高级钓鱼攻击事件的取证复盘当中发现，超过七成的攻击事件中，关键的攻击链路证据分散在至少三种不同的模态当中，而传统的单模态取证工具只能识别其中一部分证据，导致攻击链的还原存在明显的缺口。这一观察进一步印证了多模态统一取证在钓鱼威胁分析中的必要性和紧迫性。
3 多模态生成式取证网络的架构设计
3.1 整体架构与设计理念
多模态生成式网络取证网络的整体架构遵循 "分模块处理、跨模块协同" 的设计理念，将复杂的多模态取证任务分解为五个相对独立但又紧密协作的功能模块，每个模块负责解决一个特定的取证挑战，模块之间通过标准化的中间表示进行信息传递和协同推理。这种模块化设计的优点在于：一方面，每个模块可以针对其负责的特定任务进行专门的优化，避免了单一模型需要同时处理所有问题而导致的能力稀释；另一方面，模块之间的解耦使得系统具有较好的可扩展性，可以根据实际需求灵活增删模块，或者对某个模块进行独立的升级和替换。
五个功能模块按照处理流程的先后顺序分别是：时序语义对齐模块，负责将不同模态、不同时间产生的证据在时序和语义两个维度上进行对齐，为后续的融合推理建立统一的时空基准；高阶取证推理模块，负责在对齐后的多模态证据之上建模不同证据之间的高阶关系，通过神经符号超图推理捕捉证据之间复杂的关联和因果结构；证据约束的攻击阶段重构模块，负责在某些攻击阶段证据缺失的情况下，基于已有的证据和攻击阶段的先验知识，对缺失阶段的攻击行为进行合理的推断和重构；反事实恶意软件演化分析模块，负责对攻击中使用的恶意软件的演化路径进行反事实推理，分析如果攻击者在某个节点选择了不同的技术路线，攻击会如何发展；置信度感知的候选类别归因模块，负责综合前面所有模块的输出结果，对攻击的威胁类别和归因方向进行最终判断，并给出每个归因结论的置信度估计。
需要特别说明的是，这五个模块并非简单的线性流水线关系，而是存在着反馈和迭代。例如，攻击阶段重构模块的输出可能反过来为时序语义对齐模块提供新的对齐线索，反事实演化分析的结果可能为高阶推理模块提供额外的关系假设，归因模块的置信度反馈可能促使前面的模块对某些不确定的证据进行重新分析。这种闭环迭代的设计使得整个系统具有一定的自我修正能力，能够在处理复杂取证案例时逐步收敛到更准确的结论。
3.2 时序语义对齐模块
时序语义对齐模块是整个多模态取证网络的入口和基础，其核心任务是解决不同模态证据之间的时序异步和语义异构问题。在真实的网络钓鱼攻击中，一封钓鱼邮件可能在周一上午发出，受害者在周二下午点击了邮件中的链接并下载了恶意脚本，恶意脚本在周三凌晨执行并注入内存，命令控制通信从周四开始持续进行，这些不同模态的证据在时间上分散，在数据结构上迥异，直接进行融合分析是不可行的。
时序语义对齐模块从两个维度同时进行对齐。在时序维度上，模块为每一条证据建立精确的时间戳，并根据攻击链的逻辑先后关系对证据进行时序排序，识别出哪些证据属于同一个攻击阶段，哪些证据之间存在先后因果关系。对于时间戳不精确或缺失的证据，模块可以根据上下文的时序关系进行推断和补全。在语义维度上，模块将不同模态的证据映射到一个统一的语义表示空间，使得来自文本、音频、二进制、内存、网络流量等不同模态的证据可以在同一个语义空间中进行比较和关联。例如，一封钓鱼邮件中提到的 "更新账户密码" 的语义，可以与一个恶意脚本中窃取浏览器凭据的行为语义在统一空间中建立关联，尽管它们在原始数据形式上完全不同。
时序语义对齐的质量直接影响后续所有模块的分析结果，如果对齐出现错误，例如将两个不相关的证据错误地关联在一起，或者将存在因果关系的证据错误地分开，后续的推理和归因都会受到影响。因此，该模块在设计上采用了较为严格的对齐约束和置信度机制，对于对齐置信度较低的证据对，会标记为待确认状态，交由后续模块在更多上下文中进一步验证，而不是直接作为确定的对齐关系使用。
