发帖
雷达卡
当AI Agent能够自主调度上百种工具组成攻击集群，自动化攻击工具甚至可在10分钟内完成“漏洞探测-武器化-攻击实施”的完整流程时，传统依赖人工操作、手动串联工具的攻防演练方式已明显落后。对于零基础用户而言，编程技能要求高、工具链分散、缺乏系统性安全知识，构成了进入网络安全领域的三大主要障碍。
而Coze作为一个无代码/低代码的AI智能体开发平台，凭借其“可视化工作流+丰富插件生态+AI Agent协同”三大核心能力，有效破解了上述难题。无需编写任何代码，即可将Nmap、Metasploit、Sqlmap等传统安全工具与大语言模型（LLM）、自动化报告生成等AI功能深度融合，构建出具备“感知-决策-执行-复盘”闭环能力的智能化攻防演练系统。
本文将从环境搭建到高级优化，从实际应用场景到未来发展方向，全面解析如何利用Coze为零基础用户提供覆盖全阶段、支持自动化、具备智能决策能力的攻防演练解决方案。内容不仅包含可直接复用的操作流程，更深入剖析AI Agent在攻防任务中的运行逻辑，为网络安全从业者、企业安全团队及初学者提供一份兼具专业深度与实践价值的技术指南。
一、理解本质：Coze实现攻防自动化的底层逻辑
1. 为什么Coze适合零基础用户？
- 零编码需求：通过拖拽式组件和参数配置即可完成复杂工具链编排，无需掌握Python、Java等编程语言。
- 全链条整合能力：内置超过150个网络安全相关插件，涵盖信息收集、漏洞扫描、利用、权限提升到报告输出的全流程，并支持自定义插件扩展。
- 原生AI驱动：集成大模型分析能力，实现攻击路径智能规划、扫描结果自动解读、报告一键生成，突破传统工具仅能“执行命令”的局限。
- 灵活部署与协作：可发布为Web应用、API接口，或接入Discord、企业微信等协作平台，满足个人测试与团队协同的不同需求。
- 安全合规保障：支持端到端数据加密与私有化部署，符合攻防演练中对敏感数据的安全管理要求。
2. Coze工作流在攻防场景中的架构设计
Coze的工作流机制基于“节点编排+变量传递+条件判断”的自动化引擎，高度契合攻防过程中“分步推进+动态响应”的特性：
- 关键节点类型：包括插件节点（调用具体安全工具）、LLM节点（进行智能分析与决策）、代码节点（处理自定义逻辑）、条件节点（实现分支控制）、变量节点（存储中间数据）。
- 数据流动机制：通过“引用变量”实现跨节点数据传递。例如，将subfinder发现的子域名列表作为nmap扫描的目标输入。
- 闭环执行能力：从目标输入开始，经过自动执行、AI分析，最终输出结构化报告，全过程无需人工干预，形成完整的“目标→执行→分析→输出”闭环。
目标IP/域名3. 相较于传统工具链的核心优势对比
| 对比维度 | 传统工具链 | Coze构建的工具链 |
|---|---|---|
| 技术门槛 | 需熟练掌握命令行与脚本编程 | 零代码，图形化操作界面 |
| 协同能力 | 各工具独立运行，需手动切换 | 工作流串联，多工具自动衔接 |
| 智能水平 | 仅能执行预设指令，无分析能力 | 由AI驱动决策，动态优化攻击路径 |
| 适配性 | 适用于单一场景，难以扩展 | 支持按场景配置，灵活可拓展 |
| 交付效率 | 依赖人工整理结果，耗时且易错 | 自动生成标准化报告，支持多种格式导出 |
扫描类型二、实战准备：零基础搭建前的关键配置步骤
1. 平台注册与界面熟悉
访问Coze官网（https://www.coze.com）完成账户注册，推荐使用团队空间以支持多人协作与权限分级管理。
主要界面布局如下：
- 左侧区域：包含插件市场、工作流管理、我的Bot等功能模块。
- 中央画布：用于拖拽节点、连接流程线，是工作流设计的核心区域。
- 右侧面板：显示当前选中节点的详细配置选项，如参数设置、变量绑定等。
建议提前开启必要的权限，如API调用权限和文件导出功能；若涉及敏感项目，可联系平台开通私有化部署通道。
2. 必备插件选择与安装策略
为实现攻防演练全流程覆盖，应安装以下六大类插件（优先选用官方认证版本以确保稳定性）：
