Neuromorphic Threat Intelligence MCP Server

神经形态威胁情报 MCP 服务

在 ApifyForge 上查看 | 在 Apify Store 上使用

---

快速开始

添加到你的 MCP 客户端（Claude Desktop、Cursor、Windsurf）：

{
  "mcpServers": {
    "neuromorphic-threat-intelligence-mcp": {
      "url": "https://ryanclinton--neuromorphic-threat-intelligence-mcp.apify.actor/mcp"
    }
  }
}

---

面向 AI Agent 的神经形态威胁情报——此 MCP 服务将 8 种受大脑启发的数学框架应用于网络威胁检测，从 15 个来源提取实时数据，涵盖漏洞数据库、互联网扫描基础设施、制裁登记库、社交信号和代码仓库。它让 Claude、Cursor 等 AI 助手以及任何兼容 MCP 的客户端能够像生物神经回路一样推理威胁：通过脉冲动态、时序学习和拓扑结构。

每次工具调用都会并行请求多个情报数据源，然后运行严谨的算法——泄漏积分发放脉冲网络、STDP 可塑性学习、超图攻击语法、SIS 流行病传播、NEAT 神经进化、离散 Morse 理论、进化种群博弈或 Le Cam 统计缺陷——并返回带有可解释结论的结构化 JSON。这并非单一 API 的封装，而是一个多源推理引擎，可提供定量结果和清晰的威胁评估。

可以访问哪些数据？

数据点	来源	覆盖范围示例
📋 CVE 漏洞记录	NVD CVE Search	200,000+ 个带有 CVSS 评分的 CVE
🔥 已知遭利用的漏洞	CISA KEV Catalog	正在野外遭到利用
🖥 互联网主机扫描数据	Censys Search	开放端口、服务、标语
🌐 DNS 记录	DNS Lookup	A、MX、TXT、NS、CNAME 记录
🔒 SSL/TLS 证书历史记录	crt.sh CT Logs	证书透明度日志
📝 域名注册数据	WHOIS Lookup	注册人、日期、名称服务器
📍 IP 地理位置和 ASN	IP Geolocation	国家/地区、组织、ASN、坐标
🛠 网站技术栈	Tech Stack Detector	CMS、框架、CDN、库
💻 安全代码和 PoC	GitHub Repo Search	公开仓库
💬 安全社区讨论	Hacker News Search	HN 主题和评论
🚫 美国财政部制裁	OFAC Sanctions Search	SDN 名单、被封锁人员
🌍 全球观察名单	OpenSanctions Search	100+ 项计划、40+ 个国家/地区
📡 社交威胁信号	Bluesky Social Search	实时安全社区帖子
🕰 历史网页快照	Wayback Machine	Archive.org 快照
🔄 网站内容变更	Website Change Monitor	已跟踪的页面修改

为什么使用 Neuromorphic Threat Intelligence MCP Server？

人工关联威胁是每个安全工作流中的瓶颈。威胁分析师要针对单个域名检查 CVE、交叉查询 CISA KEV、查询 Censys、审查 DNS 历史、扫描制裁名单并监控社交渠道，可能需要花费 4 到 6 小时；等分析完成时，得出的情况可能已经过时数小时。统计检测方法往往是事后拼凑上去的，只能给出二元的红色／绿色结果，缺少定量置信度。

此 MCP 服务可自动完成整个关联与分析流程。它会并行查询最多 7 个数据源，将不同格式的严重性评分（CVSS 浮点数、“Critical/High/Medium” 字符串、原始分数）归一化，整理结构化威胁指标，并将其传入所选算法。结果除了完整的数值输出外，还包含通俗易懂的解读。

• 定时任务 — 每天或每周定期运行威胁扫描，跟踪攻击面如何演变
• API 访问 — 通过 Python、JavaScript 或任何 HTTP 客户端触发分析，无需离开现有工具链
• 代理轮换 — 必要时，上游参与方会使用 Apify 内置的代理基础设施
• 监控 — MCP 工具调用失败或返回意外结果时，通过 Slack 或电子邮件接收提醒
• 集成 — 将输出连接到 Zapier、Make、webhook，或将结果直接推送到 SIEM 管道

