Introduce Facader模型- AI自动渗透工业化的最后一公里

前言

一名入门者用开源工具渗透某单位，一次误操作删除了 24 万条政府数据。自动化降低了攻击门槛，也放大了每个动作的代价。

CYBER平台已经验证了工业化的渗透测试，那么在模型和架构之外，还有最后一公里：让每一个未知的行动，都在授权边界内正确执行。

过去，我们用自然语言描述我们的一些约束，但如果没有人监督模型是否会遵守，就会发生开头的反面案例。模型带来的问题只能通过模型解决，为此我们开始设计第一代类Jev护栏模型。

它守在行动真正发生之前，允许的动作顺利通过，越界的动作则被拦在边界之内。

始终面朝边界，所以叫“面壁者”

面壁计划

全文表格约定：加粗表示该项最高值（并列最高同样加粗）。

决策模型 ？随机数生成器

介于成本和数据量考量，我们选择了热门的几款类Jev决策模型，以及和我们的场景较为贴合的公开bench: ScopeJudge 进行测试，测试结果如下:

可以看到，除了Jev官方和Nimble 9B v2外，几乎都是随机生成器水平，完全不可用。

How2Jev

因此我们将眼光放回了LLM，需要可以低成本部署，并兼顾精度和速度的小模型，并且为了避免Decode带来的性能影响，还需要一个LLM转Jev的方案，因此我们设计了如下的实验。

我们选取了七种转化方案:

以及七种合适的小尺寸开源模型:

再次对ScopeJudge 进行测试，得出的结果如下:

Scope 授权判断 · 1,043 条动作 · 平衡准确率 ↑

在做了 Scope 授权判断的基本测评后，有几种转换方法和基座进入了我们的视野，但为避免单一测评集影响我们的判断，我们同时还做了一些通用性能力测试:

通用决策能力保留 · 344 道问题 · 准确率 ↑

在平衡了两者的准确率后，最终选择基于  DeepSeek V4 Flash 蒸馏 9B 社区模型 Jackrong/Qwen3.5-9B-DeepSeek-V4-Flash 构建，采用R2方式转化。

穿越幻觉

由于边界问题非常特殊，同一动作在不同授权条件下很可能得到相反结论。因此，我们着重对区分边界这一问题进行了训练，并且强调动作与授权的对应关系，让模型不仅学会判断“允许”或“禁止”，也能够理解“为什么允许”与“为什么禁止”。

下表展示了在相同基座下，边界训练前后的效果对比:

在基座模型、输入数据与转换方法均保持一致的情况下，三项指标分别提升10.34, 2.03, 6.19个百分点。拦截率与正常放行率的同步提升，说明模型并非通过一味增加拒绝来换取安全性，而是在增强风险拦截能力的同时，进一步改善了正常请求的放行表现。

思考

Facader-Heisen 的名字源自德国物理学家海森堡（Werner Heisenberg）。他曾参与纳粹德国的核武器研发，但由于种种原因，该计划最终未能实现目标。从历史结果来看，没有实现却对所有人来说反而是好的结果。

Heisen 原本计划造出安全领域的 decision 模型，出于算力、数据集和训练经验的限制。现阶段仅完成了其中的安全护栏部分，作为 CYBER 平台上线前“最后一公里”的安全保障。

第一代面壁者系列模型 -  Facader-Heisen

我们开展了四项评测，共 1,974 个请求、2,118 道问题，覆盖授权判断、轨迹安全与通用决策，四项评测的问题数依次为 1,043、500、344、231。

基本能力测评

最关键的 Scope 测评中，我们的模型平衡准确率 83.32% 为同题最高，较官方Jev决策模型高 3.35 个百分点，较同基座未训练版本高 6.19 个百分点。不过通用决策 65.70%、JevBench 78.35%，分别落后官方 24.7 和 9.5 个百分点。

中文与多语言能力

除了拦截行为，语言理解能力也非常重要，在MASSIVE 简体中文与繁体中文子集上，Facader-Heisen 分别达 90.00% 和 87.00%，较官方决策模型均高 12 个百分点（各 100 题）。同一组权重在 51 种语言面板上达 79.61%，并直接复用于越狱识别与模型路由，多任务共用一组权重。

