Firment 的红队功能整个是围绕「可复现」设计的。

两层金字塔

• 底层：确定性变异语料。给定种子 + 一个合法基线帧，生成一串固定顺序的畸形输入（边界长度、逐位翻转、超长、格式串、分隔符混淆、数值极值）。同种子同字节序列，跨机器一致。一个漏洞的复现方式就是 seed + case id，不需要模型在场。
• 上层：LLM 攻击 campaign。在语料跑完后，让攻击者子 agent 探索语料没覆盖的（构造结构上错但语义相关的帧、竞态两个输入）。但它的发现必须回填成语料里的一个 case 才能进报告，否则降级为 UNVERIFIED。

崩溃哨兵：优先级很关键

每个用例发完 payload，收集一段输出窗口，纯文本分类：

1. Crash —— 命中故障签名（HardFault/panic/…）
2. Reboot —— 启动横幅在已有流量后重现（不该出现时又出现了）
3. Hang —— 定义了心跳、窗口内没命中、且超时
4. Alive —— 心跳命中，或根本没定义心跳契约

Crash 压过 Reboot：崩了又被看门狗重启的目标，是 crash 不是神秘重启。沉默不等于死亡：没定义心跳时，一片安静判 Alive——你不能宣称一个从没建立过「存在」的东西缺失了。

证据封顶

finding 必须引用捕获文件（崩溃还会在复位前抢一份 debug forensic 现场快照）。finalize 检查这些文件真实存在，缺证据的封顶 low + UNVERIFIED。模型写的 campaign 证据更严：payload 必填、引用路径必须落在本次运行目录内、且文件里得真的有它引用的那行——防止它拿一个存在的无关文件（甚至报告自己）冒充证据。

恢复与边界

崩了的目标在用例之间会被重刷/复位救回来；救不活就中止整个套件，而不是对着死板子把后面每个用例都判成假 Hang。headless 实弹必须显式 --live，否则只做语料彩排。

一个诚实的局限

任何 debug 动作（包括 forensic）退出后目标都停在 halt——所以「碰过调试器之后的沉默」是攻击者自己的产物，不是 hang 的证据。这条我写进了权限闸门和 campaign 提示词里，宁可啰嗦也不让它自证。

红队的价值不在「聪明地找到 bug」，在「找到之后别人能复现、能回归」。确定性打底、LLM 探索，这个顺序不能反。

Firment 的 la 工具接的是 sigrok-cli。几个值得记的设计取舍：

1. 外部子进程，绝不链接 libsigrok

sigrok/libsigrok 是 GPL。链接进一个 MIT 程序会传染许可证。所以 la 把 sigrok-cli 当外部二进制用 argv 数组调用（和 probe-rs 同一模式），跨进程边界读 stdout，GPL 传染不到。代价是要自己处理进程生命周期，换来的是干净 + 覆盖面广（fx2lafw 克隆机、Saleae、几十种设备走同一驱动层）。

2. 频率只给区间，不给伪精确值

边沿只能定位到 ±1 个采样，所以周期带 ±2 采样的误差。报一个 1.33 Hz 是假精确。la measure 一律输出 hz_low .. hz_high 区间，且欠采样（每周期 <4 采样）时降到低置信度。

3. 读回设备真实采样率，而不是你请求的那个

fx2lafw 这类只支持离散采样率（6/12/24/48 MHz），你请求 8m 它可能跳到 12m。如果用请求值算频率会系统性偏差。所以采集后跑一次 --show 把真实采样率和通道数读回来写进元数据。

4. 通道名要按 sigrok 的现实来

sigrok-cli 按通道名匹配，主流驱动叫 D0..D7 不是 0..7。我一开始按索引写示例，真机上直接 unknown channel。这种坑只有对着 sigrok 源码或上板才发现得了。

5. 半截数据比报错更糟

采集导出成原始位流时，如果进程被超时/取消打断，可能留下一个写了一半的 .bin。测量层必须查 has_binary + 尺寸校验，宁可报错也不能拿截断波形算出一个自信的假频率。

6. 挂进证据阶梯

HIL 里 kind = "la" 步骤可以断言 expect_frequency_hz / expect_duty / expect_edges / expect_decoded，规则和其它物理观测一致：低置信度永远过不了断言，dry-run 强制 FAIL。