功能

• 泄漏积分发放（LIF）脉冲网络 — 每种威胁源类型对应一个神经元，膜动态由 LIF 方程控制，衰减时间常数为 10–20 ms，不应期为 2–5 ms，突触延迟为 1–5 个步长
• 切换面上的 Filippov 微分包含 — 当膜电位与阈值的差值在 0.05 以内时，系统会对阈值以下和阈值以上的动态进行凸组合，产生滑动模态；这些切换事件的数量可直接衡量系统对正常与异常边界的探测强度
• 结合 Tracy-Widom 随机矩阵边缘的 STDP 学习 — 根据不同来源之间的因果脉冲对构建时序权重矩阵；先前脉冲后发放的序列会增强权重，反向序列则会减弱权重；随机矩阵理论中的 Tracy-Widom 边缘用于区分有结构的攻击活动信号与随机噪声
• Hebbian 细胞组装检测 — 识别活动在时间上超过相关性阈值的威胁源集群，揭示协同攻击活动的多源指纹
• 结合 Floyd-Warshall 可达性分析的超图攻击语法 — 将基础设施建模为上下文无关超图语法；产生式规则编码漏洞利用之间的转换；推导所有可达攻击路径，并计算关键资产的介数中心性
• Barabasi-Albert 无标度接触过程 — 在优先连接网络上模拟漏洞传播；计算基本再生数 R0、流行病阈值、枢纽感染顺序和稳态感染比例
• 具备物种划分和适应度共享的 NEAT 神经进化 — 同时演化神经网络拓扑结构与权重；创新编号解决竞争约定问题；物种划分保护结构多样性；使用 6 特征威胁指标向量进行训练
• 离散 Morse 理论 CW 复形 — 将基础设施建模为 CW 复形，其中 0-胞腔表示资产、1-胞腔表示连接、2-胞腔表示服务集群；通过梯度向量场配对来约简复形；未配对的临界胞腔表示拓扑上不可约的攻击面；输出欧拉示性数和 Betti 数
• 群体博弈复制子动力学 — 模拟 2,000 名威胁行为者采用五种策略（民族国家 APT、网络犯罪、黑客行动主义、内部威胁、供应链）；根据真实制裁和漏洞密度校准收益矩阵；计算演化稳定策略和 Lyapunov 指数
• Le Cam 不足距离 — 衡量当前与增强监控配置之间的信息损失；计算极小极大风险、贝叶斯风险、功效函数、ROC 曲线，以及实现可靠检测所需的样本复杂度
• 并行 Agent 编排 — 通过 Promise.all 同时触发所有上游 Agent 调用；180 秒超时可防止运行卡住并阻塞响应
• 严重性归一化 — 在运行任何算法之前，将 CVSS 浮点值（÷10）、严重性字符串（Critical→0.95、High→0.80、Medium→0.50、Low→0.20）和原始数值分数转换为统一的 0–1 严重性等级
• 待机模式运行 — 在 Apify 平台上作为持久运行的 Express 服务运行；/mcp 端点处理 MCP 协议请求；/ 上的健康探针会立即返回 200，以供容器就绪检查使用
• 通俗易懂的解读 — 每个工具都会返回一个 interpretation 字符串，其中包含易于理解的判定结果（CRITICAL / ELEVATED / NORMAL、STRUCTURED CAMPAIGN DETECTED / NO CLEAR STRUCTURE 等），以及完整的数值输出

神经形态威胁情报的用例

安全运营与 SOC 分诊

安全分析师收到新的失陷指标（域名、IP 或 CVE）时，需要快速补充上下文信息。无需打开 6 个浏览器标签页，只需对目标调用 detect_spiking_anomalies。该工具会并行查询 NVD、CISA KEV、Censys、DNS、SSL 和技术栈，并运行 LIF 仿真。异常神经元放电模式会在数秒内显现，网络同步指数则会告诉你多个来源是否同时出现异常信号。

威胁行动归因

事件响应团队若要将一组事件归因于特定威胁组织，可以使用 attribute_threat_campaign。提供关键词（例如 ["Volt Typhoon", "critical infrastructure", "living off the land"]）。STDP 引擎会关联 CVE、KEV 条目、OFAC 制裁名单、OpenSanctions、GitHub 仓库和 Hacker News 中的时间模式。如果权重矩阵的谱半径超过 Tracy-Widom 边缘，就说明存在具有统计显著性的时间结构——这是协同攻击行动的特征，而非巧合。

基础设施攻击路径分析

红队和安全架构师若要绘制环境中的攻击路径，可以对目标域名使用 analyze_attack_graph。超图语法会根据 Censys、DNS、SSL、WHOIS、技术栈和 IP 地理位置数据构建资产拓扑，然后推导所有可行的攻击路径及其对应概率。介数中心性结果会指出哪些资产一旦失陷，就会开启最多后续攻击路径——这正是制定修复计划所需的优先级信息。

漏洞风险量化

风险管理人员若要决定先修补哪些 CVE，可以使用 simulate_vulnerability_propagation，在一个基于真实 CVE 严重性数据校准的 Barabasi-Albert 网络中模拟特定类别漏洞的传播。R0 值可直接回答关键问题：该漏洞是否处于流行病传播状态，还是会自然消退？枢纽节点感染顺序则会告诉你哪些高连接度节点（连接最密集的资产）最先失陷。

AI Agent 驱动的安全自动化

构建基于大模型的持续监控 Agent 的安全团队，可以将此 MCP 服务注册为工具提供方。随后，Claude 或任何兼容 MCP 的 Agent 都可以对威胁域名调用 forecast_exploit_emergence，以获取检测限、ROC 曲线和样本复杂度估算，让 Agent 自主判断当前监控是否充足，或建议增加预算。

