Problem

场景

CTF、应急、协议排障、本地狩猎里，pcap 是一等公民。问题很少是「机器上有没有 Wireshark」，而是协作方式在四个点上同时崩。

1. 步骤碎，上下文丢

真实路径通常是：

打开文件 → 想 display filter → 跟流 → 导出对象 → 对照字段 → 再开一个统计窗口。

GUI 和终端来回切时，过滤表达式、帧号、假设散落在截图、便签和聊天记录里。你回头问「刚才那个 TLS SNI 是哪个流」，答案往往在已经关过的窗口里。

2. AI 会「编流量」

没有 tshark 输出时，模型仍可能写出看起来合理的：

• HTTP 路径与状态码
• TLS 版本 / 密码套件
• 「发现了 Basic Auth 明文密码」
• 「这是 DNS 隧道 / C2 beacon」

对研判来说，流畅比沉默更危险。读者分不清哪句来自解码，哪句来自训练语料的平均印象。

3. 客户端配置税

Claude Desktop、Cursor、VS Code、Codex……各自一份 MCP JSON/TOML。路径、Python、tshark 是否在 PATH、权限、重启时机——排障成本经常高于写第一条分析 prompt。
「工具接上了吗」本身变成玄学。

4. 能力不对称

人在 Wireshark 里点几下能做的事，Agent 默认做不到：读协议树、抽字段、跟 TCP 流、跑 capinfos。
反过来，Agent 擅长批量总结与多假设并行，却缺一双受约束的读包的手——于是只能把总结建立在空气上。

5. 调查没有会话记忆

一次应急不是单次 tshark -r。你需要：假设 → 验证 → 发现 → IOC → 报告。
如果这些只活在对话气泡里，换一个线程就丢；如果只活在研究员脑子里，Agent 无法接棒。

6. 「工具很多」不等于「知道从哪下嘴」

把 tshark 的能力平铺成几十个 MCP tool 之后，新问题立刻出现：Agent 是该先统计协议，还是先抽 HTTP？安全审计要跑哪些子步骤？
没有入口约定和推荐层时，工具面越大，越容易随机调用或直接跳回散文模式。

失败模式（你大概见过）

现象	实质
报告很完整，复现对不上	结论没绑到具体 filter / frame
大模型「扫出恶意家族」	无 IOC、无工具调用链
换一台机器工具全挂	从未 doctor，tshark/配置漂移
同一 pcap 两次说法不同	一次真调了工具，一次在背书

目标（问题侧）

我要的不是「更会聊天的流量专家」，而是：

1. Agent 必须通过工具拿到 tshark 事实，才能谈内容
2. 安装与诊断可清单化（install / doctor / clients）
3. 调查状态（假设、发现、IOC）能落在会话层，而不是只靠聊天气泡
4. 安全默认清楚：本地文件、路径沙箱、敏感工具显式、网络侧能力不默认敞开

产品怎么拆，见 Approach。