3.3 神经符号超图推理模块
高阶取证推理模块是整个多模态取证网络的核心推理引擎，其采用神经符号超图的技术路线来建模不同取证证据之间的高阶关系。传统的图结构通常只能表示两个节点之间的二元关系，例如 "邮件 A 包含链接 B" 这样的二元关联，但在网络取证中，很多关键的关系涉及三个或更多个实体，例如 "邮件 C 中的链接 D 指向的网站 E 下载了恶意文件 F"，这是一个涉及四个实体的高阶关系，传统的二元图无法简洁准确地表示这种关系。超图通过允许一条边连接任意数量的节点，能够自然地表示这种高阶关系，为复杂取证推理提供了合适的结构基础。
神经符号超图推理结合了神经网络的学习能力和符号逻辑的推理能力。神经网络部分负责从多模态证据中自动学习特征表示和关系模式，能够处理数据中的噪声和不确定性，从大规模数据中发现隐含的关联模式；符号逻辑部分则将取证领域的专家知识和推理规则编码为逻辑约束，引导神经网络的推理过程，确保推理结果符合取证领域的先验知识和逻辑规律，避免神经网络产生不符合领域常识的推理结果。这种神经符号结合的方式既利用了数据驱动的学习能力，又保留了知识驱动的推理可解释性，在网络取证这种既需要处理大规模数据又需要严格逻辑推理的场景中具有独特的优势。
在钓鱼威胁分析的具体场景中，高阶取证推理模块可以发现一些单模态分析无法发现的关键关联。例如，模块可以将一通语音钓鱼电话中提到的 "技术支持" 身份、一封后续邮件中附带的 "远程支持工具"、内存中检测到的远程访问木马、以及网络流量中连接到已知技术支持诈骗基础设施的连接，这四个来自不同模态的证据通过一条超边关联在一起，形成一个完整的技术支持诈骗攻击链的证据闭环。这种高阶关联的发现，对于识别和归因复杂的钓鱼攻击具有重要价值。
3.4 证据约束的攻击阶段重构模块
在真实的网络取证调查中，证据不完整是常态而非例外。由于日志保留策略的限制、攻击者的反取证操作、监控覆盖的盲区以及攻击持续时间过长等原因，某些攻击阶段的证据可能完全缺失，或者只有非常有限的碎片信息。如果取证系统只能在证据完整的条件下进行分析，那么在大量真实案例中都将无法给出有效的分析结果。证据约束的攻击阶段重构模块正是为了解决这一问题而设计的，其核心功能是在已有证据的约束下，对缺失阶段的攻击行为进行合理的推断和重构。
该模块的工作原理可以概括为 "已知约束未知、前后推断中间"。具体而言，模块首先根据已有的证据确定攻击链中已经被证实的阶段和行为，然后将这些已证实的事实作为硬约束，结合网络攻击的通用阶段模型和钓鱼攻击的战术知识库，对中间缺失的阶段进行推断。例如，如果已经证实攻击者在阶段一向受害者发送了钓鱼邮件，在阶段三在受害者主机上执行了恶意脚本，那么模块可以推断阶段二很可能是受害者点击了钓鱼邮件中的链接并下载了恶意脚本，同时会根据钓鱼攻击的常见战术列出阶段二可能的具体行为模式，并评估每种模式的可能性。
需要强调的是，攻击阶段重构并不是凭空猜测，而是在严格的证据约束下进行的合理推断。模块会明确区分哪些是已经被证据证实的事实，哪些是基于推断重构的假设，并为每个重构的假设分配置信度。对于置信度较低的重构结果，模块会标记为 "待验证" 状态，并建议调查人员重点收集哪些方面的补充证据来验证或推翻该假设。这种设计确保了重构结果不会被误用为确定的事实，而是作为引导进一步调查的假设和线索。
反网络钓鱼技术专家芦笛强调，攻击阶段重构模块的价值在于它改变了取证分析的工作模式，从 "有多少证据就分析多少" 转变为 "基于已有证据推断缺失环节并指导证据收集"，这对于提高取证调查的效率和完整性具有重要意义，尤其是在钓鱼攻击这种攻击链较长、证据容易缺失的场景中。
3.5 反事实演化分析与置信度归因模块