检测工程与能力评估

检测工程师若要评估传感器覆盖范围是否足以应对特定威胁域，可以运行 forecast_exploit_emergence。Le Cam 缺陷会量化当前监控与增强监控之间的信息损失。如果检测限高于信号强度，该工具会输出实现可靠检测所需的精确预算倍数，为资源申请提供数学依据。

如何连接此 MCP 服务

步骤 1：获取 Apify API 令牌

在 apify.com 注册。你的 API 令牌位于 console.apify.com/account/integrations。

步骤 2：添加到 MCP 客户端

Claude Desktop — 添加到 ~/Library/Application Support/Claude/claude_desktop_config.json：

{
  "mcpServers": {
    "neuromorphic-threat-intelligence": {
      "url": "https://neuromorphic-threat-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

Cursor — 添加到项目根目录中的 .cursor/mcp.json：

{
  "mcpServers": {
    "neuromorphic-threat-intelligence": {
      "url": "https://neuromorphic-threat-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

步骤 3：验证连接

向 AI 助手提问：“列出神经形态威胁情报服务提供的工具。”它应该会返回全部 8 个工具的名称和说明。

步骤 4：运行首次分析

试着说：“使用 detect_spiking_anomalies，以默认参数分析域名 apache.org 的威胁。”该工具会并行查询 6 个数据源，并返回 LIF 仿真结果及通俗易懂的解读。

MCP 工具参考

工具	算法	数据源	适用场景
detect_spiking_anomalies	LIF 脉冲网络 + Filippov	NVD、CISA KEV、Censys、DNS、SSL、Tech Stack	对威胁源进行实时异常检测
attribute_threat_campaign	STDP + Tracy-Widom 边缘	NVD、CISA KEV、OFAC、OpenSanctions、GitHub、HN	根据时间因果模式进行活动归因
analyze_attack_graph	超图文法 + Floyd-Warshall	Censys、DNS、SSL、WHOIS、Tech Stack、IP Geo、NVD	攻击路径分析和关键资产识别
simulate_vulnerability_propagation	SIS 接触过程 + Barabasi-Albert	NVD、CISA KEV、Censys、Tech Stack	流行病阈值和枢纽感染建模
evolve_detection_network	NEAT 神经进化	NVD、CISA KEV、GitHub、Hacker News	演化出最优检测网络架构
compute_attack_surface	离散 Morse 理论 + CW 复形	Censys、DNS、SSL、WHOIS、Tech Stack、IP Geo	攻击面的拓扑量化
assess_threat_actor_dynamics	群体博弈 ESS + replicator	OFAC、OpenSanctions、NVD、CISA KEV、Bluesky、Wayback	预测威胁行为者的策略演化
forecast_exploit_emergence	Le Cam 缺陷距离	NVD、CISA KEV、GitHub、Hacker News、Change Monitor、Bluesky	检测限制和监控充分性

工具参数

detect_spiking_anomalies

参数	类型	必填	默认值	描述
target	string	是	—	要分析的域名、IP 或关键词
simulation_time	number	否	500	LIF 仿真时长，单位为 ms（100–2000）
spike_threshold	number	否	1.0	神经元脉冲阈值 theta（0.5–2.0）；数值越低，灵敏度越高
max_results	number	否	20	每个数据源的最大结果数（5–50）

attribute_threat_campaign

参数	类型	必填	默认值	描述
campaign_keywords	string[]	是	—	用于识别活动的 1–10 个关键词
tau_plus	number	否	20	STDP 增强时间常数，单位为 ms（5–100）
tau_minus	number	否	20	STDP 抑制时间常数，单位为 ms（5–100）
max_results	number	否	15	每个数据源的最大结果数（5–30）

analyze_attack_graph

参数	类型	必填	默认值	描述
target_domain	string	是	—	要构建攻击图的域名
max_derivation_depth	number	否	10	文法推导深度（3–20）
max_results	number	否	15	每个数据源的最大结果数（5–30）

simulate_vulnerability_propagation

参数	类型	必填	默认值	描述
target	string	是	—	漏洞背景对应的域名或技术
network_size	number	否	500	仿真网络节点数（50–2000）
infection_rate	number	否	0.1	每次接触的感染概率（0.01–0.5）；根据 CVE 严重性进行校准
recovery_rate	number	否	0.05	每个时间步的恢复概率（0.01–0.5）
initial_infected	number	否	5	初始感染节点数（1–50）
time_steps	number	否	200	仿真时间步数（50–500）

evolve_detection_network

参数	类型	必填	默认值	描述
threat_domain	string	是	—	要为其演化检测器的威胁领域
population_size	number	否	100	NEAT 种群规模（20–200）
generations	number	否	50	进化代数（10–100）
target_accuracy	number	否	0.85	目标检测准确率（0.6–0.99）
max_results	number	否	15	每个数据源的最大结果数（5–30）

compute_attack_surface

参数	类型	必填	默认值	描述
target_domain	string	是	—	用于 Morse 理论攻击面分析的域名
max_results	number	否	15	每个数据源的最大结果数（5–30）