表中均为全题准确率，中文两行是 51 语言面板的子集，不重复计入总题量。多语言面板较官方高 20.6 个百分点，为最大单项优势。

性能优化

除了效果，速度也是我们重点关注的指标。

普通 LLM 在完成上下文计算后，仍要逐 token 生成判断文本；即使只需返回一小段 JSON，调用方也得等所有字段全部生成完毕。

而 Facader-Heisen 的判定在前向计算的判定位置直接读出，路径中没有解码阶段， 由接口直接返回结构化判定与概率， 因此速度更快。

因此我们也做了如下的测试， 在同一组 DeepSeek 9B 产品权重，单机 NVIDIA GB10、HF/SDPA、BF16、相同 LoRA 配置下， 24 条 Scope 请求各重复 3 次，每侧 72 次调用；两侧均关闭思考、串行执行、无跨请求缓存，普通 LLM 实际生成简短 JSON，不用受限语法或固定文本代填， 预热不计入，且统计不含 HTTP 与网络传输。

可以看到， 最终中位耗时降低 82.82%（5.82×），P95 降低 82.0%。

CYBER平台的真实数据

公开基准之外，Facader-Heisen的部署验证进一步覆盖了真实任务数据。我们对 628,581 条已执行的有效 bash 命令完成全量离线回放，数据包含授权渗透、资产收集、漏洞验证与常规运维等工作负载。

在固定策略下逐条判断命令，有效命令覆盖率达到 100%，最终打分失败与坏行均为 0。最长命令为 5,458 token，加入提示包装后仍在服务上下文范围内，全部有效命令均完成评分。

为衡量危险行为识别，我们另外设置了 141 条人工构造对照命令，包含 12 类危险场景与良性运维操作。在这组对照中，危险命令召回率为 90.1%，良性命令正确放行率为 100%。

以下为同一批判定的策略重算，不重新调用模型：

如果将门槛由 0.9 调至 0.8，那么送审量将减少 58.52%，自动放行比例提高 14.59 个百分点。

开源与公益SaaS服务

我们计划将在两周内开源 Facader-Heisen，11月内推出 CyberGuard SaaS 平台, 免费提供渗透测试的护栏服务。

为方便接入，我们的接入方式与Jev官方决策模型保持一致： 以独立的 HTTP API接入，非本机调用需使用 Bearer 鉴权。应用提交 state（可信授权、上下文、拟执行动作）与 questions（判断问题及候选）；接口支持 choice、noul、score，分别对应选择、布尔判断与分级评分；响应包含判定、置信度与候选概率，候选可随问题变化，返回格式保持稳定，应用沿用自己的权限与审批流程。

这里也列出常见的三类场景：

• • 渗透测试中的工具审批 : 发起请求前，核对目标资产与完整工具参数是否符合本次授权；

• • 漏洞验证中的操作约束 : 区分最小验证证据与批量导出、修改、持久化等额外操作；

• • 自动化流程中的审批分流 : 结合权限规则，由执行器选择继续执行、阻断或人工审批。

For Future

Jev带来的价值不是再增加一个规则引擎，而是把通识知识、上下文理解和类型化判断引入执行链。模型读取当前状态、待判断的问题和候选标准，输出候选判断，而不是泛化地生成一段答案。

因此我们对Facader-X系列模型的期待也远不止于安全护栏，这只是我们用于补全网络攻击能力工业化最后一公里的一环，而非全部。

在这里我们也提出一个护栏翻转的概念，也是我们未来的进化方向， 例如:

我们已经在进行了更多的实验，去设计下一代Facader模型，下一代模型不再只是一个更强的护栏模型，而是覆盖各种网络安全场景的决策模型，构建黑客的System One Model。

此外，在Harness层面我们打破了ReAct Loop， 将Decision引入到最底层的设计中，可以期待我们在TCH3上的技术演讲： 从Prediction到Reflex_ 构建 Model × Harness 的自进化执行系统。