一句话：把「波形测出来」变成 agent 能消费、且不会说谎的证据。

每一步都是独立的手工操作。而一个「AI 编码助手」如果只停在「帮你写代码」这一步，对嵌入式工程师的帮助是残缺的——因为固件开发的最后一公里恰恰是最容易翻车的部分，通用 coding agent 完全没覆盖。

这就是我做 Firment 的原因。

一句话：把整条链路装进同一个对话

Firment = Firmware + Agent（名字取自 firmament，故意少一个 a）。它是一个用 Rust 写的通用编码 Agent，但带着一个嵌入式优先的工具链闭环：

你说「给 UART1 加一个 DMA 接收的驱动，烧到板子上跑一下，看看日志」，它自己走完 写码 → 编译 → 烧录 → 串口观测 → ELF 分析，而不是丢给你一段代码就完事。

关键不是「会写代码」，是「对结果负责」

让模型写一段 main.c 不难，难的是让它诚实地判断这件事到底成没成。所以我没有依赖模型的自觉，而是搭了一套机械强制的证据阶梯，五级：

1. 代码级 —— 文件按预期改了
2. 构建级 —— 真实工具链编译通过
3. 部署级 —— 固件烧进了目标
4. 运行级 —— 串口输出 / 寄存器符合预期
5. 物理级 —— 观测到真实的外部效果

规则很硬：高级不自动蕴含低级，编译通过也不自动等于物理正确。三层闸门把它落到机器上：

• verify_command 闸门：配了校验命令，回合结束前必须过，不过就继续干活；
• ELF 回归闸门：每次编辑回合后自动重分析产物，flash/RAM 涨了、某函数栈深暴增这类「编译能过但其实是回归」的问题，超阈值就卡住完成；
• HIL 端到端套件：build → flash → monitor（带断言）→ elf_analyze 串成一次可回放、可 dry-run 的验证。

物理级证据：不靠视觉模型，靠确定性测量

这是 v0.7/v0.8 我花最多力气的地方。让 agent「看到」板子的真实行为，但不用大模型看图（不可复现、还贵），而是本地确定性算法：

• observe —— 对目标板的照片做 CV：LED 亮没亮、连拍里有没有东西动、闪不闪且多快（频率只给区间不给伪精确值）、改动前后像素变没变。每个结论带置信度，HIL 步骤可以断言它——低置信度永远过不了断言。
• la（逻辑分析仪） —— 经 sigrok-cli 采集真实波形，测频率/占空比/脉宽/波特率，协议解码（uart/spi/i2c/CAN…）交给 sigrok 自带解码器。于是「这条线真的是 115200 吗」「这个 PWM 真的是 1 kHz 吗」从「模型说了算」变成「波形测出来」。

红队：让 agent 攻击自己写的固件

最新的一块。固件写完，另一个「攻击者」子 agent 拿确定性变异语料（种子固定，同种子同字节序列）往运行中的固件灌畸形输入，用崩溃哨兵（故障签名 / 启动横幅重现 / 心跳丢失）判定，产出必须引用捕获证据的漏洞报告——缺证据就封顶 low/UNVERIFIED。复现一个漏洞只需 seed + case id，不需要再问一次模型。

安全模型：嵌入式工程师对「AI 删东西/烧错固件」格外敏感

所以默认行为围绕这点设计：写/改/shell 默认要权限确认；rm/format/git reset --hard/强推一律拦截；edit_file 用 SHA-256 内容寻址锚定，同一处编辑只生效一次；路径沙箱；web_fetch 带 SSRF 防护。

三端一个内核

monorepo，CLI/TUI（Rust + ratatui）是事实标准，GUI 客户端（Tauri + React）共用同一个 Rust 内核，Web 端（Next.js）是 TS 重实现、靠一份提交的工具规格快照保持同步。MIT 开源，一行安装。

如果你也在琢磨「AI 到底能不能对硬件负责」，或者就是嵌入式 + agent 这个交叉方向感兴趣，欢迎去看看 Firment，或者拿你的板子试试。这个博客会持续记录我踩的坑和背后的设计取舍。