eBPF3 篇实战文章

拿验证器去判一个未知行为之前，先证明它能认出已知的那个。这个顺序，大多数人反着来。 上个月看到一个实验。作者给 agent 搭了个备份客户端，先花大半时间验证观测工具本身能不能认出他埋进去的八个已知行为。八个都是刻意埋的，不代表 agent 出错的实际频率，也不给哪个模型打分。就为了让仪器先自证一次。

一个下午，少量 token，把归档两年的 Weave Scope 从 x8664 的烂摊子里拉出来，生成多架构镜像直接推 Docker Hub。故事是真的，新仓库是真的，manifest 也在。但"救活"这两个字，我不认。 构建流程是 agent 最擅长吃掉的活，这我从来不否认。

把内核里发生的事，翻译成 MITRE ATT&CK 上的技术编号，能不能自动做？ 简单说，这周有篇论文把整条流水线跑通了，全程本地推理。 流水线叫 Trace2ATT&CK。eBPF 收内核事件，把攻击者的命令串成溯源图，图压成紧凑表示，再让 LLM 挑技术编号。输出不是一个答案，是排好序的候选，每条附一段理由。