BlastRadius软文审核修正版

```html

凌晨2点14分，扫描器跑完混合云，往工单队列里丢进一张新表格：4821个待修复漏洞。其中200个被标成CVSS 9.8或10.0的严重级别。安全团队这个迭代周期能动的服务器，大概十台。怎么挑？

95%的团队会做同一件事：按CVSS从高到低排序，从顶上开始打补丁。于是两个名字里带legacy的老家伙被选中——legacy-ftp，CVSS 10.0，Log4j远程代码执行；batch-legacy，CVSS 9.8，CGI反序列化。恭喜，36个小时不间断的工程时间，花在了两台隔离的遗留服务器上。它们待在气隙隔离的预发布子网里，没有出口，也碰不到客户数据。

与此同时，互联网侧的api-gateway上有个没修的OpenSSL漏洞，CVSS只有7.5，安安静静躺在待办列表第384号。六小时后，攻击者用这一个网关跳进微服务网格，三跳之后把整个客户数据库搬走了。

这就是BlastRadius想拆掉的那套逻辑。它给出的判断很直接：严重性分数只告诉你一个漏洞孤立看有多危险，它不告诉你攻击者能不能真的走到你的核心资产面前。项目由FalkorDB和Model Context Protocol（MCP，模型上下文协议）驱动，是一个图原生的自主AI代理，做三件事——映射真实网络可达性、计算拓扑上的咽喉点、在不搞垮生产的前提下安全修复攻击路径。

关系型数据库的死结

这个问题为什么一直没被解决？因为要回答“公网上的攻击者能不能从一个暴露入口，沿着可利用漏洞走到客户数据库”，在关系型数据库里算起来极其痛苦。你得在hosts、network_interfaces、firewall_rules、installed_services、cve_vulnerabilities五张表上跑递归CTE。到了4跳，关系引擎就退化成一堆笛卡尔连接，查询规划器直接跪。

那用向量库加LLM呢？很多“AI安全工具”把扫描报告塞进向量数据库做RAG，然后让模型“找出攻击路径”。这条路失败得很彻底：向量距离不是拓扑连通性。LLM在自然语言里追多跳网络路径并不可靠，它会幻觉出穿过气隙子网的跳数，编造防火墙放行规则，漏掉关键的横向移动约束。

FalkorDB的做法是把网络基础设施按它本来的样子存：有向属性图。它基于稀疏矩阵线性代数（GraphBLAS），跑在Redis线路上，变长路径遍历不是指针追逐，而是一次优化过的矩阵乘法，微秒级完成。从公网到核心数据库的所有路径，一条OpenCypher查询就够：

MATCH path = (entry:InternetEntry)-[:EXPLOITABLE_ROUTE*1..5]->(target:CrownJewel {name: 'db-customers'}) RETURN path, length(path) AS hops

一条查询，拓扑现实立刻呈现。FalkorDB找出了攻击者今天就能执行的四条具体路径。

分数和现实对不上

为了贴近真实企业环境，BlastRadius接入了三类实时漏洞情报：CVSS，理论基线严重性；FIRST EPSS，基于野外威胁情报的机器学习利用概率；CISA KEV，正在被实际利用的CVE权威清单。在测试环境里，如果照着传统安全建议走，你这一周都在修legacy-ftp和batch-legacy，客户数据库全程敞着。而BlastRadius会直接告诉你：只修api-gateway上的一个CVE，就能一次性消掉75%的总攻击面。

不让模型自己写查询

生成式AI项目里有个常见反模式：Text-to-SQL或Text-to-Cypher，让LLM直接对生产库写原始查询。放在安全场景里这不可接受——模型会编造关系标签或过滤条件；一条不受约束的笛卡尔查询能把数据库内存锁死；提示注入还可能篡改Cypher字符串，把敏感拓扑泄出去。

BlastRadius用MCP解决这件事。LLM代理从不写原始Cypher，它只通过确定性的、强类型的MCP工具和FalkorDB交互。因为推理过程原生存在图里，安全团队可以用Cypher回查历史决策；每个动作都有一条双向边指向触发它的那个拓扑状态；换任何一位同事接手，都能立刻看懂之前为什么这么判。

用自己的数据跑

企业安全工具不能是写死数据的玩具。BlastRadius支持点“Use your own data”，上传网络资产清单或漏洞扫描结果，立刻实例化一个私有隔离图。FalkorDB的多租户图命名空间没有额外开销，每个用户或组织都在严格分区的图空间里运行，扫描到成图之间不需要额外的基建摩擦。

技术栈摆在这里：应用部署在Vercel，图引擎是FalkorDB，后端是跑在Railway上的FastAPI（Python 3.12），协议层是暴露确定性图原语的MCP服务器，前端用React Flow动态画布实时渲染攻击路径、咽喉点光晕和边跳转，CI用GitHub Actions对着真实运行的FalkorDB容器验证Cypher遍历准确性、最短路径计算和自主等级约束。

大多数安全工具产出的是更多数据、更多告警、更多认知疲劳。BlastRadius做的是反过来的事：忽略孤立的高CVSS干扰项，用图算法定位真正的拓扑咽喉点，用实时多路径追踪证明这个咽喉点为什么重要，然后在关键基础设施上按图计算出的护栏自主执行安全修复。

攻击者一直用图思考。防守方也该开始了。