你是不是也遇到过这种情况电脑没开几个程序风扇却转得飞起打开任务管理器一看占着 CPU 和内存的全是 Antimalware Service Executable。很多人第一反应是中毒了其实这是 Windows 10 自带杀毒程序的核心进程平时它默默干活但在某些场景下会突然蹿到 30%、50% 甚至更高把整台机器拖得卡顿。这篇文章不讲虚的先把进程是怎么回事说清楚再给出一套我自己反复试过有效的优化步骤最后专门说说让很多人翻车的家庭版组策略问题——毕竟在家庭版里想通过组策略来配置杀毒扫描有几个坑几乎没人提醒。适合被这台杀毒进程困扰、又不想裸奔关防护的普通用户和 IT 运维参考。1. 先认清进程Antimalware Service Executable 不是病毒但也别放任不管1.1 任务管理器里那个黑户到底是什么Antimalware Service Executable 对应的不是独立软件而是 Windows 10 自带的 Windows Defender现在界面里叫 Microsoft Defender 防病毒的扫描引擎进程真正的程序名是 MsMpEng.exe。它负责实时文件监控、下载文件扫描、计划扫描、威胁处理以及行为分析说白了就是系统自带安全中心里的那个保安的办事员。任务管理器里显示为 Antimalware Service Executable进程路径通常在C:\ProgramData\Microsoft\Windows Defender\platform\版本\MsMpEng.exe你不需要去动这个文件只要知道它不是病毒就行。为什么它经常高占用常见触发场景有这么几类刚装完系统或病毒库刚更新完Defender 会主动做一次快速扫描甚至全盘扫描你下载了大型的 ISO、压缩包、虚拟机磁盘镜像实时监控会逐个检查文件内容你打开一个包含海量小文件的工程目录比如前端的 node_modules、代码仓库的 .git 目录Defender 会对每个新出现的文件都做一次检查某些软件安装包或脚本的行为特征不够明确Defender 可能会在后台做一段时间的进程行为分析。这些都会导致 CPU 和内存短时间内被拉高如果你的硬盘性能一般卡顿感会更明显。1.2 关键认知你的目标不是干掉保安而是让保安别乱加班很多人第一反应是直接把 Windows Defender 关掉或者把实时保护永久关闭。说实话如果你机器上没有安装任何第三方杀毒软件这种做法等于让系统裸奔。我见过几台机器为了压这个进程的占用把 Defender 和防火墙相关设置全改了结果没过几天就中了一堆弹窗广告和捆绑软件最后又用第三方清理工具折腾半天。更麻烦的是Defender 自带篡改保护你试图关闭它的时候系统会提示操作被阻止于是有人又去关闭篡改保护这一步就把系统最后的防护底线也拆了。所以这篇文章的优化思路不是关闭防护而是通过合理的调度和配置让 Defender 只在合适的时间、合适的范围内干活平时不去打扰你。请先记住这个前提后面所有操作都是围绕限制它的活动范围和降低它的活动强度来做的不是围绕把它干掉。1.3 动手之前先做基线判断到底是异常占用还是正常扫描在优化之前我建议先做一次 3 分钟的观察。打开任务管理器切到性能页把 CPU 和内存的使用曲线拉出来看三分钟再切回进程页找到 Antimalware Service Executable查看它的 CPU 和内存峰值出现在哪些时刻。如果开机之后第一次全盘扫描持续 20~60 分钟期间占用高是正常的你不用管它等扫描跑完自然会降下来。如果空闲状态下一小时还不回落或者持续保持在 20% CPU 以上那才说明有问题需要进入下一步优化。你还可以用系统自带的资源监视器来看这个进程具体在读哪些文件。按WinR输入resmon打开资源监视器在进程里勾选 Antimalware Service Executable展开磁盘选项卡就能看到它正在读取的路径。这一步很关键因为如果你发现它总是在读某个特定目录后面配置排除项的时候就有依据了不是凭感觉猜。2. 四条优化手段把扫描狂魔调教成定时上班2.1 给可信的大型目录添加扫描排除第一条也是最直接的优化手段把你确定可信的大型工作目录加入 Defender 的排除项。打开 Windows 安全中心进入病毒和威胁防护点击病毒和威胁防护设置下的管理设置滚动到排除项选择添加或删除排除项。建议优先排除这些类型的目录自己开发的源代码目录尤其是包含 node_modules、.git、build 输出这类海量小文件的地方虚拟机软件存放磁盘文件和快照的目录比如D:\VM虚拟磁盘文件单个就好几个 GB扫描它们极其耗时存放大型影音素材、设计素材的目录你确定来源可靠的游戏安装目录。要特别注意排除之后该目录内的文件不再被实时防护扫描万一里面混入恶意程序系统不会主动报警。所以只排除你确定可信的目录不要图省事把整个 C 盘或整个 D 盘都排除。