- 信息收集：nslookup、whois、subfinder（子域名枚举）、dirsearch（目录爆破）、whatweb（网站指纹识别）、shodan（网络空间搜索引擎）。
- 漏洞扫描：nmap（端口扫描）、sqlmap（SQL注入检测）、xss-scan（XSS漏洞扫描）、csrf-scan（CSRF检测）、nessus（综合性漏洞扫描工具）。
- 漏洞利用：metasploit（主流渗透框架）、exploit-db（公开漏洞查询）、msfconsole（Metasploit命令行交互）。
- 权限提升：windows-exploit-suggester（Windows系统提权辅助）、linux-exploit-suggester（Linux提权建议工具）。
- 痕迹清理：log-cleaner（日志清除）、file-shredder（安全删除文件）。
- 报告生成：markdown-generator（生成Markdown文档）、pdf-exporter（导出PDF）、html-report（生成可视化网页报告）。
- 安全合规：网易易盾AIGC安全插件（内容合规检测）、data-encrypt（数据加密模块）。
3. 全局变量与模板工作流初始化
在“变量管理”中预先创建常用全局变量，例如：
- target_domain（目标域名，字符串类型）
- scan_scope（扫描范围，数组类型）
- report_author（报告作者，字符串类型）
- output_path（输出路径，字符串类型）
同时可导入或创建标准化工作流模板，如“基础信息收集流程”、“自动化渗透测试流程”，便于后续快速复用与迭代优化。
（文本类型），后续工作流可直接引用。
工作流模板创建：新建一个空白工作流，命名为“攻防演练主流程”。系统将默认生成“开始节点”和“结束节点”，为后续的分步编排提供基础结构支持。
三、核心实战：构建全流程自动化攻防工具链
1. 阶段一：智能信息收集工具（AI增强版）
功能定位
突破传统信息收集方式中“数据堆砌”的局限性，借助AI技术对采集到的数据进行深度分析，自动识别并提取关键资产信息，精准标记高价值攻击目标。
搭建步骤
- 配置开始节点：设定输入参数为
（必填项）以及目标IP/域名
（可选项：基础/深度/全面）。收集深度 - 添加并行执行节点：
- 分支1：调用 subfinder 插件与 dirsearch 插件，用于枚举子域名及网站目录，输出变量为
和子域名列表
。敏感目录列表 - 分支2：调用 nmap 插件与 whatweb 插件，实现端口服务扫描与应用指纹识别，输出变量为
和开放端口列表
。应用指纹信息 - 分支3：调用 whois 插件与 shodan 插件，获取域名注册信息及网络空间暴露面数据，输出变量为
和WHOIS信息
。目标资产画像
- 分支1：调用 subfinder 插件与 dirsearch 插件，用于枚举子域名及网站目录，输出变量为
- 新增LLM分析节点：选用 GPT-4 模型，设置提示词为：“基于子域名列表、敏感目录列表、开放端口列表、应用指纹信息、WHOIS信息，提取目标核心资产（如管理后台、数据库端口、高危应用），标记风险等级，生成信息收集摘要”。输入上述所有收集结果，输出变量为
。AI分析摘要 - 配置代码节点：使用 Python 脚本对
进行去重处理，并筛选出存活节点，输出变量为子域名列表
（供后续扫描流程使用）。存活目标列表 - 设置输出节点：汇总
、AI分析摘要
、存活目标列表
，以 Markdown 格式进行展示。原始收集数据
进阶优化
- 条件判断增强：当
选择“全面”模式时，自动触发更多插件调用，例如 amass 进行子域名枚举、gobuster 实施目录爆破等。收集深度 - 批量扫描支持：启用循环节点，支持导入 IP 或域名列表，实现对多个目标的信息自动收集任务。
2. 阶段二：风险分级漏洞扫描工具
功能定位
依据前期信息收集成果，动态匹配相应的扫描策略，区分高危与低危漏洞类型，有效降低误报率，提升检测效率。
搭建步骤
- 配置开始节点：接收输入参数