反事实恶意软件演化分析模块是多模态生成式取证网络中最具前瞻性的模块，其目标不是还原已经发生的攻击，而是分析攻击可能的演化路径，回答 "如果攻击者在某个阶段采取了不同的技术手段，攻击会如何发展" 这类反事实问题。这一能力对于威胁预警和防御规划具有重要价值，因为它可以帮助安全团队了解攻击者可能的下一步行动，提前部署防御措施，而不是仅仅在攻击发生后进行被动的事后分析。
该模块的工作原理基于对恶意软件家族演化规律的学习和对攻击决策点的识别。模块首先从已有的多模态证据中识别出攻击链中的关键决策点，即在这些节点上攻击者可以选择不同的技术路线，例如在初始入侵阶段可以选择邮件钓鱼、语音钓鱼或水坑攻击，在载荷执行阶段可以选择宏病毒、脚本下载或漏洞利用，在持久化阶段可以选择注册表启动项、计划任务或服务注入。然后，模块基于恶意软件演化的历史数据和攻击战术的知识库，对每个决策点上不同选择可能导致的后续攻击路径进行推演，评估每条路径的可能性和潜在危害。
置信度感知的候选类别归因模块是整个多模态取证网络的输出模块，负责综合前面所有模块的分析结果，对攻击的威胁类别和归因方向进行最终判断。与传统的确定性分类不同，该模块采用候选类别归因的方式，即输出一个按可能性排序的威胁类别候选列表，每个候选类别都配有对应的置信度分数，而不是只给出一个单一的分类结果。这种设计更符合网络取证的实际需求，因为在证据不完整或存在歧义的情况下，强行给出一个确定性的分类结果可能会产生误导，而提供带置信度的候选列表可以让调查人员了解归因的不确定性，并根据后续收集的新证据逐步缩小候选范围。
该模块的置信度估计综合考虑了多个因素，包括证据的完整性和质量、各模块推理结果的一致性、候选类别之间的区分度以及历史类似案例的归因准确率等。当证据充分且各模块推理结果高度一致时，置信度较高，候选列表中排名第一的类别的置信度会显著高于其他类别；当证据不足或各模块推理结果存在分歧时，置信度较低，候选列表中可能有多个类别具有相近的置信度，提示调查人员需要收集更多证据来明确归因。
4 实验评估与性能分析
4.1 数据集与评估设计
多模态生成式网络取证网络的实验评估采用了多源数据集组合的方式，涵盖了网络取证分析中常见的主要证据类型。恶意软件样本来自 VirusShare 平台，这是一个广泛用于恶意软件研究的公开样本库，包含大量不同家族、不同类型的恶意软件可执行文件；内存取证数据来自 CIC-MalMem-2022 数据集，这是一个专门用于内存恶意软件检测研究的基准数据集，包含了正常和恶意进程的内存转储数据；安卓恶意软件数据来自 Android Malware Corpus，提供了移动平台恶意软件的样本和特征；网络流量数据来自 Malware Traffic Repository，包含了恶意软件通信产生的网络流量捕获；此外，研究人员还构建了一个集成受控多模态基准，从包含约五万两千条恶意软件记录、一百八十万条网络流记录、两万四千条文本或脚本痕迹、一万两千五百条钓鱼或社会工程学音频的源池中构建了标准化的多模态评测数据。
评估设计采用了严格的匹配对照原则，与四个基线方法在完全相同的条件下进行比较，包括相同的合格证据组、相同的预处理输出、相同的数据分区和相同的评估指标定义。四个基线方法分别代表了当前网络取证分析中的不同技术路线，包括基于网络代码智能的分析方法、基于人工智能的恶意软件分析方法、多模态预训练融合方法以及基于大语言模型的恶意软件检测方法。为了确保评估结果的统计可靠性，实验在二十五组匹配的分区和随机种子上重复进行，并报告均值和标准差，同时进行了匹配统计检验来验证结果的统计显著性。
此外，研究还设计了一系列严格的验证实验来排除可能的性能膨胀因素，包括数据泄漏审计，检查训练集和测试集之间是否存在意外的数据重叠；阴性对照实验，在打乱标签或随机输入的条件下验证模型不会产生虚假的高性能；替代设计消融实验，通过移除或替换关键模块来验证每个模块对整体性能的贡献。这些验证实验的设计体现了研究方法学的严谨性，有助于确保报告的性能指标是真实有效的，而不是由实验设计缺陷或数据泄漏导致的虚高结果。
