Kratos
Kratos是B站开源的轻量级微服务框架，基于Go语言开发，面向云原生场景，内置服务注册发现、限流熔断、日志监控、链路追踪、配置中心等组件，广泛用于搭建API网关、后端业务服务、AI算力调度接口。大量企业使用Kratos搭建大模型业务后台，承载Token鉴权、AI任务分发、智能体调度请求。
部署架构上，Kratos服务常通过内网域名、公网API子域名对外提供调用能力。运维阶段需要区分内网服务域名与公网暴露域名，内网服务禁止直接公网放行，公网接口前置WAF做防护。框架支持灵活配置路由规则，可实现多域名路由分发，适配官网、AI业务、管理后台多套域名体系。
安全重点关注接口限流、非法调用防护，防止AI接口被刷取Token。建议将Kratos对外API域名纳入常态化域名巡检，监控解析状态与SSL证书有效期；同时做好配置文件管理，避免密钥、接口地址泄露，防止攻击者利用接口发起批量请求，造成算力资源损耗。
部署架构上，Kratos服务常通过内网域名、公网API子域名对外提供调用能力。运维阶段需要区分内网服务域名与公网暴露域名，内网服务禁止直接公网放行，公网接口前置WAF做防护。框架支持灵活配置路由规则，可实现多域名路由分发，适配官网、AI业务、管理后台多套域名体系。
安全重点关注接口限流、非法调用防护，防止AI接口被刷取Token。建议将Kratos对外API域名纳入常态化域名巡检，监控解析状态与SSL证书有效期；同时做好配置文件管理，避免密钥、接口地址泄露，防止攻击者利用接口发起批量请求，造成算力资源损耗。
2026年7月，美国FBI、德国联邦刑事警察局BKA与印尼警方开展跨国协同行动，成功瓦解名为Kratos的大型钓鱼即服务黑产平台，关停全球200余台核心服务器，并抓获工具开发者。该套件凭借AiTM中间人代理技术，可完整窃取微软365账号会话Cookie，直接绕过多因素认证MFA，半年内催生上万次钓鱼攻击，波及全球30多个国家数十万企业用户，给政企云端身份安全带来致命威胁。
时间：2026-07-24
闽公网安备 35021102000564号