1. VoidLink 是什么，为什么云原生 Linux 团队要重新审视检测面

VoidLink 是 2025 年 12 月由 Check Point Research 披露的一款 Linux 植入体样本，被业内认定为首个由 AI 编写、达到生产级完整度的恶意软件。它用 Zig 语言开发，核心能力围绕云原生环境展开：通过 eBPF 与可加载内核模块实现 rootkit 级控制，自动枚举 AWS、GCP、Azure、阿里云、腾讯云等云厂商元数据，收割云凭证，并针对容器环境提供后渗透工具。C&C 通道支持 HTTP/HTTPS、ICMP、DNS 隧道和 P2P 网格，隐蔽层会实时探测目标环境中的安全产品并动态调整行为。

对云原生 Linux 团队来说，这件事的关键不在于某个样本的 IOC，而在于攻击面的变化。传统恶意软件需要人工编写大量底层代码，开发周期以月计；VoidLink 借助规范驱动开发（SDD）和 AI 中心 IDE，把 20 周计划压缩到 7 天，代码量扩展到 88,000 行。这意味着高级攻击框架的产出速度被大幅拉高，检测与响应必须从“追样本”转向“盯行为”。

适合阅读本文的人：负责 Linux 主机安全、Kubernetes 集群安全、CI/CD 管道审计的工程师；正在搭建容器运行时监控规则的安全团队；以及需要向管理层解释“为什么现在要加审计配置”的技术负责人。下面我会从可复制的审计配置、容器运行时监控规则、验证请求三个层面，给出一套能直接落地的检测与响应基线。

需要先说明一个前提：VoidLink 的 eBPF/LKM 能力意味着单靠用户态日志不够，必须把内核可观测性、容器运行时事件、云元数据访问三条线串起来看。我试过在测试集群里只开 auditd 不看容器运行时，结果容器逃逸阶段的异常进程创建完全没进告警。所以本文的配置会同时覆盖主机审计和容器运行时两层。

2. TaoToken 前置：把模型能力接进安全分析流程

检测规则写完之后，真正耗时的环节是告警研判。VoidLink 这类样本的隐蔽机制会主动规避已知安全产品，单一规则命中往往伴随大量噪声。把模型对话能力接进研判流程，可以先用自然语言描述告警上下文，让模型帮你判断“这组行为更像正常运维还是后渗透”。TaoToken 在这里的角色是提供统一的模型调用入口，你不需要在多个厂商 SDK 之间切换。

接入前需要准备三样东西：Base URL、API Key、Model ID。Base URL 用https://taotoken.net/api，API Key 在控制台创建，Model ID 按你实际调用的模型填写。控制台地址是https://taotoken.net/console，API Keys 管理页在https://taotoken.net/api-keys。如果你更习惯在编辑器里直接对话调试规则，可以用模型对话页https://taotoken.net/models；如果要把研判能力做成长期跑的 Agent，走 Coding Plan 页https://taotoken.net/coding-plan更合适。

这里要强调一点：TaoToken 不是安全产品，它不替代你的 SIEM、EDR 或容器安全平台。它的定位是模型调用层，帮你把告警文本、审计日志片段、容器事件转成可读的研判结论。真正的检测仍然依赖你在 Linux 和容器运行时里配置的规则。

对于 Claude Code 这类编码助手场景，如果你打算用它来批量生成或审查审计规则，接入时同样需要 Base URL、Key、Model ID 三件套。文档页https://taotoken.net/doc里有各语言的调用示例，Claude Code 相关配置参考https://taotoken.net/ClaudeCodeAnthropic。我实测下来，把审计日志片段贴进对话里让模型做初步分类，比人工逐条看 audit.log 快很多，但前提是你的日志字段要完整，否则模型也只能猜。

安全团队常见的误区是：先买模型额度，再想怎么用。更合理的顺序是先把 auditd 和容器运行时事件采全，确认字段结构稳定，再接入模型做研判。否则模型拿到的输入本身就是残缺的，输出自然不可靠。

3. 可复制配置：Linux 审计规则与容器运行时监控

这一节给可直接落地的配置片段。先配主机审计，再配容器运行时，最后给一个模型研判的调用配置。

3.1 auditd 规则：盯住 eBPF、LKM 与元数据访问

VoidLink 的 rootkit 依赖 eBPF 和 LKM，凭证收割依赖云元数据 API。下面这组规则覆盖内核模块加载、eBPF 系统调用、敏感文件读取和元数据端点访问。把内容写入/etc/audit/rules.d/voidlink-detect.rules：