assess_threat_actor_dynamics

参数	类型	必填	默认值	描述
threat_context	string	是	—	上下文字符串（例如，“金融行业”“医疗保健”）
time_steps	number	否	500	复制者动力学时间步数（100–2000）
mutation_rate	number	否	0.01	策略突变率（0.001–0.1）
max_results	number	否	15	每个来源的最大结果数（5–30）

forecast_exploit_emergence

参数	类型	必填	默认值	描述
threat_domain	string	是	—	用于检测限预测的威胁领域
monitoring_budget	number	否	100	监控样本量／传感器数量（10–10000）
baseline_variance	number	否	1.0	基线噪声方差（0.01–10）
max_results	number	否	15	每个来源的最大结果数（5–30）

配置提示

• 在噪声较大的环境中调低 spike_threshold — 0.7 可提高灵敏度；对于已知领域，将其调至 1.3 可减少误报
• 对称 STDP 学习使用 tau_plus = tau_minus；如果想更重视因果（先前神经元先于后续神经元触发）序列，请设置 tau_plus > tau_minus
• 仅在需要穷举攻击路径时将 max_derivation_depth 设为 15+；对于大多数评估，深度 5–8 已足够，且运行速度更快
• 在 forecast_exploit_emergence 中增大 monitoring_budget，使其与实际传感器数量相符，以获得经过校准的 Le Cam 缺陷估计
• 使用具体的 threat_context 字符串，例如“CVE-2024-4577”或“Log4Shell 远程代码执行”，而不是含糊的术语——上游 Actor 会根据相关性对结果排序

输出示例

目标为 coldfusion.apache.org 时的 detect_spiking_anomalies 输出：

{
  "target": "coldfusion.apache.org",
  "parameters": {
    "simulation_time": 500,
    "spike_threshold": 1.0
  },
  "network": {
    "neurons": [
      { "id": "N_cve", "spikeCount": 47, "firingRate": 0.094, "meanMembrane": 0.8312 },
      { "id": "N_kev", "spikeCount": 31, "firingRate": 0.062, "meanMembrane": 0.6741 },
      { "id": "N_host", "spikeCount": 12, "firingRate": 0.024, "meanMembrane": 0.3108 },
      { "id": "N_dns", "spikeCount": 8, "firingRate": 0.016, "meanMembrane": 0.2894 },
      { "id": "N_ssl", "spikeCount": 15, "firingRate": 0.030, "meanMembrane": 0.3520 },
      { "id": "N_tech", "spikeCount": 22, "firingRate": 0.044, "meanMembrane": 0.5017 }
    ],
    "totalSpikes": 135,
    "networkActivity": 0.7842,
    "synchronyIndex": 0.6391,
    "filippovSwitchingCount": 14
  },
  "anomalies": [
    { "neuronId": "N_cve", "score": 0.9312, "type": "burst", "timestamp": 1742553600000 },
    { "neuronId": "N_kev", "score": 0.8741, "type": "synchrony", "timestamp": 1742553602441 },
    { "neuronId": "N_tech", "score": 0.7203, "type": "rate_elevation", "timestamp": 1742553605882 },
    { "neuronId": "N_ssl", "score": 0.6891, "type": "burst", "timestamp": 1742553608103 }
  ],
  "burstEvents": [
    { "time": 82, "neuronCount": 4, "severity": 0.8841 },
    { "time": 241, "neuronCount": 3, "severity": 0.7120 },
    { "time": 388, "neuronCount": 5, "severity": 0.9203 }
  ],
  "synapses": [
    { "pre": "N_cve", "post": "N_kev", "weight": 0.3841, "potentiated": true },
    { "pre": "N_kev", "post": "N_tech", "weight": 0.2917, "potentiated": true }
  ],
  "interpretation": "CRITICAL: 4 anomalous neurons detected. Network synchrony 0.6391 indicates correlated threat activity. 3 burst events observed. 14 Filippov switching events at threshold boundaries.",
  "dataSources": {
    "cve": 20,
    "kev": 14,
    "hosts": 18,
    "dns": 7,
    "ssl": 11,
    "tech": 15
  }
}

输出字段

每个工具响应都包含一个 interpretation 字符串（通俗易懂的判定）、一个 dataSources 对象（每个来源的记录数），以及下方列出的工具专属字段。