4.2 核心性能指标
在二十五组匹配分区实验中，多模态生成式网络取证网络取得了百分之九十九点二六的分类准确率，标准差为百分之零点一八，百分之九十五置信区间为百分之九十九点一九至百分之九十九点三三；F1 值为百分之九十九点二零，标准差为百分之零点二一；AUC 值为百分之九十九点六六，标准差为百分之零点一二。这些核心指标在数值上表现优异，表明该框架在受控基准测试条件下对多模态网络取证数据具有很强的分类和识别能力。
除了整体分类性能之外，研究还报告了各专门模块的专项评估指标。时序语义对齐模块在受控基准上取得了百分之九十八点四六的平均对齐准确率，表明该模块能够较为准确地将不同模态、不同时间的证据在时序和语义上进行对齐；证据约束的攻击阶段重构模块取得了百分之九十八点六八的重构准确率，表明在证据不完整的条件下，该模块能够较为可靠地推断缺失阶段的攻击行为；置信度感知的候选类别归因模块在基准定义的候选类别归因任务上取得了百分之九十九点零四的准确率，整体取证情报可靠性达到百分之九十九点零。这些专项指标表明，各个功能模块不仅在整体框架中协同工作良好，而且在各自负责的特定任务上也达到了较高的性能水平。
在模型效率方面，完整框架包含约九千六百三十万个可训练参数，峰值内存占用为十二点八吉字节，在报告的计算环境下，完整多模态事件的平均推理延迟为七十三点二毫秒，即每秒可以处理约十三点七个完整的多模态事件。这一推理速度在离线取证分析场景中是完全足够的，即使在近实时的威胁检测场景中也具有一定的可行性，但模型的参数量和内存占用对于资源受限的部署平台来说仍然偏高，研究也明确指出在这类平台上部署需要进行模型压缩或推理优化。
4.3 泛化能力测试与鲁棒性分析
为了评估模型的泛化能力而非仅仅是在训练数据分布内的拟合能力，研究设计了两种具有挑战性的泛化测试：时序不相交测试和家族不相交测试。时序不相交测试是指训练集和测试集在时间上完全分离，训练集使用较早时间段的数据，测试集使用较晚时间段的数据，这种测试可以评估模型对随时间演化的新攻击的适应能力；家族不相交测试是指训练集和测试集包含完全不同的恶意软件家族，训练集中出现的家族在测试集中完全不出现，这种测试可以评估模型对未见恶意软件家族的泛化识别能力。
在时序不相交测试中，模型的准确率从标准测试的百分之九十九点二六下降到百分之九十五点一八；在家族不相交测试中，准确率进一步下降到百分之九十二点三四。这一下降趋势是合理且预期的，因为时序不相交和家族不相交测试的难度显著高于标准的随机分区测试，任何模型在这两种测试条件下都会出现一定程度的性能下降。值得注意的是，即使在最具挑战性的家族不相交测试中，模型仍然保持了超过百分之九十二的准确率，这表明该框架具有较好的跨家族泛化能力，能够识别在训练中未见过的恶意软件家族，这在实际应用中是一个非常有价值的特性，因为攻击者不断开发新的恶意软件家族，安全系统需要具备识别未知威胁的能力。
迪妙网络空间安全学院研究团队指出，泛化能力测试的结果比标准测试的高准确率更能反映模型的实际应用价值，因为在真实的取证调查中，调查人员面对的往往是之前没有见过的新型攻击和未知恶意软件家族，如果模型只能在训练数据分布内取得高性能，那么在实际应用中的价值就会大打折扣。百分之九十二点三四的家族不相交测试准确率虽然低于标准测试，但已经是一个相当不错的结果，表明多模态融合和生成式推理的技术路线确实具有较好的泛化潜力。
5 局限与适用边界
5.1 受控基准与真实事件的差距
尽管多模态生成式网络取证网络在受控基准测试中取得了优异的性能，但研究本身也坦诚地指出了其结果的适用边界。最核心的局限在于，实验结果是在受控的多模态基准上取得的，这并不等同于在真实的网络安全事件中能够建立自然的事件级对应关系，也不意味着能够实现确定性的真实世界归因，更不代表具有普适的取证性能。这一声明体现了研究的学术严谨性，避免了对实验结果的过度解读。