# 内核模块加载与卸载 -a always,exit -F arch=b64 -S init_module -S finit_module -k lkm_load -a always,exit -F arch=b64 -S delete_module -k lkm_unload # eBPF 相关系统调用 -a always,exit -F arch=b64 -S bpf -k ebpf_ops # 云凭证与元数据相关文件 -w /etc/cloud/ -p rwa -k cloud_config -w /root/.aws/ -p rwa -k aws_cred -w /root/.config/gcloud/ -p rwa -k gcp_cred -w /var/run/secrets/kubernetes.io/ -p rwa -k k8s_token # 常见持久化位置 -w /etc/systemd/system/ -p wa -k systemd_persist -w /etc/cron.d/ -p wa -k cron_persist

加载并确认：

sudo augenrules --load sudo auditctl -l | grep -E "lkm_load|ebpf_ops|cloud_config"

返回结果里应能看到你写入的规则条目。如果augenrules --load报错，先检查/etc/audit/rules.d/下是否有语法冲突的旧规则。

3.2 容器运行时监控：Falco 规则示例

主机审计看不到容器内的进程行为，需要运行时监控补位。下面是一段 Falco 规则，重点抓容器内异常进程创建、敏感挂载和元数据访问。写入/etc/falco/falco_rules.local.yaml：

- rule: VoidLink 容器内异常进程创建 desc: 检测容器内出现的 shell、下载工具与隧道工具 condition: > spawned_process and container and proc.name in (bash, sh, curl, wget, nc, socat, ncat) and not proc.pname in (runc, containerd-shim) output: > 容器异常进程 (user=%user.name container=%container.id proc=%proc.name cmdline=%proc.cmdline image=%container.image.repository) priority: WARNING tags: [container, voidlink] - rule: 容器访问云元数据端点 desc: 检测容器内对 169.254.169.254 的访问 condition: > outbound and container and fd.sip = "169.254.169.254" output: > 容器访问元数据端点 (container=%container.id proc=%proc.name cmdline=%proc.cmdline) priority: CRITICAL tags: [container, cloud, voidlink] - rule: 容器内加载内核模块 desc: 检测容器内 init_module 调用 condition: > syscall.type in (init_module, finit_module) and container output: > 容器内内核模块加载 (container=%container.id proc=%proc.name) priority: CRITICAL tags: [container, kernel, voidlink]

重载 Falco 并确认规则生效：

sudo falcoctl artifact follow falco-rules:latest sudo systemctl restart falco sudo journalctl -u falco -n 20 --no-pager | grep -i voidlink

3.3 模型研判调用配置

把告警文本送进模型做初步分类，用下面这个 JSON 配置。Base URL、Key、Model ID 三件套按你的实际值替换：

{ "base_url": "https://taotoken.net/api", "api_key": "sk-你的实际Key", "model_id": "你的ModelID", "system_prompt": "你是Linux安全研判助手。根据给定的auditd或Falco告警，判断是否属于后渗透行为，输出风险等级和下一步排查命令。", "timeout_seconds": 30 }

如果你用 Codex 的auth.json结构，对应字段是：

{ "base_url": "https://taotoken.net/api", "api_key": "sk-你的实际Key", "model": "你的ModelID" }

注意：不要把生产环境的完整日志直接外发，先做字段脱敏，去掉主机名、内网 IP 和凭证片段。模型研判是辅助，最终定性仍要人工确认。

4. 验证请求：确认规则真的能抓到行为

配置写完不验证，等于没配。这一节给三个可复现的验证动作，分别对应 LKM、元数据访问和容器异常进程。

4.1 验证 LKM 审计规则

在测试机上加载一个无害的内核模块（用系统自带的测试模块），然后查 audit 日志：

sudo modprobe dummy sudo ausearch -k lkm_load -ts recent

预期输出里应包含init_module或finit_module记录，comm字段显示modprobe。如果没有任何输出，检查 auditd 是否在运行：sudo systemctl status auditd。

4.2 验证元数据访问检测

在容器里发起一次对元数据端点的请求：

kubectl run meta-test --image=curlimages/curl --restart=Never -- \ curl -s -m 3 http://169.254.169.254/latest/meta-data/

然后查 Falco 告警：

sudo journalctl -u falco --since "2 minutes ago" | grep -i "元数据端点"