字段	工具	类型	描述
network.neurons[].spikeCount	脉冲	数字	仿真期间每个神经元的总脉冲数
network.synchronyIndex	脉冲	数字	神经元两两同步性，范围为 0–1
network.filippovSwitchingCount	脉冲	数字	阈值边界穿越事件数
anomalies[].score	脉冲	数字	异常评分，范围为 0–1
anomalies[].type	脉冲	字符串	burst / synchrony / rate_elevation
burstEvents[].severity	脉冲	数字	突发事件严重程度，范围为 0–1
stdpResults.spectralRadius	归因	数字	权重矩阵的最大特征值
stdpResults.tracyWidomEdge	归因	数字	随机矩阵噪声边界
stdpResults.learningConverged	归因	布尔值	STDP 权重是否稳定
hebbianAssemblies[].coherence	归因	数字	威胁簇的时间相干性，范围为 0–1
attackGraph.compromisedAssets	攻击图	数字	可通过语法推导触及的资产数
attackGraph.attackPaths[].probability	攻击图	数字	路径遍历概率
attackGraph.criticalNodes[].centrality	攻击图	数字	介数中心性评分
epidemiology.basicReproductionNumber	传播	数字	R0 — 每个病例造成的二次感染数
epidemiology.epidemicThreshold	传播	布尔值	R0 是否超过临界阈值
hubInfectionOrder[].infectedAt	传播	数字	枢纽节点被感染的时间步
performance.detectionAccuracy	NEAT	数字	进化网络的检测准确率
performance.falsePositiveRate	NEAT	数字	最佳进化基因组的 FPR
bestNetwork.hiddenNodes	NEAT	数字	最佳拓扑中的隐藏节点数
morseComplex.criticalCells	攻击面	数字	未配对（不可约）单元数
morseComplex.eulerCharacteristic	攻击面	数字	拓扑不变量 χ
morseComplex.bettiNumbers	攻击面	数组[]	Betti 数 [β0, β1, β2]
ecosystem.strategies[].isESS	动力学	布尔值	策略的进化稳定性
ecosystem.lyapunovExponent	动力学	数字	正值 = 混沌，负值 = 稳定
ecosystem.dominantStrategy	动力学	字符串	均衡占比最高的策略
detectionTheory.deficiency	预测	数字	Le Cam deficiency，0（无损失）至 1（完全损失）
detectionTheory.detectionLimit	预测	数字	可检测到的最低漏洞利用严重程度
detectionTheory.sampleComplexity	预测	数字	达到 80% 检测效能所需的样本数
rocCurve	预测	数组	假阳性率与真阳性率的配对值

运行神经形态威胁分析需要多少费用？

此 MCP 服务采用按调用付费定价——每次工具调用收费 $0.04。每次调用都会并行协调 4–7 次上游 Actor 运行；平台计算费用已包含在每次调用的价格中。

场景	工具调用次数	每次调用费用	总费用
单次调查	1	$0.04	$0.04
域名审计（全部 8 个工具）	8	$0.04	$0.32
每日威胁扫描（10 个目标）	10	$0.04	$0.40
每周 SOC 工作流（50 次查询）	50	$0.04	$2.00
持续监控（每月 500 次）	500	$0.04	$20.00

Apify 免费计划每月包含 $5 的额度，足够调用 125 次工具，无需订阅。

你可以为每次运行设置最高支出限额以控制费用。达到预算后，Actor 会停止运行并返回清晰的错误消息，而不会悄悄截断结果。

作为比较，商业威胁情报平台每月收费 $300–1,500，但提供的多源关联和算法分析结果要少得多。此 MCP 服务的大多数用户每月花费 $2–20，即可获得更丰富、定量程度更高的分析。

神经形态威胁情报 MCP 服务的工作原理

阶段 1 — 并行收集数据

每次工具调用都会确定所需的数据源（因工具而异，为 4–7 个），并通过 runActorsParallel 使用 Promise.all 同时分发所有 Actor 调用。每次上游调用的超时时间为 180 秒，内存分配为 256 MB。如果上游 Actor 运行失败或未返回数据集，客户端会记录警告并返回空数组——算法仍会基于已收集的数据运行。

阶段 2 — 严重程度标准化和指标组装

来自不同来源的原始结果会被标准化为统一的 ThreatIndicator 格式。严重程度会从实际存在的字段中提取：cvssScore（除以 10）、严重程度字符串枚举（critical→0.95，high→0.80，medium→0.50，low→0.20）、数值型 score，或基于来源类型的默认值（kev→0.85，因为 CISA KEV 条目按定义均为正在遭受利用的条目）。时间戳按优先顺序从 publishedDate、dateAdded、timestamp、date、createdAt 或 created 字段解析。

阶段 3 — 算法执行

组装好的指标会传递给 scoring.ts 中选定的算法。确定性种子的 PRNG（由指标 ID 的哈希值初始化 mulberry32）可确保相同输入数据得到可复现的结果。关键实现细节：