（引用前序工具输出变量）与存活目标列表
（枚举类型：快速扫描/定向扫描/全面扫描）。扫描模式 - 添加条件分支节点：
- 若检测到应用指纹包含“WordPress”，则调用 wp-scan 插件，检查主题与插件相关漏洞。
- 若发现开放端口为“3306（MySQL）”，则启动 mysql-scan 插件，检测弱口令或权限配置问题。
- 若存在“80/443”端口开放，则调用 sqlmap、xss-scan 与 csrf-scan 插件，开展 Web 常见漏洞扫描。
- 新增漏洞评级节点：调用 LLM 分析节点，提示词设为：“根据漏洞扫描结果，按照 CVSS 评分标准进行评级（高危≥9.0，中危 4.0–8.9，低危<4.0），并标注漏洞利用难度与影响范围”，输出变量为
。分级漏洞列表 - 配置过滤节点：通过代码节点实现对低危漏洞的过滤（可选操作），输出变量为
。重点关注漏洞列表
实战技巧
- 联动漏洞库：集成 exploit-db 插件，根据漏洞 ID 自动匹配可用 PoC，输出变量为
。可利用漏洞清单 - 实时告警机制：接入消息推送插件，将识别出的高危漏洞实时发送至企业微信或 Discord 频道。
3. 阶段三：AI驱动漏洞利用工具
功能定位
基于漏洞扫描结果，由系统智能选择最优利用方案，支持一键式漏洞验证执行，无需人工编写利用脚本，提升利用效率与准确性。
搭建步骤
- 配置开始节点：接收输入参数包括
、目标IP
、漏洞类型
、漏洞ID
（枚举类型：验证性利用/功能性利用）。利用方式 - 添加插件调用节点：
- 调用 exploit-db 插件，结合
和漏洞类型
获取对应 PoC 脚本。漏洞ID - 调用 metasploit 插件，加载获取的 PoC 脚本，并传入
参数执行漏洞利用。目标IP
- 调用 exploit-db 插件，结合
- 新增结果判断节点：
- 若利用成功，输出
（包含权限获取状态、命令执行结果），并自动触发后续权限提升流程。利用结果 - 若利用失败，则调用 LLM 节点分析失败原因（如环境不兼容、被防护机制拦截等），输出
。优化建议
- 若利用成功，输出
- 配置权限保存节点：将成功渗透的目标信息及其权限凭证统一存储至变量
中，便于后续调用。已控制资产列表
进阶能力
- 多漏洞链式利用：通过条件与循环节点组合，实现“Web 漏洞 getshell → 内网穿透 → 横向移动”的自动化攻击链条。
- 自定义利用脚本：利用代码节点编写 Python 或 JavaScript 脚本，适配特定场景下的非标准协议或定制化漏洞利用需求。
4. 阶段四：权限提升与内网漫游工具
功能定位
从初始获得的有限权限出发，逐步提权至系统管理员级别，完成内网资产探测与横向移动任务，完整模拟真实攻击者在内网中的渗透路径。
搭建步骤
- 配置开始节点：输入参数为
、目标IP
、当前权限
、操作系统类型
。内网网段 - 添加权限提升节点：根据
操作系统类型
（枚举类型：全量扫描/定向扫描）
风险等级（枚举类型：高危/中危/低危）
演练报告执行提权操作时，加载相应的提权辅助模块（如 windows-exploit-suggester 或 linux-exploit-suggester）。
运行提权指令，并查看执行结果：
提权结果判断提权过程是否成功或失败，具体反馈如下：
提升后权限若提权操作成功，则进入内网信息探测阶段：
启动 nmap 扫描插件对目标网络进行主机发现与端口探测
内网网段输出扫描结果，识别当前在线的设备及其开放的服务端口：
内网资产地图进一步调用 smb-scan 插件检查内网中是否存在共享资源，同时启用 ssh-brute 插件尝试通过常见弱密码组合进行远程登录测试：
可横向移动目标配置横向移动流程节点：采用循环机制，针对已获取的潜在目标列表
可横向移动目标逐个发起利用尝试，并记录响应情况：
内网控制结果阶段五：痕迹清除与智能化报告生成
功能说明
该阶段旨在清除攻击过程中产生的各类操作记录和临时文件，避免被安全系统检测到；同时自动生成结构清晰、可视化程度高的演练总结报告。
实施步骤
