BASTION
LLM 幻觉审计的实现
// BASTION 技术解析2026-06-13LLM 幻觉审计的实现将 AI 撰写的数字与真实设备日志进行交叉核对作者：Hideyuki Chinda / BESTNET LLC相关文章： 设计越精美，越要用真实数据
阅读更多 →Qwen2.5-14B + GPUStack 兼顾精度与确定性的实现记录
解析 BASTION 为何选择以 GPUStack 运行本地 LLM（Qwen2.5-14B）而非云端 API。LLM 仅负责日志摘要、报告生成等，严重程度判定与阻断执行交由确定性逻辑；文中还介绍强制 JSON 输出与低 temperature。
阅读更多 →在可能被入侵的 DMZ 环境中采用”不信任 Agent”前提的设计
本文解析 BASTION 的 DMZ Agent 以“Agent 本身可能已被入侵”为前提的设计，涵盖 AI-SLOG 将 Agent 事件与另一通路获取的原始日志交叉核对的验证引擎、禁止 Agent 解除阻断的权限设计、心跳冻结及 24 小时自动过期。
阅读更多 →AI 检测攻击 → Slack 确认 → 自动在防火墙中添加封禁规则的机制已搭建完成
2026.04 ／ 技术博客 ／ BASTION AI 检测攻击 → Slack 确认 → 自动在防火墙中添加封禁规则 我们在 BASTION 原有的“检测 → 通知”流程中新增了“自动响应”功能。当 AI 检测到端口扫
阅读更多 →只需接入syslog，AI就能自动判定设备类型并开始监控的机制已经搭建完成
2026.04 ／ Tech Blog ／ BASTION只需接入syslog，AI就能自动判定设备类型并开始监控的机制已经搭建完成新设备一开始发送syslog，LLM就会读取日志样本，自动判断“这是Windows客户端
阅读更多 →AI日志监控检测到”PC死机导致的账户锁定”的案例
2026.04 ／ 技术博客 ／ BASTION AI日志监控检测到“PC死机导致的账户锁定”的案例 BASTION 的 Windows 客户端监控检测到公司内部人工账户出现异常锁定。通过 Slack 消息确认了来源 I
阅读更多 →使用本地LLM自动分析基础设施日志的实践
2026.04 ／ Tech Blog ／ BASTION 使用本地LLM构建自动化基础设施日志分析系统 AI 每 15 分钟自动分析来自防火墙、认证基础设施、交换机、负载均衡器和 Web 服务器的日志，检测异常、判断严
阅读更多 →多层相关活动检测机制
解析 BASTION 多层相关活动检测：以单一 IP 为轴心，将多台设备的检测结果在五个层级与时间上叠加，可视化单一设备日志中无法察觉的攻击场景。涵盖一致性函数、确定性且可解释的阈值判定，以及按子网与 ASN 分组的群体检测。
阅读更多 →本地LLM捏造监控报告数值的事件及其对策
2026.04 ／ Tech Blog ／ BASTION 本地LLM在监控报告中捏造数值，以及我们的应对方法 BASTION 的 AI 监控报告中写着"发生了639次认证失败"。而实际上是0次。这是一份关于我们如何应对
阅读更多 →通过全系统横向日志关联检测单独无法发现的攻击的机制
2026.04 / Tech Blog / BASTION 我们构建了一套通过全系统横向日志关联来检测单一系统内不可见攻击的机制 防火墙端口扫描、VPN 认证失败、应用程序登录尝试。每个单独事件的严重程度都很低。但当同一
阅读更多 →Web服务器实施AI主动防火墙的故事
2026.04 ／ Tech Blog ／ BASTION在 Web 服务器上实现 AI 主动防火墙我们构建了一套系统：由本地 LLM 分析 Fail2Ban 固定阈值无法检测到的未知 Bot 模式和垃圾请求，每 15
阅读更多 →从 Slack 审批网关毕业并转向完全自动阻断攻击源 IP 的过程
2026.04 ／ Tech Blog ／ BASTION 从 Slack 审批网关毕业，转向完全自动阻断攻击源 IP 在上一篇文章中，我们采用 Slack 审批网关方式实现了被动式防御，但通过 AI 智能体进行审批存在
阅读更多 →