• LIF 仿真以 dt=1.0 ms 的步长运行指定的 simulation_time。全连接突触的初始权重随机设为 0.1–0.4，轴突延迟为 1–5 步。Filippov 切换检测使用阈值周围 0.05 的边界容差。
• STDP 权重矩阵根据 500 分钟窗口内的时间尖峰对构建。Tracy-Widom 边缘按 2 * sqrt(n) 计算，其中 n 为神经元数量，这与 GUE 随机矩阵最大特征值的标准结果一致。
• 超图文法使用基于资源类型设定种子的上下文无关生成规则。Floyd-Warshall 算法以 O(n³) 的复杂度计算所有节点对的可达性。介数中心性通过统计每个节点出现在最短路径中的次数来近似计算。
• 接触过程使用 Barabasi-Albert 优先连接生成网络，然后运行离散时间 SIS 动力学，其中感染率根据真实 NVD 数据中的平均 CVE 严重程度进行校准。
• NEAT将 6 个特征的输入向量（严重程度、cve/kev/sanction 类型标记、指标年龄、元数据丰富度）演化为二元威胁/噪声分类输出。物种划分使用兼容性阈值，其中不相交基因的权重系数为 1.0，权重差异的权重系数为 0.4。
• 离散 Morse 理论为每个胞腔分配一个 Morse 函数值，并通过配对相邻维度的胞腔来计算离散梯度向量场。未配对的胞腔成为临界胞腔，并计入攻击面。
• 群体博弈根据从实时数据中提取的制裁密度和漏洞密度信号校准收益矩阵条目。复制动态方程在每个时间步使用 Euler 方法积分，并注入突变。
• Le Cam 缺陷度计算两个实验的似然比概率分布之间的总变差距离，然后通过高斯近似推导功效函数、极小极大风险和样本复杂度。

阶段 4 — 解读与结构化输出

每种算法都会生成原始数值字段和通俗易懂的 interpretation 字符串。该解读使用基于阈值的分类（例如，异常计数 > 3 → CRITICAL，> 0 → ELEVATED，0 → NORMAL），为 AI Agent 提供清晰、可直接采取行动的信号，无需其自行解读数学内容。

获得最佳结果的技巧

1. 使用具体目标，而不是宽泛的关键词。 detect_spiking_anomalies 配合目标 "CVE-2024-4577"，可以检索到高度相关的 CVE 和 KEV 条目。像 "web" 这样宽泛的关键词会返回泛泛的结果，冲淡严重性信号。

2. 针对高价值目标运行完整的 8 工具套件。 每个工具都能揭示不同的维度。detect_spiking_anomalies 可捕捉多源关联异常；analyze_attack_graph 可绘制基础设施图谱；compute_attack_surface 可量化不可消除的暴露面。综合使用可获得完整的态势。

3. 调低 spike_threshold，以便及早预警。 默认值 1.0 是为一般用途校准的。对于关键基础设施的持续监控，设为 0.7–0.8 可以捕捉较弱的信号，但会增加误报。

4. 将 evolve_detection_network 与具体威胁领域结合使用。 NEAT 算法会基于从查询中提取的指标数据进行训练。使用 "ransomware healthcare" 这类精准的领域字符串，而不是 "malware"，以便获得针对你所在场景的检测器。

5. 扩展监控前，先使用 forecast_exploit_emergence。 Le Cam 缺陷输出会以定量方式告诉你，将传感器数量加倍是否能改善检测，以及改善幅度。使用 sampleComplexity 字段为监控预算申请提供依据。

6. 结合 anomalies 数量解读 synchronyIndex。 如果同步指数较高（>0.6），但异常数量为零，说明可能存在临界活动：各来源之间存在关联，但尚未分别达到阈值。这是值得关注的先行指标。

7. 每季度使用 assess_threat_actor_dynamics。 进化博弈输出反映了查询时真实的制裁活动与漏洞数据之间的平衡。每季度运行一次，可以追踪哪些威胁行为者策略正在你所在行业中占据上风。

8. 为自动化工作流设置支出上限。 如果你在会不断循环的 Claude Agent 中运行此 MCP 服务，请添加单次运行的预算上限，避免意外递归导致成本失控。

与其他 Apify Actors 结合使用

Actor	组合方式
Website Contact Scraper	为攻击图节点补充联系人数据——将 analyze_attack_graph 提供的基础设施暴露信息与负责任披露联系人的信息配对
Website Tech Stack Detector	预先检测技术栈，构建更丰富的技术清单，然后使用特定技术的 CVE 运行 simulate_vulnerability_propagation
WHOIS Domain Lookup	为一组域名批量查询 WHOIS，然后逐个通过 detect_spiking_anomalies 进行检测，以扫描整个组织的威胁
Website Change Monitor	将变更事件作为输入传递给 detect_spiking_anomalies——网站篡改、重定向注入或新增脚本标签都是高严重性指标
Company Deep Research	将公司情报纳入威胁行为者动态分析——使用 assess_threat_actor_dynamics 分析所在行业，再与特定公司的暴露情况交叉参考
B2B Lead Qualifier	面向 MSSP 销售团队：先对潜在客户的域名运行 compute_attack_surface，量化其暴露面，再联系对方，以此筛选潜在客户
Trustpilot Review Analyzer	在品牌攻击与网络攻击并存的行业中，将公开声誉信号与威胁行为者动态关联起来

