我用灵犀给自己造了个「清道夫」：16 秒，扫出电脑里 88 个流氓软件

用灵犀给自己造了个「清道夫」：16 秒，扫出电脑里 88 个流氓软件

========================================

事情是这么开始的

前阵子电脑越来越不对劲。

开机要等半分钟，右下角隔一会儿蹦个弹窗，任务管理器一打开——好家伙，三十多个后台进程在跑，我一个都没主动装过。

我就让灵犀帮我扫一遍。结果它给我扒出来一份清单：190 个空壳目录、一堆换皮 PDF 阅读器、七个壁纸软件、还有埋在 AppData 里名字像乱码一样的残留文件夹，全是 8 月 14 号那天上午九点半，被同一个"高速下载器"一次性塞进来的。

我说行，那就清吧。

清的过程中我卡住了。市面上的清理工具我试过几个：有的只认数字签名，签名库里没收录的一律不报；有的只拦弹窗不告诉你凶手是谁；还有的——它自己就是流氓。

我突然意识到，我需要的不是一个"清理工具"，而是一个"能说清楚为什么"的工具。

于是我跟灵犀说：别写需求文档了，直接做。

它长什么样

界面很素，没什么花活。

上面四个数字：高危、中高、中、低。下面是清单，每一项都带判定依据——不是给我一个"建议清理"的红点，而是告诉我"因为它无数字签名，而且命令行里带着 /from:360se 这个推广参数"。

这个区别很重要。

清理工具最怕的不是清不干净，是误杀。 我那台电脑里有 WPS、微信、火绒、金蝶的插件、同花顺，全都在 AppData 里。如果工具只会说"这个可疑"，我根本不敢点。

它是怎么判断的

灵犀给我设计了三层判定，我用大白话讲讲我是怎么理解的：

第一层，硬证据一票定生死。 没签名 + 装在系统目录外面 + 启动参数里带推广标记，这三条凑齐，直接高危。比如那个 mphelper.exe，94MB 常驻内存，命令行写着 /from:360se——就是 360 浏览器启动时偷偷拉起来的推广组件。

第二层，行为加权。 光有可疑不够，得看它干了什么：是不是开机自启？是不是常驻？是不是每小时唤醒一次？是不是偷偷建了计划任务？我电脑里那个夸克的更新器，就是每两小时唤醒一次，被我抓了个正着。

第三层，上下文修正。 这一步最像人。同样的路径，如果厂商是微软、Intel、金山，权重直接打一折；如果厂商是那几家知名的"全家桶专业户"，权重乘 1.15。

三层跑完，一共揪出 88 个可疑项。

中间踩的坑，比结果有意思

真正让我觉得"这不是玩具"的，是后面这几个坑。

第一个坑： 我一开始用 Get-CimInstance 拿进程列表，结果报"无法访问 CIM 资源"。灵犀查了一下说，是 API 名大小写写错了——正确写法是 CreateToolhelp32Snapshot，中间那个 h 是小写。就一个字母，折腾了半小时。

第二个坑更邪门。 自启项怎么扫都只有 3 个，我明明记得有一堆。灵犀说，因为提权之后 HKCU 指向的可能不是我的账户，而是管理员账户。得把所有用户的 SID 都枚举一遍，HKU\S-1-5-21-* 开头的全扫。改完，一下出来 15 个。

第三个坑差点让我放弃。 计划任务扫出来永远是 0 项。查了半天发现，schtasks 在中文系统下输出是 GBK 编码，还带着一整套中文表头，解析起来极其脆弱。灵犀的解法很粗暴——不用 schtasks 了，直接去读 C:\Windows\System32\Tasks 下的 XML 文件。零依赖，字段还更全。

第四个坑是我最警惕的。 第一版扫出来，SoftwareDistribution、Windows Security、ModifiableWindowsApps 都被标成了"高危残留"。

这几个目录要是删了，系统直接报废。

灵犀立刻加了道闸门：清理前二次校验，C:\Windows 及其子目录、磁盘根目录、路径层级小于等于两层的，一律拒绝执行。同时还补了 40 多个系统目录白名单。

我后来想明白一件事：一个清理工具好不好，不取决于它能清多少，取决于它敢不敢"不清"。

数字是这样的

• 7 个扫描器：进程、自启项、服务/驱动、计划任务、浏览器扩展、主页劫持、残留目录

• 3318 行代码

• 16.1 秒跑完一轮扫描

• 14MB 单文件 exe，绿色免安装

• 我电脑上清出 4.09 GB 空间

最后加了个功能

比如那种今天不弹、明天弹的，或者服务端下发行为的，或者干脆就是我知道它讨厌但规则库认为它正常的。

所以我让灵犀加了个"截图反查"——你看见什么不对劲，截个图丢进去，它反查是哪个进程。

技术上不难，难的是思路的转变：别指望工具比人聪明，让工具去接住人的眼睛。

关于"我几乎不懂代码"这件事

整个开发过程，我做的只有三件事：

1. 描述现象——"开机变慢了""这个目录我没见过"

2. 做判断——"这个能删""这个是我要用的"

3. 验收——跑一遍，看对不对

剩下的，从 API 怎么调、坑怎么填、界面怎么排，全是灵犀在做。

我甚至没打开过一次代码编辑器。

以前我总觉得，"做个软件"是个需要团队的活儿。现在我发现，一个人，真的可以是一支团队。

这就是我的 AI 工作助理——灵犀。

#我的AI工作助理灵犀