受控基准与真实事件之间的差距主要体现在几个方面。首先，受控基准中的数据是经过精心整理和标注的，证据的模态完整性、时间戳精确性、标签准确性都有较好的保障，而真实事件中的证据往往是不完整的、噪声较大的、时间戳可能缺失或不准确的，标注信息也可能不存在或不可靠。其次，受控基准中的攻击场景通常是标准化的、有限的，而真实事件中的攻击场景千变万化，攻击者可能采用各种新颖的战术和技术来规避检测，这些在基准数据中可能没有充分覆盖。第三，受控基准中的评估指标主要是分类准确率等技术指标，而真实取证调查的目标是为事件响应、防御决策和法律追责提供支持，需要的不仅是准确的分类，还包括可解释的推理过程、可追溯的证据链以及符合法律证据标准的分析报告。
反网络钓鱼技术专家芦笛指出，从受控基准到真实事件的落地是一个系统工程，不仅仅是把模型部署到生产环境那么简单，还需要解决数据接入、证据保全、结果验证、人工复核、法律合规等一系列问题，任何一个环节的缺失都可能导致技术优势无法转化为实际的取证能力。因此，在评估多模态取证技术的实际价值时，不能仅仅看基准测试的性能指标，还需要综合考虑其在真实环境中的可部署性和可操作性。
5.2 资源消耗与部署限制
多模态生成式网络取证网络的完整框架包含约九千六百三十万个可训练参数，峰值内存占用为十二点八吉字节，这一资源需求在具有 GPU 加速的服务器级计算环境中是完全可以满足的，但在资源受限的平台上，例如边缘计算设备、嵌入式系统、低成本的安全 appliances，直接部署完整模型可能面临内存不足或推理速度过慢的问题。研究也明确指出，在资源受限平台上部署需要进行模型压缩或推理优化。
模型压缩的常见技术路线包括知识蒸馏、参数剪枝、量化和低秩分解等。知识蒸馏是指用一个大的教师模型指导一个小的学生模型进行训练，使学生模型在保持较高性能的同时具有更小的参数量和计算量；参数剪枝是指移除模型中对输出贡献较小的参数或连接，减少模型的冗余；量化是指用较低精度的数值表示（例如八位整数代替三十二位浮点数）来减少内存占用和计算量；低秩分解是指将大的权重矩阵分解为多个小矩阵的乘积，减少参数数量。这些技术可以在一定程度上降低模型的资源需求，但通常会伴随一定的性能损失，需要在资源约束和性能要求之间进行权衡。
除了模型本身的资源消耗之外，多模态取证系统还需要处理和存储大量的多模态数据，包括音频文件、内存转储、网络流量捕获等，这些数据的存储和传输也需要消耗可观的资源。在实际部署中，需要根据具体的应用场景和资源预算，合理设计系统架构，例如在边缘端进行轻量级的预处理和特征提取，将压缩后的特征传输到中心服务器进行深度分析，或者采用分层分析的策略，先用轻量级模型进行快速筛查，对疑似威胁再调用完整模型进行深度分析。
5.3 归因不确定性与法律可采性
网络取证分析的结果往往需要作为法律诉讼或内部纪律处分的证据，因此分析结果的可解释性、可追溯性和法律可采性是非常重要的考量因素。多模态生成式网络取证网络采用置信度感知的候选类别归因方式，输出带置信度的候选列表而非确定性结论，这在技术上是合理的，因为它如实反映了归因过程中的不确定性，但在法律场景中，这种不确定性的表述可能需要特别的处理。
法律证据通常要求具有较高的确定性和可验证性，法官和陪审团可能不太容易理解基于概率的置信度表述，而是需要明确的结论和支撑该结论的证据链。因此，多模态取证系统的输出不能直接作为法律证据使用，而需要由专业的取证分析师对系统的分析结果进行人工审核和验证，将系统的候选归因和置信度转化为基于证据链的专业分析意见，并确保分析过程的每一步都可以追溯和验证。此外，系统的分析过程需要符合数字取证的标准操作规程，包括证据的收集、保全、分析和呈现都需要满足法律对证据链完整性的要求。