局限性

• 仅包含被动数据 — 所有数据源均为公开来源。服务不会向目标基础设施发送探测、数据包或主动扫描请求。覆盖范围仅限于已公开索引的内容。
• 上游 Actor 的可用性 — 如果 NVD、Censys 或其他上游数据源暂时不可用或未返回结果，则会省略该来源的指标。算法会基于已收集的数据运行；输入不完整时，结果的准确性可能会降低。
• LIF 对阈值参数敏感 — 默认尖峰阈值 1.0 是一个起点。CVE 数量本身较高的域名（例如 Linux 内核）无论威胁状态如何，都会触发更多神经元放电；对于已知的高流量目标，请调高阈值。
• STDP 不代表因果关系 — 威胁来源之间的时间相关性是一种信号，并不能证明存在协同活动的攻击行动。Tracy-Widom 边缘可显著减少误报，但无法完全消除。
• Barabasi-Albert 是一种近似模型 — 真实的基础设施拓扑与优先连接模型有所不同。接触过程模拟可以给出方向正确的 R0 估计，但无法精确计算特定网络的感染数量。
• NEAT 的准确性取决于训练数据量 — 威胁指标少于 10 个时，NEAT 适应度评估会有较大噪声，进化出的网络可能无法泛化。要进行有意义的神经进化，请将 max_results 设为 20 或更高。
• 离散 Morse 攻击面使用采样连接 — 当无法直接从源数据推断基础设施单元之间的边时，会以 35% 的概率进行采样。结果只是对真实拓扑的近似。
• 总体博弈 ESS 一般属于 coNP 完全问题 — 此实现通过复制子动力学收敛计算近似 ESS；可能存在未被检测到的纯 Nash 均衡。
• 调用之间不会保留状态 — 每次调用工具都会从头开始。系统不会记忆先前的分析；如果需要跟踪随时间的变化，请自行构建关联层。
• 上游 Actor 有速率限制 — 同时针对同一目标运行全部 8 个工具，将触发 40 次以上的上游 Actor 调用。请将高流量工作负载分散到不同时间运行，或联系 Apify 申请企业配额。

集成

• Zapier — 按计划触发 detect_spiking_anomalies，并将 CRITICAL 结果推送到 Slack 频道或 PagerDuty 事件中
• Make — 构建多步骤场景，对 Google Sheet 中新增的域名运行 analyze_attack_graph，并将结果写入另一张工作表
• Google Sheets — 将 attribute_threat_campaign 的攻击行动归因结果导出到电子表格，以便人工审核和标记
• Apify API — 通过 HTTP POST 向 /mcp 发送请求，直接从 SIEM 或 SOAR 工作流调用 MCP 服务端点
• Webhooks — 当某次运行超过支出阈值时触发 Webhook，将警报发送到事件管理工具
• LangChain / LlamaIndex — 将此 MCP 服务注册为 LangChain Agent 中的工具提供方，以实现自主威胁调查工作流

故障排查

已知存在漏洞的目标却返回空结果或极少结果 — 大多数工具会从每个来源获取最多 max_results 条结果，默认值为 15–20。如果 NVD 针对查询字符串返回的 CVE 很少，请尝试使用更具体的 CVE 标识符或技术名称（例如，使用 "Apache Log4j" 而不是 "java"）。还请检查你的 Apify 令牌是否有足够的额度——上游 Actor 达到预算限制时会静默返回空数组。

已知高风险域名的 interpretation 却显示 NORMAL — 对于拥有大量 CVE 的域名，LIF 峰值阈值可能过高。将 spike_threshold 降至 0.7，然后重新运行。或者，使用 attribute_threat_campaign 和特定的 CVE 关键词，检查问题出在数据检索还是异常检测阈值上。

STDP 谱半径始终低于 Tracy-Widom 边界 — 当威胁指标稀疏或分布在数月内时，这是预期结果。Tracy-Widom 边界会随神经元数量变化。若不同的指标类型少于 4 种，测试的统计功效较低。增加 max_results 以收集更多时间数据点。

NEAT 进化未达到 target_accuracy — 准确率是根据从实时数据中提取的、带有严重程度标签的训练模式计算的。如果数据严重失衡（全部为高严重程度或全部为低严重程度），分类器可能没有足够的负样本来进行良好训练。使用更具体的 threat_domain 字符串以获得较为均衡的数据，或将 target_accuracy 降至 0.75。

接触过程模拟在良性域名上显示疫情 — 感染率根据与查询匹配的 CVE 的平均 CVSS 评分进行校准。若查询匹配到许多严重 CVE，即使目标安全，校准后的感染率也会高于疫情阈值。请使用更具体的查询，准确反映你的目标技术及其版本。

运行超时错误 — 每次工具调用对每个上游 Actor 的时间预算为 180 秒。当 6–7 个 Actor 并行运行时，总耗时取决于最慢的单个 Actor。如果发生超时，请将 max_results 降至 10 后重试。持续超时可能表示上游服务性能下降。