首先设置流程起始节点，接收以下输入参数：
目标IP列表演练类型标识：
演练类型报告格式需求：
报告格式添加日志清理任务节点：
- 调用 log-cleaner 模块，清除系统日志、命令执行历史及工具运行痕迹。
- 启用 file-shredder 工具，彻底销毁攻击期间上传的所有辅助脚本、PoC 文件等敏感内容。
新增报告生成环节：
- 通过 LLM 分析节点整合整个攻防流程中的关键数据，包括信息搜集成果、漏洞验证结果、权限提升过程及内网渗透路径。
- 自动生成包含攻击链路图示、漏洞详细描述以及修复建议的报告正文内容。
- 调用对应格式转换插件（pdf-exporter 或 html-report），将文本内容转化为指定格式
目标格式报告配置报告分发逻辑：
- 使用文件存储插件（例如阿里云OSS或本地磁盘）保存最终报告。
- 通过消息推送服务将报告访问链接发送至预设接收方。
报告优化策略
增强可视化展示：在流程中引入代码节点，调用 matplotlib 库绘制漏洞严重程度分布饼图、攻击路径流程图，并将其嵌入最终文档中。
合规性适配处理：依据《网络安全法》《数据安全法》相关规定，在报告中加入合规审查模块，评估所有攻击行为是否处于授权范围内。
四、进阶优化：实现从“可用”到“高效”的跃迁
1. Coze 工作流高级配置技巧
变量灵活运用：定义数组型变量
目标列表结合循环节点实现多目标批量自动化处理，支持通过 CSV 文件导入大批量资产目标。
条件分支精细化控制：使用“多条件判断”节点设定复合规则，例如：“漏洞等级=高危 且 利用难度=低”，从而精准驱动后续动作。
异常容错机制构建：为每个插件执行节点配置“异常分支”。当出现连接失败、目标不可达或工具报错等情况时，自动触发重试机制或跳过当前步骤，保障整体流程稳定运行。
LLM 节点参数调优：合理设置生成温度（推荐区间 0.3–0.5），确保输出内容逻辑一致且具备稳定性；采用 JSON Schema 规范化返回结构，便于下游节点解析利用。
2. 自定义插件开发（无需编码或低代码方式）
面对特殊场景（如工业控制系统协议检测、云平台专项漏洞扫描）而现有官方插件无法满足时，可通过平台提供的能力自行创建专用插件。
操作流程如下：
- 进入 Coze 插件市场，点击“创建插件”，选择“基于已有API创建”或“在IDE中开发”模式。
- 填写插件基础信息，如名称（示例：“Modbus协议扫描插件”）、功能描述及调用地址（第三方接口URL或自建服务端点）。
- 定义输入参数：
目标IP端口协议类型漏洞信息响应结果3. 场景化工具链扩展方案
（1）Web应用攻防专用工具集
- 集成新插件：burp-suite（用于Web漏洞扫描）、js-scan（提取JavaScript中的敏感信息）、cms-scan（检测常见CMS系统漏洞）。
- 优化流程设计：增加“登录爆破”分支（调用 hydra 插件）、“文件上传风险检测”分支（调用 upload-scan 插件）。
（2）云环境攻防专用工具集
- 新增插件支持：aws-scan（AWS安全配置审计）、azure-scan（Azure平台漏洞识别）、k8s-scan（Kubernetes集群弱点探测）。
- 核心执行流程：云API密钥泄露检测 → 云服务器漏洞扫描 → 容器逃逸尝试 → 非授权访问云存储中的数据。
（3）工控系统攻防专用工具集
- 引入专用扫描模块：modbus-scan（Modbus协议分析）、dnp3-scan（DNP3协议检测）、s7-scan（S7通信协议扫描）。
- 强化防护模拟机制：增加“工业协议白名单检测”节点，模拟攻击者绕过合法通信限制的行为路径。
五、部署与团队协作：构建企业级攻防演练平台
1. 多样化部署方案
Web平台发布：在 Coze 中点击“发布”按钮，选择“Web应用”选项，配置自定义域名和访问权限，生成可直接访问的图形化操作界面。
API接口集成：将工作流发布为标准 RESTful API 接口，便于与企业现有的安全运营中心（SOC）、SIEM 等系统对接，实现攻防演练与日常监控联动。