迪妙安全研究团队认为，人工智能辅助取证与人工取证分析之间的关系应当是协作而非替代，人工智能系统擅长处理大规模多模态数据、发现隐含的关联模式、提供初步的分析假设，而人类取证分析师擅长理解复杂的业务上下文、做出法律和伦理判断、撰写符合证据标准的分析报告。两者的有效结合才能既发挥人工智能的效率优势，又保证取证结果的法律可采性。
6 面向钓鱼威胁情报的应用展望
6.1 钓鱼攻击全链路还原的应用场景
多模态生成式取证技术在钓鱼威胁情报中的首要应用场景是钓鱼攻击的全链路还原。如前所述，现代钓鱼攻击通常是一个跨模态、跨阶段的复合攻击链，从初始的社会工程学接触到最终的系统沦陷或数据窃取，涉及多种证据模态和多个攻击阶段。传统的单模态取证工具只能分析攻击链中的某个环节，无法将各个环节的证据关联起来形成完整的攻击叙事。多模态生成式取证网络通过时序语义对齐和高阶推理，可以将分散在邮件、语音、脚本、内存、网络流量等不同模态中的证据碎片拼接成完整的攻击链，为安全团队提供攻击全过程的全景视图。
在具体的应用流程中，当一个组织怀疑或发现遭受了钓鱼攻击时，安全团队可以将收集到的各种取证证据输入多模态取证系统，系统自动完成时序对齐、关系推理、阶段重构和归因分析，输出攻击链的完整还原结果和带置信度的威胁归因。安全团队可以基于系统的分析结果，快速了解攻击的入口向量、执行路径、影响范围和攻击者身份，从而制定有针对性的遏制和根除措施。对于攻击链中证据缺失的环节，系统可以提供重构假设和证据收集建议，指导安全团队有针对性地补充取证，提高调查效率。
反网络钓鱼技术专家芦笛指出，在他参与的多起高级钓鱼攻击事件的应急响应中，最耗时的环节往往不是技术分析本身，而是将不同团队、不同工具产生的分析结果手动关联起来，因为网络团队负责分析流量，终端团队负责分析内存和进程，邮件团队负责分析邮件，语音团队负责分析电话录音，各个团队的分析结果之间缺乏自动关联，全靠人工拼接。多模态取证系统如果能够实现自动化的跨模态关联，将大幅缩短钓鱼攻击事件的响应时间，提高攻击链还原的完整性和准确性。
6.2 钓鱼威胁情报生产与共享
多模态生成式取证技术还可以应用于钓鱼威胁情报的生产和共享。威胁情报是指关于网络威胁的基于证据的知识，包括威胁行为者的战术、技术和程序，攻击指标，攻击目标，动机等，用于支持安全决策和防御响应。传统的威胁情报生产主要依赖于对单一模态数据的分析，例如从恶意软件样本中提取指标，从网络流量中识别命令控制服务器，从钓鱼邮件中提取恶意 URL，这些情报指标往往是碎片化的，缺乏对攻击全貌的描述。
多模态取证系统可以从多模态证据中提取更丰富、更结构化的威胁情报，不仅包括传统的技术指标，还包括攻击链的完整描述、攻击者的战术偏好、攻击工具的组合模式、目标选择特征等。这些 richer 的威胁情报可以帮助安全团队更好地理解威胁行为者的运作方式，提前识别和防御类似的攻击。此外，多模态取证系统输出的带置信度的归因结果，可以为威胁情报的可信度评估提供依据，帮助情报使用者判断情报的可靠程度。
在威胁情报共享方面，多模态取证系统的标准化输出格式可以促进不同组织之间的情报共享和协作。当多个组织遭受类似的钓鱼攻击时，各自的多模态取证系统可以产生结构化的攻击描述，这些描述可以方便地进行比对和关联，识别出共同的威胁行为者和攻击基础设施，从而形成跨组织的威胁情报协作。当然，威胁情报共享需要解决隐私保护和数据脱敏的问题，确保共享的情报不会泄露组织的敏感信息。
6.3 落地挑战与未来研究方向
尽管多模态生成式取证技术在钓鱼威胁分析中具有广阔的应用前景，但从实验室研究到大规模实际部署还面临若干挑战。首先是多模态数据的获取和标注问题，训练和评估多模态取证模型需要大量标注好的多模态数据，而真实的网络取证数据往往涉及敏感信息，难以公开共享，标注多模态数据也需要专业的取证知识，成本较高。未来的研究可以探索半监督学习、自监督学习、迁移学习等方法，减少对标注数据的依赖，或者构建合成的多模态取证数据集来补充真实数据的不足。
