DarKnight：用检索引导的智能体框架，在本地小模型上破解暗网验证码

暗网市场监控是网络威胁情报（CTI）调查员的日常工作：他们要在各类暗网市场里追踪泄露的账号凭据和数据泄露清单。但市场运营者为了挡住自动化采集，会部署形形色色的 CAPTCHA，调查员的爬虫必须先过这一关，才能看到页面内容。现有的解法大致走两条路。第一条是针对每个站点单独微调模型，换一个市场就要重新收集数据、重新训练，成本高，也根本无法规模化。第二条是直接调用商业视觉语言模型（VLM）的 API，这又带来另一个麻烦：运营主权被交了出去。服务商的政策调整、Tor 出口节点被封锁、政府监管，或者模型在调查员毫不知情时被更新，都可能让求解器一夜之间失效或行为改变，而且每一次调用、每一次重试都要持续付费。DarKnight 正是为这个处境设计的。它是一个能自我改进的 agentic 框架，目标是跑在调查员 Tor 爬虫旁边的单张工作站 GPU 上，只使用本地托管的小型开源权重 VLM。这些模型不会因为任何服务商的决定而被收回，整个流程也不需要逐市场训练，不依赖第三方服务。

在技术思路上，DarKnight 没有把希望寄托在把模型做得更大，而是让一个小模型学会"先想办法、再作答"。面对每一张 CAPTCHA，系统首先做检索：它会从历史记录里找出与当前图像相似的案例，而且同时取回成功的尝试和失败的尝试，这就是摘要中所说的双信号 RAG（dual-signal retrieval-augmented generation）。成功案例告诉模型哪些做法有效，失败案例则提醒它哪些做法已经被证明行不通，两类信号合在一起，比只看成功样本更能避开重复犯错。接着，框架会根据检索到的经验，为这张具体的图像组合出一条专属的预处理流水线，也就是从可用的图像处理工具中选出适合的几种并安排顺序，而不是对所有图像一律套用同一套处理。最后是闭环学习：站点对答案给出的通过或失败判定，会被当作真实的反馈信号写回经验库，供后续相似图像检索使用。这个过程不更新模型权重，也不需要人工标注，所以系统能随着使用不断变好，同时保持本地部署和无需逐市场训练的特点。实验方面，作者做的是一项覆盖四个真实暗网市场的案例研究，这些市场的 CAPTCHA 防护强度各不相同。最醒目的发现是，智能体式的工具选择比单纯扩大参数规模更有效。在防护最严密的那个市场上，一个可以实际部署的开源权重 VLM 配上 DarKnight，准确率达到 83.2%，比它自己的基础模型高出 37.2 个百分点，甚至超过了前沿模型 Claude Opus 5 的 44%。

也就是说，一个能在单卡上运行的小模型，借助检索和工具选择，在这个任务上赢过了体量大得多的商业模型。作者还分析了框架对基线失败样本的影响：DarKnight 修复了 48.2% 的基线失败，同时有 7.6% 的原本答对的样本被改坏，即所谓的退化成本。这组数字很有意义，它表明按图像挑选工具可以避开统一预处理带来的大部分性能损失，因为对所有图像无差别地做同样的处理，往往会把本来清晰的样本也弄糟。从行业角度看，这项工作的价值首先在于把"可控性"放到了与准确率同等重要的位置。对安全团队而言，一个可能被服务商政策、地区封锁或模型版本更新突然中断的求解器，很难成为长期情报采集流水线里可靠的一环，而本地运行的开源权重模型把这种不确定性降到了最低，也省去了按调用次数累积的费用。其次，它给小模型的使用方式提供了一条可复用的思路：与其追逐更大的参数规模，不如让模型借助历史经验和外部工具，在推理时变聪明。这种做法对其他需要部署在受限环境、又不能依赖外部 API 的视觉任务同样有参考意义。对后续研究来说，双信号检索如何选取和更新经验、工具集合如何扩展、退化成本能否进一步压低，都是值得继续追问的方向。同时需要看到，这项研究目前基于四个市场的案例，其泛化能力还需要更多站点和更长时间的验证。