负责任地使用

• 此 MCP 服务仅访问漏洞数据库、证书透明度日志、DNS 记录、互联网扫描数据和公共社交平台中的公开数据。
• 请勿使用此服务侦察你无权评估的系统。
• 请遵守上游数据源（包括 NVD、CISA、Censys 和 GitHub）的服务条款。
• 攻击图和漏洞传播结果仅供防御分析使用。请勿将其用于策划未授权访问。
• 有关网页抓取和数据访问合法性的指南，请参阅 Apify 的指南。

常见问题

神经形态威胁情报在实践中意味着什么？ 传统威胁情报工具采用基于规则的关联分析：如果 CVE 评分 > 7 且主机面向互联网，则发出警报。神经形态方法将威胁源映射到神经元，利用脉冲动态检测规则无法发现的相关活动，并应用受生物学启发的学习方法（STDP）来发现时间上的因果模式。输出是定量指标——同步指数、谱半径、欧拉示性数——而不只是二元标记。

这与 SIEM 或 Recorded Future、Mandiant 等威胁情报平台有何不同？ Recorded Future 或 Mandiant Advantage 等商业平台侧重于经分析师整理的报告、指标丰富化以及与工单系统的集成。此 MCP 服务将数学框架应用于开源数据，并返回原始定量结果。它是供 AI Agent 使用的推理层，而不是仪表板。两者相辅相成：使用此服务进行算法分析，再将结果输入现有 SIEM 以进行事件管理。 每次工具调用会查询多少个数据源？ 根据工具不同，在 4 到 7 个之间。analyze_attack_graph 和 compute_attack_surface 会查询 6–7 个数据源。simulate_vulnerability_propagation 会查询 4 个。所有调用都会并行执行，因此总耗时取决于最慢的单个数据源。

这是主动扫描还是被动情报收集？ 完全是被动的。服务会查询公开可用的漏洞数据库、证书透明度日志、DNS 记录、已发布的互联网扫描数据（Censys），以及公开的社交和代码平台。不会向目标基础设施发送任何数据包。

STDP 活动归因的准确度如何？ 准确度取决于数据量和时间跨度。Tracy-Widom 边缘检验是一种基于随机矩阵理论的严谨统计检验：如果谱半径高于边缘值，说明在根据 GUE 分布得出的显著性水平下，相关结构在统计上不太可能是随机的。这并不代表归因概率，而是时间结构存在的证据。

我可以安排此 MCP 服务自动执行威胁扫描吗？ 可以。你可以按计划通过任何 HTTP 客户端以编程方式调用 MCP 端点。可以使用 Apify 内置的计划功能触发 Actor 运行，再由其调用 MCP 服务；也可以通过 cron 任务或工作流工具集成 Apify API。

assess_threat_actor_dynamics 会建模哪些威胁行为者策略？ 共有五种策略：民族国家 APT、网络犯罪、黑客行动主义、内部威胁和供应链攻击。收益矩阵条目根据 threat_context 查询返回的 OFAC/OpenSanctions 条目数量和 CVE/KEV 密度进行校准，因此针对不同的行业背景，同一组策略会采用不同的权重。

Le Cam 缺陷数对我的监控意味着什么？ 缺陷数接近 0，表示你当前的监控提供的信息几乎与增强型监控配置（预算翻倍）一样多。缺陷数接近 1，表示你几乎丢失了所有检测信息。sampleComplexity 字段给出了达到 80% 统计功效所需的具体样本数量，你可以直接用这个数字说明预算申请的依据。

我可以将它与支持 MCP 的本地 AI 助手搭配使用吗？ 可以。任何兼容 MCP 的客户端都能连接。将服务 URL 和 Bearer 令牌添加到客户端的 MCP 配置中即可。此端点使用标准的可流式 HTTP MCP 传输，路径为 /mcp。

一次典型的工具调用需要多长时间？ 根据所需上游 Actor 的数量及其当前响应时间，通常需要 30 到 120 秒。查询 6–7 个数据源的工具比查询 4 个数据源的工具耗时更长。请将 MCP 客户端超时设置为至少 180 秒。

使用此服务分析我不拥有的域名合法吗？ 此服务仅使用公开可用的数据，也就是任何人都能通过 NVD、Censys、DNS 查询或 CISA KEV 网站访问的数据。分析某个域名的公开漏洞和证书数据不受法律限制。有关你所在司法辖区和具体使用场景的法律建议，请咨询律师。

上游 Actor 没有返回结果时会发生什么？ 客户端会记录一条警告，并为该数据源返回一个空数组。算法会基于剩余指标运行。结果可能不够精确，但工具不会失败——你会在输出中看到 dataSources.{source}: 0，这会告知你数据缺口。

帮助我们改进

如果你遇到问题，可以在 Apify 账户中启用运行共享，帮助我们更快地排查：

1. 前往账户设置 > 隐私
2. 启用与公开的 Actor 创建者共享运行记录

这样在出现问题时，我们就能查看你的运行详情，从而更快地修复问题。你的数据仅对 Actor 开发者可见，不会公开。

支持

发现错误或有功能需求？请在此 Actor 页面上的 Issues 标签页中提交问题。如需定制解决方案或企业集成，请通过 Apify 平台联系我们。