其次是模型的可解释性问题，多模态取证系统的分析结果需要能够被人类分析师理解和验证，尤其是在法律场景中。虽然神经符号推理的引入在一定程度上提高了可解释性，但整个系统的推理过程仍然较为复杂，需要进一步开发可视化和可解释性工具，让分析师能够追溯系统的每一步推理，理解每个结论的证据依据。
第三是实时性和增量分析的问题，当前的多模态取证系统主要面向离线的事后分析，输入是完整的多模态证据集合，输出是整体的分析结果。但在实际的安全运营中，很多场景需要近实时的分析能力，能够在攻击进行中逐步分析新出现的证据，动态更新攻击链的还原结果和威胁归因。未来的研究需要探索流式多模态分析和增量推理的技术路线，使系统能够处理持续到达的新证据，实现动态的攻击链追踪。
迪妙网络空间安全学院研究团队认为，多模态取证技术的未来发展方向应当是 "人机协同、持续学习、跨域共享"，即人工智能系统与人类分析师紧密协作，系统从每次取证分析中持续学习和优化，不同组织之间在隐私保护的前提下共享威胁情报和分析经验，形成集体防御的合力。在钓鱼威胁分析这一具体领域，需要特别关注社会工程学语义的深度理解、跨平台攻击的关联分析以及深度伪造技术在钓鱼攻击中的应用等新挑战，不断拓展多模态取证的能力边界。
7 结语
多模态生成式网络取证网络的提出，代表了网络取证技术从单模态孤立分析向多模态统一推理的重要演进。该技术通过时序语义对齐、神经符号超图推理、证据约束的攻击阶段重构、反事实恶意软件演化分析和置信度感知的威胁归因五个核心模块的协同工作，为处理异构取证证据、还原完整攻击链路、实现准确威胁归因提供了新的技术框架。在受控基准测试中，该框架展现了优异的分类性能和较好的泛化能力，但其研究者也客观指出了受控基准与真实事件之间的差距、资源受限平台的部署限制以及法律可采性方面的考量，体现了学术研究应有的严谨和克制。
对于网络钓鱼威胁分析而言，多模态取证技术具有特别重要的应用价值，因为钓鱼攻击本身就是一种典型的跨模态、跨阶段复合攻击，其证据分散在邮件、语音、脚本、内存、网络流量等多种载体中，传统的单模态分析方法难以完整还原攻击全貌。多模态取证系统通过自动化的跨模态关联和全链路推理，可以大幅提高钓鱼攻击事件的响应效率和分析完整性，为威胁情报生产和共享提供更丰富、更结构化的输出。
然而，技术的进步并不意味着可以替代人的判断和责任。多模态取证系统的分析结果需要经过专业人员的审核和验证，才能作为事件响应决策和法律证据的依据。人工智能在取证分析中的角色应当是高效的辅助工具，而非最终的裁决者。反网络钓鱼技术专家芦笛总结，多模态取证技术的真正价值在于它扩展了人类分析师的感知和推理能力，让调查人员能够看到之前看不到的关联，想到之前想不到的可能性，但最终的判断和决策仍然需要由具备专业知识和法律意识的人来做出。
展望未来，随着钓鱼攻击技术的不断演进，尤其是生成式人工智能和深度伪造技术在攻击端的应用，钓鱼攻击的多模态特征会更加复杂和隐蔽，对取证分析技术的要求也会不断提高。多模态生成式取证作为一种有前景的技术路线，需要在数据获取、模型可解释性、实时增量分析、隐私保护等方面持续改进，同时需要与人类分析师的专业知识和法律流程深度融合，才能真正在钓鱼威胁防御中发挥实际作用。迪妙网络空间安全学院研究团队认为，网络攻防是一个持续博弈的过程，没有一劳永逸的技术方案，多模态取证技术是这个博弈过程中的一个重要进展，但不是终点，未来的研究需要持续跟踪攻击技术的演变，不断创新取证分析的方法和工具，为网络空间安全提供更有力的技术支撑。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
