取证鳌 v2.1.39 发布:告别 OpenClaw,取证智能体开始真正“干活”

FORENSIC CLAW · v2.1.39

一个能回答“APK 怎么分析”的模型，和一个能把 APK 读进来、调用工具、整理结果的智能体，中间隔着很长一段工程路。

电子数据取证的工作现场，从来不缺问题。

拿到一个 APK，要查应用结构、权限、接口和可疑行为；拿到服务器镜像，要解析文件系统、梳理日志、提取关键数据；面对大量聊天记录、数据库和资金流水，还要做关联分析、整理时间线，最后形成能复核的报告。

过去，这些工作需要人在多个软件之间来回切换，记住不同工具的参数，再手动整理结果。

大模型能帮我们写脚本、解释报错、补充思路，但只会聊天还不够。

真正进入取证流程的 AI，至少要能读取本地检材，知道什么时候该调用哪个工具，执行多步任务，并把过程留下来。

取证鳌做的就是这样一件事。

这次发布的 v2.1.39，最重要的变化，是把旧的 OpenClaw 运行时替换成了 Pi Agent 1.4.0。

01 | 这次改的是智能体底座

早期版本使用 OpenClaw 作为智能体运行底座。它提供了工具调用、技能扩展和任务执行能力，也支撑取证鳌走到了今天。

但取证鳌的主要场景是桌面端、本地检材和专业工具调用。继续保留独立网关、WebSocket 通信和端口管理，会让整个运行链路变长，也给便携部署增加不必要的环节。

所以在 v2.1.39 中，取证鳌改成：

桌面工作台 -> config-server -> Pi Agent CLI JSON 子进程 -> 模型与取证工具

新版不再启动独立的 OpenClaw Gateway，也不再占用旧版网关使用的 18789-18799 端口段。

变化带来的结果很直接。

这里不写具体的加速百分比。实际启动和响应速度，仍然取决于电脑配置、模型服务、技能加载情况和检材大小。可以确定的是，架构层面的等待和中间环节少了。

Pi Agent 也不是 OpenClaw 换个名字。

它是取证鳌智能体运行底座的替换。原来的文件操作、Shell、PowerShell、代码模式、工具检索、MCP 和技能调用都保留下来，旧配置也会在首次启动时迁移。

换句话说，减少的是旧运行时和网关层，不是智能体干活的能力。

新版工作台把任务入口、模型配置、技能管理和 MCP 集中在一个桌面界面里。第一次使用只需要配置模型，之后把检材放进目录，就可以直接描述任务。

02 | 30 个技能，背后是取证流程

通用模型知道很多事，但它不天然知道一名取证人员拿到 APK、镜像或服务器日志后，第一步该看什么、用什么工具、结果怎么整理。

取证鳌把这些经验写成了技能。

当前版本可加载 30 个中文技能，分为五类：

• 设备取证 10 个，覆盖安卓 EXT4 镜像、安卓应用逆向、APK、手机、微信聊天、服务器、宝塔面板、路由器等方向。
• 网络溯源 5 个，包括流量研判、网络流分析、网址域名溯源、网页转 Markdown 和联网搜索。
• 取证工具 9 个，包括镜像挂载、PDF、Word、Excel、PPT、HTML、图片压缩、语音转写和技能检索。
• 报告生成 4 个，包括取证报告、APK 分析报告、笔录文书和工作汇报。
• 竞赛出题 2 个，用于电子物证竞赛出题和考点分析。

这些技能不是把一长段提示词塞给模型，而是可读取、可维护的工作说明。智能体判断任务命中后，才加载对应技能，避免每轮都携带全部内容。

用户还可以在对话前选择最多 3 个优先技能，按顺序告诉智能体这次应该先走哪条专业路径。

对经验丰富的技术人员来说，更重要的是技能可以改，也可以新增。一个团队平时积累的分析步骤、命令参数和报告格式，都可以慢慢沉淀成自己的技能库。

技能管理页会按设备取证、网络溯源、取证工具、报告生成和竞赛出题分类展示。当前界面显示的数量是 30 个。

03 | 检材放在目录里，不用围着上传打转

很多在线 AI 的工作方式是上传文件、等待模型回答。

普通文档可以这样处理。电子数据取证不太一样。镜像、日志、数据库和聊天记录往往体积大、目录深，还需要反复调用本地工具。

每一步都上传，既慢，也不方便保留处理现场。

取证鳌采用桌面工作目录的方式：

1. 把 APK、数据库、日志或镜像放进工作目录。
2. 在取证鳌里选择当前任务使用的模型。
3. 用自然语言说明目标，例如“分析这个 APK 中的网络通信地址，并标出相关代码位置”。
4. 智能体读取目录，匹配技能，调用工具，执行分析。
5. 查看工具轨迹和终端日志，核对结果，再生成报告或数据清单。

