端侧优先的端云协同多智能体异常流量监测系统。面向校园网、园区网、科研机构等数据敏感型网络，在低算力、低带宽约束下提供低成本、可复核、可审计的异常检测闭环。
异常流量检测的真正难点不是"再训练一个更准的模型"，而是把发现、解释、关联、复核和持续改进连成可运营的闭环。探微把能力分配到三个位置：
- 边缘节点：快速检测、证据缓存、行为融合，本地闭环，central 不可用时仍可独立完成检测。
- 中心节点：案件编排、跨节点关联、研判复核、人工闭环治理，不重跑边缘检测。
- 模型服务：受控的能力入口，通过工程契约接入，不直接暴露给 console。
跨边界默认只流转结构化安全情报（Event Package），原始 pcap / payload / raw bytes 不进入中心契约。
operator -> console
console -> edge-agent -> svm-filter-service / central-edge-model-service
console -> central-agent
edge-agent -> central-agent structured event package / report archive
central-agent -> edge-agent structured context retrieval / action dispatch
central-agent -> external LLM API (configured by EXTERNAL_LLM_*)
| 服务 | 职责 |
|---|---|
console |
统一控制台，管理员入口与可视化 |
edge-agent |
边缘检测闭环：流量接入、SVM 初筛、LLM 精判、证据缓存、行为融合、结构化上报 |
svm-filter-service |
微秒级轻量过滤，承担绝大多数高置信正常流量 |
central-edge-model-service |
共享的边缘分类模型推理入口（vLLM + LoRA 适配器） |
central-agent |
中心编排：事件入案、关联、研判复核、纠错与动作下发 |
需要 Docker Desktop（WSL2 后端）。
# 在仓库根目录
docker compose up -d --build启动后访问控制台：http://localhost:3000
| 端口 | 服务 |
|---|---|
| 3000 | console |
| 8001 | svm-filter-service |
| 8002 | edge-agent (edge1) |
| 8003 | central-agent |
| 8090 | central-edge-model-service |
多 edge 仿真（edge2/edge3）使用
multi-edgeprofile：COMPOSE_PROFILES=multi-edge docker compose up -d
central-agent 需要根目录 .env（参考 services/central-agent/.env.example）配置外部 LLM。
# Windows
.\scripts\test.ps1
# Git Bash / WSL
bash ./scripts/test.sh探微采用"短入口 + 真源文档"结构。先读 AGENTS.md（agent 入口地图与硬约束），再按任务跳转：
| 想了解 | 去哪里 |
|---|---|
| 产品定位 | docs/product/positioning.md |
| 整体架构 | docs/architecture/overview.md |
| 边缘检测 | docs/architecture/edge.md |
| 中心研判 | docs/architecture/central.md |
| 数据边界与契约 | docs/architecture/data-boundary.md、docs/contracts/ |
| 部署与运维 | docs/operations/ |
| API 规格 | docs/contracts/api.md |
| 当前计划与交接 | docs/exec-plans/README.md、docs/harness/delivery-lifecycle.md |
- Windows 为默认开发主机，WSL 仅作 Docker 后端或 bash 兼容层。
edge-agent必须能在central-agent不可用时完成本地检测闭环。central-agent不重跑边缘检测，只消费结构化情报做研判。- 端→云默认禁止传原始 pcap / payload / raw bytes / 完整 packet hex。
edge-agent、console backend、svm-filter-service运行时禁止引入 torch/transformers/tensorflow/pandas 等重依赖。- 改 API 或跨服务契约时，必须同步测试、前端类型、后端适配和
docs/contracts/。