第三方协作平台融合：通过 Discord 插件或企业微信插件，将整套工具嵌入团队沟通平台，支持通过 @机器人方式启动演练任务，并实时接收执行结果通知。
2. 团队协同机制配置
支持多用户角色管理、权限分级控制、任务进度追踪等功能，确保团队成员之间高效协作，提升整体演练效率与安全性。
一、权限与协作机制优化
在团队空间中，可通过设定角色权限（如管理员、开发者、使用者）实现精细化管控，确保不同成员仅能执行与其职责相符的操作，包括工作流编辑、插件管理及结果查看等核心功能。
为提升协同效率，系统支持添加“任务分配”节点，将演练各阶段的具体任务指派给指定成员，并具备进度追踪与反馈收集能力，保障流程透明可控。
同时，打通攻防知识库的调用路径，构建包含漏洞利用手册、工具使用说明等内容的知识体系。借助Coze的知识节点能力，可在演练过程中实时推送相关指导信息，辅助决策与操作。
二、数据安全与合规性强化措施
启用端到端加密机制，对演练期间涉及的目标资产信息、发现的漏洞数据以及各类权限凭证进行加密存储与传输，确保敏感内容不被泄露。
引入“授权验证”节点，强制要求用户上传合法授权文件后方可启动演练流程，从源头杜绝未授权行为的发生，增强操作合规性。
开启审计日志功能，完整记录所有用户的工具调用行为、参数配置变更及执行结果输出，形成可追溯的操作轨迹，满足内部审查与外部监管需求。
三、AI Agent驱动下的攻防演练演进趋势
当前自动化攻防正经历深刻变革：攻击侧由传统脚本向智能化跃迁，AI Agent能够自主规划攻击路径、动态适应目标环境，并在分钟级完成漏洞武器化过程（例如HexStrike AI采用的“LLM+Agent”架构）。防御侧则普遍转向“AI对抗AI”模式，利用生成式AI模拟攻击行为并实时优化防护策略，以应对日益复杂的自动化威胁。
目标IP/域名四、Coze工具链未来发展方向
1. 实现AI Agent自主攻防能力
输入目标所属行业与业务特征后，AI Agent可自动分析并制定攻击路径，智能匹配适用工具，全程无需人工介入。在执行过程中若检测到防御机制变化，如WAF触发或权限受限，系统将自主切换攻击策略——例如从Web层渗透转为供应链攻击路径，实现动态响应。
2. 支持跨场景协同对抗演练
推动红蓝双方工具链联动，让AI Agent分别扮演攻击方与防御方角色，开展7×24小时不间断对抗测试。系统可自动生成多维度评估指标，如红队攻击成功率、蓝队拦截率、漏洞修复响应时效等，实现安全能力的量化衡量。
3. 融合前沿科技提升防护等级
前瞻性集成量子抗性加密技术，保护演练数据免受未来量子计算带来的解密风险，提前适配下一代网络安全环境。同时，内置生成式防御检测模块，专门用于识别和阻断由AI生成的新型变种攻击手法，提升系统的主动防御能力。
扫描类型五、零基础用户成长路径设计
阶段一：掌握现有插件的使用方法，熟练搭建通用型攻防工作流，完成基础演练任务。
阶段二：深入学习自定义插件开发技能，针对特殊业务场景定制专属功能组件。
阶段三：理解AI Agent配置逻辑，实现流程自动化与决策智能化，提升整体演练效率。
阶段四：积极参与开源社区建设，贡献自主研发的插件模块与标准化工作流模板，助力行业生态发展。
六、结语：迈向智能化攻防新时代
Coze平台的诞生，使得即使不具备编程背景的用户也能突破技术障碍，快速构建专业级别的攻防演练体系。它不仅是一个工具整合中枢，更是AI技术与网络安全深度融合的实践载体，正在推动整个领域从“依赖人工操作”向“智能协同运作”的范式转变。
本文所提供的全流程实施方案，覆盖了从初始配置到高阶优化、从单人操作到团队协作的完整演进路线，既服务于初学者的入门实践，也为专业安全团队提供了智能化升级的技术思路。
随着AI Agent技术的不断成熟，未来的攻防演练将更加自动化、场景化和高强度对抗化。而以Coze为代表的无代码平台，将成为这场变革的关键引擎。
在新的安全竞争格局下，胜负不再取决于工具数量的多寡，而是智能协同能力的高低。依托Coze构建的攻防工具链，用户可显著增强实战应对能力，在“AI对抗AI”的时代中掌握先机。
京公网安备 11010802022788号
