威胁情报查询工具特有坑与边界

数据质量：无结果 ≠ 干净

私有/未收录样本查不到是常态：VT 只有公开库——检测数 0 或 not found 只标"未见记录"并注明查询时间，用行为证据（re-behavior / re-mem-forensics）下结论
hash 误报：单厂商签名粒度粗，聚合统计不加权——"恶意"判定要求多厂商一致 + 家族标签 + 行为证据；改名/拼接样本的旧 hash 命中要核对内容（重算 sha256 比对）
沙箱报告假阴性：反沙箱样本在公开沙箱里休眠/走正常分支——报告"无恶意行为"不代表真实环境无行为；结合真实环境动态分析交叉验证

上传即公开：VT/Any.run/hybrid-analysis 的免费通道默认公开报告——内部/客户样本上传前确认归属与数据策略（VT 企业私有 API、脱敏后上传、或选 private 分析选项）
查询也算数据暴露：API 查询行为与 key 关联——批量查询内部基础设施前评估暴露面
拿不准先问归属方，不做默认上传（re-analyze/platform-tips 敏感数据处理原则）

VT 免费 key：有日配额与分钟限速，返回 403（无效/配额）与 429（限速）——脚本循环内 sleep（如 15 秒），聚合用 /search 少发请求，jq 只取所需字段
hybrid-analysis：restricted key 只能查不能提交/下载；/search/hash 返回体含当前限额（Api-Limits 头）——超额先等重置
MISP：配额取决于实例配置（无统一限速），但大结果集（不设 limit）会拖垮实例——查询带 limit + page 分页

VT v2 → v3：v2 的 /vtapi/v2/* 与 /graph 路径已废弃；v3 统一 /api/v3/，鉴权头 x-apikey——旧脚本 404 先查端点是否 v3 化（如 graphs 复数）
MISP 响应结构版本差异：restSearch 响应从 {"response": [...]} 演变（老版本 .response[0].Event 直接对象、新版本数组包一层）——jq 用 .response[]?.Event 兼容展开；以实例实际返回为准
hybrid-analysis：POST /search/hash 已标记弃用（被 GET /search/hash 取代）；/report/summary 弃用（用 /report/<id>/summary）；/report/{id}/dropped-files 被 -v2 取代——按 v2.x 现文档写脚本
Any.run：API 端点与鉴权以官方文档（any.run/api-documentation）为准，不同套餐能力不同——脚本化前先核对