检材不需要先传到某个远程平台。处理大文件和批量材料时，这一点能省下不少重复操作。

如果搭配 Ollama、llama.cpp 或 LM Studio 这类本地模型，模型推理和检材处理可以控制在本机或指定内网。

但如果选择在线模型，就要按实际数据安全要求决定哪些内容可以发送。取证数据是否出网，最终取决于模型配置和使用方式，不能简单写成“绝对离线”。

工具链也是如此。

取证鳌随包集成了 Python、Java、ADB、JADX、apktool、dex2jar、SQLite、7-Zip 和 Sleuth Kit 等常用工具，并配置到智能体可调用的环境中。

这意味着智能体不只是告诉用户“可以用 JADX 反编译”，而是可以在授权和工具支持的范围内，实际执行命令、读取输出，再继续下一步。

04 | 模型可以选，外部能力也可以接

不同单位的环境差别很大。

有的环境只能用本地模型，有的需要在线模型补足推理能力，有的已经部署了 OpenAI 兼容接口，还有的希望通过 MCP 接入自己的业务工具。

取证鳌没有把用户绑在某一家模型服务上。

当前支持 Ollama、llama.cpp、LM Studio，也支持国内和国际在线模型，以及自定义 OpenAI 兼容接口。模型负责理解和决策，技能负责组织取证流程，工具链负责实际执行。

以后模型能力升级，可以换模型；业务流程变化，可以改技能；有新的外部工具，可以通过 MCP 接入。

模型配置页把本地模型和在线模型放在同一个入口。选择模型、填写服务地址或密钥、刷新检测，再保存即可。

MCP 支持本地进程 stdio 和 HTTP 两类连接。配置时可以填写启动命令、参数、工作目录、环境变量、工具暴露方式和超时时间。

MCP 的价值不在于“能接很多服务”，而在于专业的查询工具、数据接口和业务系统，可以按统一的接口交给智能体调用。对开发能力较强的团队，这比每次都临时写脚本更容易维护。

05 | 结果要能用，过程也要能看

电子数据取证和普通办公场景的区别，在结果从哪里来。

一个结论如果只有答案，没有数据来源、操作步骤和判断依据，很难进入后续工作。

取证鳌在任务执行过程中会显示模型状态、工具调用、耗时和阶段进度，终端面板保留运行日志。任务可以中止，工具步骤也能展开查看。

分析完成后，可以继续整理成：

• 关键线索和数据清单；
• 时间线、人员或账号关联、异常点；
• 取证分析报告和 APK 分析报告；
• Word、Excel、PPT 或 HTML 交付材料。

这些材料的价值，不是让 AI 替人下结论，而是把重复的整理工作先做一遍，把技术人员的时间留给关键判断。

需要说清楚的是，AI 生成的分析结果属于技术辅助成果，不能直接替代规范的电子数据检验鉴定程序，也不能把未经核实的推断当成证据事实。

原始检材、工具输出、操作记录和人工复核，仍然缺一不可。

06 | 这次升级，适合谁

如果你只是把取证鳌当成一个聊天窗口，这次变化可能不会立刻感受到。

但如果你已经把它当成桌面取证工作台，v2.1.39 的意义就很具体：

• 启动和请求链路少了一层独立网关；
• 单机、内网和便携环境少了一组端口和运行组件；
• 30 个技能、随包工具链和 MCP 扩展继续保留；
• 本地模型和在线模型都能接入；
• 工具过程、终端日志和任务中止仍然可用；
• 原有配置可以迁移，不需要从零开始。

这次更新没有把产品做窄。它做的是把旧运行层收掉，把能力留在真正执行取证任务的地方。

取证鳌还会继续围绕电子数据取证、涉网犯罪技术分析、网络溯源和智能化研判完善技能与工具协同。

我也仍然认为，AI 不会因为接进一个软件就自动变成取证专家。只有把专业流程、工具能力和人工复核放在一起，它才可能成为可靠的业务助手。

取证溯源，AI 智能体，提质增效。

—— 老胡取证

· · ·

版本信息

产品名称：取证鳌 Forensic Claw当前版本：v2.1.39智能体内核：Pi Agent 1.4.0可加载技能：30 个模型支持：本地模型 / 在线模型 / 自定义 API主要平台：Windows（安装版 / 便携版），保留 macOS 支持

说明：本文介绍的是软件当前版本的功能与技术设计。具体分析能力、运行表现和数据安全边界，取决于所选模型、运行环境、配置及使用方式。