预期能看到容器访问元数据端点的告警行，包含容器 ID 和进程名。如果没触发，确认 Falco 的outbound宏是否覆盖了你的网络命名空间。

4.3 验证模型研判链路

把上面抓到的告警文本整理成一段，调用模型接口：

curl -s https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer sk-你的实际Key" \ -H "Content-Type: application/json" \ -d '{ "model": "你的ModelID", "messages": [ {"role": "system", "content": "你是Linux安全研判助手。"}, {"role": "user", "content": "告警：容器 meta-test 访问 169.254.169.254，进程 curl，镜像 curlimages/curl。请判断风险等级并给出排查命令。"} ] }'

返回的choices[0].message.content里应包含风险等级和类似kubectl describe pod meta-test的排查建议。如果返回 401，检查 Key 是否带上了Bearer前缀；如果返回reading choices相关错误，说明响应结构和你解析的字段不匹配，先打印完整响应体确认。

验证完成后清理测试资源：

kubectl delete pod meta-test sudo rmmod dummy

5. 本篇常见错排查：401、local proxy failed、reading choices、OAuth

接入和验证过程中最容易卡在下面几类报错。逐个说清楚原因和动作。

401 Unauthorized。最常见的原因是 Key 没带Bearer前缀，或者 Key 本身已失效。先确认请求头格式是Authorization: Bearer sk-xxx，注意 Bearer 和 Key 之间有一个空格。如果格式没问题，去https://taotoken.net/api-keys确认 Key 状态。还有一种情况是把 Base URL 写成了带路径的形式，比如https://taotoken.net/api/v1/chat/completions当成了 Base URL，正确做法是 Base URL 只写到https://taotoken.net/api，路径由 SDK 或请求拼接。

local proxy failed。这个报错通常出现在你本地配置了转发规则，但目标地址不可达。检查你的环境变量里是否有HTTP_PROXY、HTTPS_PROXY或ALL_PROXY指向了一个已经停掉的本地端口。用env | grep -i proxy确认，如果有，临时 unset 掉再试。另外确认https://taotoken.net/api在你的网络环境里可以直接访问，不需要额外转发。

reading choices 报错。典型表现是代码里写了response.choices[0]，但实际返回体里没有choices字段。原因可能是：请求体里model字段填错，服务端返回了错误对象；或者你用的 SDK 版本和接口返回结构不匹配。先打印完整响应体，确认顶层字段是choices还是error。如果是error，看error.message里的具体描述。

OAuth 相关报错。如果你在 Claude Code 或类似工具里配置时遇到 OAuth 失败，注意这类工具可能默认走 OAuth 流程，而 API Key 接入走的是另一套鉴权。确认你填的是 API Key 而不是 OAuth token，Base URL 填https://taotoken.net/api。Claude Code 的具体配置参考https://taotoken.net/ClaudeCodeAnthropic，里面区分了不同接入方式的字段。

规则不触发。auditd 规则写了但ausearch没结果，先确认auditctl -l能看到规则，再看auditd服务是否真的在跑。Falco 规则不触发，检查falco_rules.local.yaml的缩进，YAML 对空格敏感，condition字段换行时要用>保持格式。还有一个容易忽略的点：Falco 默认只监控新启动的容器，已经运行的容器需要重启或重新加载驱动。

模型研判输出不稳定。同一段告警两次调用结果差异大，通常是system_prompt太模糊。把研判标准写具体，比如“如果进程是 curl 且目标是 169.254.169.254，风险等级至少为高”。另外把timeout_seconds设够，网络抖动会导致截断。

6. 把检测基线固化成流程，而不是一次性配置

VoidLink 带来的真正压力不是某一个样本，而是 AI 把高级攻击框架的开发周期压缩到 7 天这个事实。这意味着你的检测规则不能只针对已知 IOC，而要盯住行为模式：内核模块加载、eBPF 调用、元数据端点访问、容器内异常进程创建。本文给的 auditd 规则、Falco 规则和验证动作，可以直接作为基线跑起来。

落地时建议按这个顺序推进：先在测试集群把三条 Falco 规则和 auditd 规则跑通，确认告警能进你的日志平台；再把模型研判接进告警处理流程，用https://taotoken.net/api做统一调用入口，Key 在https://taotoken.net/api-keys管理；最后把验证动作写成定时任务，每周跑一次，确认规则没有因为系统升级而失效。

如果你要把研判能力做成长期运行的 Agent，而不是每次手动贴日志，走 Coding Plan 页https://taotoken.net/coding-plan配置更省事。规则文档和调用示例在https://taotoken.net/doc，模型对话调试在https://taotoken.net/models。安全这件事没有一劳永逸，但把基线固化成流程，至少能让下一次类似 VoidLink 的样本出现时，你不是从零开始查日志。