RedEarth
一个面向安全研究的情报工作台。采集、沉淀、研判、自动化，再加上一群能在真实设备上干活的小蜜蜂。
为什么做这个项目
做安全研究，每天要面对几十个信息源：厂商博客、漏洞公告、研究员的动态、各种分析报告。文章读完了，里面的组织、样本、域名、漏洞却散落各处，下次想找就找不到。
所以 RedEarth 最早只做一件事：把资讯自动收集进来。后来想把 IoC 抽出来，于是有了 IoC 观测；想看指标之间的关系，于是有了 CyberGraph；每天重复的整理工作太多，于是有了工作流；再后来大模型成熟了，就让 AI 接手这些操作，最后干脆让它通过 Bee 在浏览器和手机上自己动手。
能自动化的事情，就不要自己做第二遍。” —— 这个项目的全部出发点
平台模块
Web 平台是整个项目的核心，按情报工作的流程组织。
- 采集 AgentRSS、网页（XPath / JSON，可选 Playwright 渲染）、Twitter 搜索与用户、沙箱化的自定义 Python；Agent 之间用连线传递事件，按半小时粒度错峰调度
- RSS 阅读订阅源、标签、已读状态，配合每日摘要推送
- 模式与过滤器用正则规则识别一个值的类型，把它路由给合适的 Agent；过滤器在 RestrictedPython 沙箱里运行
- 情报评论、版本历史、分享协作；STIX 对象与关系；MITRE ATT&CK 技术映射；外文报告可离线翻译
- 档案批量抓取网页并清洗正文，支持从 Confluence 导入
- IoC 观测IP、域名、URL、哈希、CVE 等统一归一化成字典表，另一张表记录每次出现在哪里；可见范围分个人、团队、公开
- 实体库APT 组织档案、恶意软件库、漏洞库（CVE / CNNVD）、地区与行业字典
- CyberGraph输入一个指标，按类型匹配可用的 Agent，广度优先逐层展开查询，用 d3 力导向图展示关系，可交给大模型总结
- AI 调查一次调查是一棵步骤树：每一步记录发现与证据，对 IoC 标注恶意、可疑、误报等结论，最后生成报告；可邀请协作者，所有改动留痕
- 工作流自研节点编辑器，19 种节点：定时 / 事件触发、情报检索与 IoC 抽取、CyberGraph 查询、RSS 取数与聚类、大模型、条件与循环、数据转换、消息推送
- 发布与版本草稿 → 发布 → 版本快照，执行时冻结定义；重试、超时、去重锁、失败告警，节点级 on_error 容错
- 后台任务基于 Redis 的延迟任务队列，带重试和熔断；APScheduler 负责定时，Redis 锁防重复触发
- 模型接入支持 OpenAI、OpenAI Responses、Claude、Gemini 四种协议，密钥加密存储，带健康检查和用量统计
- 64 个技能采用 Agent Skills 标准格式（SKILL.md），覆盖 Agent、工作流、情报、IoC、CyberGraph、调查、RSS、知识库等模块
- 让 AI 建 Agent给它一个网址，它会探测出 RSS / JSON / 网页列表、试跑验证、再保存成采集 Agent
- 记忆与经验长中短期记忆；经验库里的经验先作为候选，人工审核后才生效；可接入外部 MCP 工具
- 多用户协作数据按个人、团队、组织归属，可见范围可控，角色权限细到模块级
- 任务与通知任务带优先级、负责人、关注人、跟进提醒；站内通知用 SSE 实时推送；工作流结果可推送到聊天渠道
- 审计登录、增删改、导出、角色变更等关键操作全部记录
- 打包与更新PyInstaller 打包 + Inno Setup 安装器，以 Windows 服务运行，签名清单驱动的自动更新
蜂巢：让 AI 在真实设备上动手
平台里的 AI 能思考，但手伸不到你的电脑、浏览器和手机。于是我写了一条分布式技能总线：
Bee 把设备能力注册成技能，Hive 负责调度，AI 想用哪台设备的能力，就像调用一个普通工具。
Hive 蜂巢
注册 · 调度 · 对话 · OTA
Bee 命令行
电脑上的技能执行器。兼容 Agent Skills 标准格式，内置文件、命令、Git、HTTP、系统信息和 Windows 取证采集技能；可接 MCP 服务器；路径和命令走白名单；断网时用本地小模型继续工作；Hive 推送的更新经校验后原子替换，可回滚。
Bee 浏览器插件
Chrome 扩展，通过 DevTools 协议真正操作网页：DOM 通道把页面元素编号给模型挑选，视觉通道走“截图 → 多模态模型 → 动作”循环。执行时一只小蜜蜂光标飞到目标位置，你能看清它在点哪里；遇到需要人判断的地方会停下来请你帮忙。
Bee 手机端
Android 应用，把“读屏 → 定位 → 操作 → 截图回执”搬到手机上：无障碍服务读取界面和执行手势，自带输入法解决自绘输入框，悬浮窗显示进度。安全守卫会拒绝在锁屏时操作、屏蔽银行支付类应用，点支付、转账、删除前先弹通知让你确认。
虚拟光标真实点击走 CDP，蜜蜂只负责让你看见
网页小宠物侧边栏之外的轻量入口，可拖动、可展开对话Relay只排队、不执行，一次性注册码 + 设备令牌界面截图
截图中的情报均来自公开来源。
技术栈
服务端
- Python
- Flask 3
- SQLAlchemy
- MySQL / MariaDB
- Redis
- APScheduler
- flask-sock
- Playwright
- RestrictedPython
前端
- Bootstrap 5
- jQuery
- d3
- ECharts
- CodeMirror
- 原生 JS 节点编辑器
AI
- OpenAI / Claude / Gemini 协议
- Agent Skills
- MCP
- 多模态视觉
- 本地小模型
客户端
- Chrome MV3
- DevTools Protocol
- Kotlin / Android
- prompt_toolkit
- WebSocket
交付
- PyInstaller
- Inno Setup
- Windows 服务
- 签名 OTA
项目目前由我个人开发，用于学习和研究，没有对外提供服务。开发过程中的思考记录在开发笔记里。