BinaryAI 支持本地 Agent 调用：把云端二进制安全带进日常工作流
原创 腾讯科恩实验室 2026-11-04 17:18 中国香港
BinaryAI 最新支持通过 Skill 接入本地 Agent。无需在本机搭建完整的二进制分析环境，Agent 即可调用 BinaryAI 完成云端样本分析、检测规则编写与批量验证等指定工作，并将结果继续用于代码开发和结论沉淀。
打开 WorkBuddy / Codex 等 Agent 产品，发送「帮我安装这个 Skill：www.binaryai.cn/skill.md」即可让 Agent 获得随时可调用的二进制安全分析能力。
当 Agent 已经可以写代码、编排任务和整理结论，二进制分析也不该停留在一座“工具孤岛”里。近期受到关注的 REA（Reverse Engineer Anything），提供了一种思路：REA 不自研反编译引擎，而是通过 MCP 把 Hopper、Ghidra、IDA、JADX 这些工具封装成 Agent 能直接调用的接口。用户可以直接用自然语言提出分析目标，由 Agent 选择工具、执行命令，并返回分析结果和相关证据。
REA 的优势主要体现在：一是通过 MCP 标准化，将原先 GUI 的安全分析工具转换成 Agent 可以调用的接口，打通了工具调用的链路。二是讲证据，每个结论都附上支撑它的材料和这次分析的局限。这种以证据为基础的分析方式，为 Agent 参与程序安全分析提供了较为完整的工具链。
REA 降低了 Agent 调用二进制分析工具的门槛。不过在实际使用中，本地化方案仍会受到环境、样本安全和计算资源的限制。
第一，安装命令简单，分析环境仍需配置。 REA 可以通过一条命令完成安装，但原生二进制分析仍需配置 Ghidra、JDK 及相关第三方工具。不同工具对版本、路径和环境变量各有要求，配置和维护成本并不低。由于分析环境部署在本机，能力也会受到当前操作系统限制，例如 Windows 环境无法直接完成 Linux 目标所需的动态调试。
第二，本地执行增加了恶意样本处置风险。 程序安全分析的对象可能包含恶意样本。在工作电脑上进行运行、调试或脱壳，会扩大样本对本机环境和数据的影响范围。即使额外搭建隔离环境，也会增加环境准备和维护成本。REA 以本地分析为主，因此在恶意样本场景下，仍需要单独解决执行隔离问题。
第三，本地计算资源限制了大规模并行分析。 单个样本可以使用本机资源完成分析，但当任务扩展到数百或上千个样本时，CPU、内存和并发数都会成为限制。云端环境可以按任务规模扩展计算资源，更适合批量分析和规则回扫等高并发场景。
这些限制并不影响本地工具在单机分析场景中的价值，也说明了另一类需求：当分析对象存在安全风险，或任务量超出单机承载能力时，BinaryAI 提供预配置的云端分析环境，减少本地工具安装与维护；让可疑样本在云端隔离环境中分析，避免在工作电脑上直接运行；通过云端资源承接批量任务，减少对单机算力的依赖。
BinaryAI：让本地 Agent 调用云端分析
BinaryAI 现已支持这种 Agent 联动方式，并以 Skill 文件提供。打开 WorkBuddy / Codex 等 Agent 产品，发送「帮我安装这个 Skill：www.binaryai.cn/skill.md」即可完成安装。
安装技能后，本地 Agent 继续承担任务编排、代码生成、规则编写和信息整理的工作。涉及二进制样本时，则调用 BinaryAI 发起云端分析，并将返回结果接入后续流程。
这套分工将云端的分析环境和计算资源，与本地 Agent 的任务编排能力连接起来。样本分析完成后，规则编写、验证和结论沉淀也可以在同一工作流中继续推进。
场景一｜陌生安装包：运行前先把风险查清楚
收到来源不明的安装包时，与其直接运行，不如先交给 WorkBuddy，调用 BinaryAI 分析安装包并给出处置建议。
WorkBuddy 通过调用 BinaryAI，在云端完成静态分析。通过解包并检查包内程序和 DLL，发现其中包含进程注入、账号凭据处理、远端下载执行等能力，判定为灰色软件。
如果用户怀疑样本已经安装，还可以继续让 WorkBuddy 结合分析结果，检查本机相关进程、启动项和系统设置，给出账号保护、可疑文件清理等处置建议。
完成排查后，WorkBuddy 还能基于样本哈希和安装目录特征，生成扫描与处置脚本：默认只扫描，用户确认后再隔离匹配文件，并输出可追溯的执行日志。
场景二｜12 个 sshd 样本：从批量分析到可执行简报
面对包含 12 个 sshd 二进制文件的压缩包，分析目标不只是判断“有没有后门”，还要区分攻击者植入、厂商审计定制和官方原版，并给出能够复核的技术证据。用户只需向 WorkBuddy 提出任务：“并行分析，每个文件一个会话，最后汇总生成简报。
WorkBuddy 负责整个分析流程的编排：拆分样本、检查环境、为 12 个文件分别创建 BinaryAI 分析会话，并行调度任务并持续跟踪进度。BinaryAI 则深入每个二进制内部，沿认证链路定位口令比较、认证绕过、日志规避和凭据落盘等逻辑，同时保留函数、地址和反汇编证据。
最终，12 个样本全部完成分析：确认 8 个攻击型后门、1 个归因未决的凭据记录器、1 个厂商审计定制，以及 2 个官方原版。
最终交付的不只是“有或没有后门”的判断，还包括每个样本的技术报告和一份汇总结论。BinaryAI 提供对样本的深度分析，WorkBuddy 负责多任务调度、交叉复核与文档整理，把复杂的批量样本分析变成可执行、可追溯的完整流程。
两者的结合，也让过去高度依赖专家经验的二进制分析，成为可复用、可规模化的安全能力。
BinaryAI 将云端二进制分析以 Skill 形式接入本地 Agent，让分析能力随时可用、可调度，并与代码编写、规则验证和结论沉淀顺畅衔接。用户无需维护复杂工具链，也能更安全地处理高风险和批量样本，把精力留给判断和创造。
想使用 BinaryAI 网页版，直接访问 BinaryAI.cn 即可；如果希望在本地 Agent 中调用 BinaryAI，发送「帮我安装这个 Skill：www.binaryai.cn/skill.md」，即可完成接入。
本文转载自微信公众号「腾讯科恩实验室」，查看原文。版权归原作者所有，如有侵权请联系删除。