项目文档：BHPAI

系统版本：V1.6 企业版（系统功能全面更新）
作者：Rin449 核心语言与技术：C++17（MinGW-w64 / MSYS2）、Python 3.9+、PyQt6、MinHook、Capstone Engine、Intel PT（Processor Trace）、PyTorch、LightGBM、OpenSSL 3.x、zlib、Argon2id、Cryptography、Ed25519
主参考文档：多格式架构（Multi-Format）详解、递归分析算法、PE 与 PDF 静态分析、Sandbox Stealth Ring-3 动态监控、勒索软件密钥结构提取、抗误报 AI 模型（False Positive Resistant）、WinRE 离线救援系统及零知识数据安全。

Language / Ngôn ngữ: 🇻🇳 Tiếng Việt | 🇬🇧 English

---

总览目录

1. 项目总览与多格式架构愿景
   • 1.1 网络安全背景与现代安全挑战
   • 1.2 多格式混合设计理念（Multi-Format Tri-Layer Engine）
   • 1.3 V1.6 核心技术参数表（Technical Highlights）
2. 整体架构图与数据处理流程
3. 子系统 1 详解：动态 Windows 沙箱与隐蔽监控（Ring-3）
   • 3.1 独立虚拟化桌面环境与 Windows Job Object 限制
   • 3.2 通过 Restricted Token 剥离危险权限
   • 3.3 反规避与隐蔽技术（PEB Unlinking、Memory PE Wiping、DACL Guard）
   • 3.4 通过 MinHook Engine 与 RAII HookGuard 干预 Native NT API
   • 3.5 文件系统与注册表的 2 层写时复制（COW）技术
   • 3.6 内核事件跟踪（ETW Monitor）
   • 3.7 虚假网络引擎（C2 Sinkhole 与 Payload Mocking）
   • 3.8 Intel Processor Trace（Intel PT）硬件监控引擎
   • 3.9 分析环境的技术边界与实际限制
4. 子系统 2 详解：静态 PE 分析器与 Capstone 反汇编器
   • 4.1 PE 结构分析、节区熵与异常识别（Anomalies）
   • 4.2 Opcode N-Grams 解码与 TF-IDF 权重
   • 4.3 API 调用 N-Grams 序列与控制流图（CFG）
   • 4.4 加壳识别与自动脱壳（UPX / WWPack Unpacker）
   • 4.5 自动生成高级 YARA 规则（YaraGen - 过滤 Rust 噪声）与模糊哈希
5. 子系统 3 详解：多格式引擎与原生 C++ PDF 分析器 V2.0
   • 5.1 三阶段文件路由器（FileRouter Engine）
   • 5.2 原生 C++ PDF 分析引擎 V2.0（Analyzers/PDF/）
   • 5.3 分层递归分析树（AnalysisNode Architecture）
   • 5.4 上下文风险评分引擎与子项支配规则（Child Dominance Rule）
   • 5.5 反 DoS 防御与解压炸弹防护（Decompression Bomb Protection）
   • 5.6 基于证据的 MITRE ATT&CK 映射与通用 IOC Defanger
   • 5.7 输出报告标准化 Universal Schema 2.0
6. 子系统 4 详解：3 层数据集与抗误报 PDF AI 流水线
   • 6.1 3 层数据集分层结构（dataset/pdf/）
   • 6.2 通过 Hard Negatives 消除“误报机器”推理捷径
   • 6.3 划分前的多级去重（Multi-Level Deduplication）
   • 6.4 防数据泄漏的独立集划分 StratifiedGroupKFold
   • 6.5 57 维特征向量与概率校准（CalibratedClassifierCV）
   • 6.6 验证基准测试结果与抗误报能力（Audit Report）
7. 子系统 5 详解：机器学习与 AI 集成（PE & GNN & SHAP）
   • 7.1 多维特征空间融合（Feature Vectorization）
   • 7.2 PyTorch API 序列嵌入器与控制流图 GNN
   • 7.3 通过 SHAP Feature Pruning 优化特征
   • 7.4 LightGBM 集成分类模型（Adam、Eve、Marcus）与动态阈值
   • 7.5 AI 分类器基准测试结果与实验评估
8. 子系统 6 详解：BHR 引擎（勒索软件检测器与密钥恢复）
   • 8.1 高熵加密检测算法（Shannon Entropy Rate）
   • 8.2 突发修改速率监控与 Shadow Copy 删除行为
   • 8.3 从 RAM 与 pagefile.sys 提取加密密钥结构（20+ 标准）
   • 8.4 从 COW Virtual Overlay 缓冲区恢复数据（Win32/NT Scope）
   • 8.5 Crypto Timeline 日志与数据变换图
   • 8.6 双引擎混合勒索软件内存密钥提取实验测试
   • 8.7 Recovery Engine Registry 与 Crypto Dataflow Tracker 架构
9. 子系统 7 详解：行为关联器与 BehaviorGraph Engine V1.6
   • 9.1 多源事件标准化（Userland Hooks + Kernel ETW）
   • 9.2 跨进程有向图（BehaviorGraph）与攻击链状态机
   • 9.3 Win32 / NT Native API 覆盖与内核路径标准化
   • 9.4 Native Registry 监控与 9 点评分持久化分类器
   • 9.5 Stateful NetworkSessionTracker 与 TLS SNI / HTTP 解析器
   • 9.6 结构化加密日志模型 Enriched CryptoOperation
   • 9.7 MITRE ATT&CK Enterprise Matrix 技术矩阵图
   • 9.8 7 维自动化测试套件与 V1.6 基准测试结果
10. 子系统 8 详解：零知识加密备份保险库
    • 10.1 客户端 E2EE 加密模型与 KDF/HKDF 密钥派生树
    • 10.2 零知识认证协议 SRP-6a PAKE（RFC 5054）
    • 10.3 即时改密机制（Instant Re-Keying Mechanism）
    • 10.4 标准化 AAD 验证与抗流量分析的 Bucket Size Padding
    • 10.5 本地加密块存储架构（Local Encrypted Block Store）
11. 子系统 9 详解：PyQt6 Glassmorphism 桌面界面、HWID 授权与 CLI 工具
    • 11.1 PyQt6 Desktop Glassmorphism 界面架构（多线程 QThread）
    • 11.2 桌面 GUI 核心功能选项卡