打个比方这相当于给保安发了一张这几个仓库不用巡视的通行证但前提是仓库管理员自己得保证里面没有危险品。我在实际配置时通常会先想清楚这个目录里的文件我是不是已经从可信渠道拿到如果是再排除。还有一个细节Defender 的排除项是分类型的可以选择排除文件、文件夹、文件类型或进程。如果你是开发人员还可以把编译器、包管理器这类高频执行进程加入进程排除但个人不建议普通用户这样操作容易过度放宽防护。2.2 把计划扫描改到空闲时段Defender 默认可能会在你正用电脑的时候偷偷跑快速扫描这时候 CPU 和磁盘占用就会突然飙升。你可以通过任务计划程序把计划扫描调整到不打扰自己的时间。按WinR输入taskschd.msc打开任务计划程序依次展开任务计划程序库 - Microsoft - Windows - Windows Defender找到名为Windows Defender Scheduled Scan的任务右键编辑它的触发器把时间设置成凌晨 2 点到 4 点之间并勾选如果任务运行时间超过以下时间停止任务比如 2 小时。如果设备在计划时间内处于睡眠或关机状态任务可能会被错过。你可以在任务的条件选项卡里取消勾选只有在计算机使用交流电源时才启动此任务如果是台式机或者勾选唤醒计算机以运行此任务。不过要注意计划扫描期间如果电脑正在被使用Defender 会降低自身的进程优先级但你仍可能感受到轻微卡顿所以尽量把它安排在完全没人的时段。2.3 用 PowerShell 限制扫描 CPU 负载和档案扫描前面两步是避开这一步是限流。以管理员身份打开 PowerShell执行下面这条命令一次性设置扫描负载、禁用压缩包扫描、并补上排除目录Set-MpPreference -ScanAvgCPULoadFactor 20 -DisableArchiveScanning $true -ExclusionPath D:\Code,D:\VM简单解释一下参数含义。ScanAvgCPULoadFactor是 Defender 扫描时平均 CPU 负载的上限默认值通常是 50我把系统里的机器统一调成 20 之后扫描时明显没那么抢 CPU 了代价是扫描时间会变长。DisableArchiveScanning设为$true表示不扫描压缩包zip、rar、cab 这类压缩包本身不能直接运行恶意代码等你解压的时候实时防护依然会检查所以关闭影响不大。如果你之后想看看当前配置是否生效可以执行Get-MpPreference | Select-Object ExclusionPath, ScanAvgCPULoadFactor, DisableArchiveScanning, DisableRealtimeMonitoring输出结果里能看到你设置的路径和参数。如果之前没有在安全中心界面添加排除项这一步里的ExclusionPath就能顺手补上。我这里把排除目录直接写到一条命令里就是为了避免多次执行Set-MpPreference -ExclusionPath时出现覆盖前面设置的情况。2.4 实时保护的其他细节与临时关闭的正确姿势除了上面三个手段还有几个容易被忽略的配置。在 Windows 安全中心的病毒和威胁防护设置页面可以看到实时保护开关。如果你正在做一次性的大文件拷贝、大批量解压可以临时关掉五分钟处理完马上打开。系统会提示你实时保护已关闭你的设备可能面临风险这是正常提醒。但如果你试图永久关闭系统自带的篡改保护会直接拦截很多优化工具就是在这里翻车的——它们强行改注册表把篡改保护也关了结果 Defender 彻底失去自我修复能力后面想恢复都难。如果你确实需要临时关闭实时保护再配合命令行操作可以用 PowerShellSet-MpPreference -DisableRealtimeMonitoring $true用完立刻恢复Set-MpPreference -DisableRealtimeMonitoring $false注意这个操作只建议在隔离环境或你知道自己在做什么的情况下用普通用户最好始终让实时保护保持开启。我的经验是做完排除、计划扫描和 CPU 负载限制这三件事之后绝大部分机器就不需要碰实时保护开关了所以别把它当成常规优化步骤。3. 组策略是精准控制的正路但家庭版用户别直接敲 gpedit3.1 组策略能做什么为什么有人说它能根治组策略编辑器gpedit.msc是 Windows 专业版以上版本自带的管理工具它可以把系统的很多配置集中管理起来其中就包括 Windows Defender 的详细策略。在组策略里你可以指定扫描期间 CPU 使用率的最大百分比、设置排除路径、配置计划扫描时间、关闭实时保护或者禁止用户修改某些安全设置。因为这些策略是系统层面的优先级比安全中心的普通设置更高所以很多人叫它根治方案。举个例子在专业版里进入计算机配置 - 管理模板 - Windows 组件 - Windows Defender 防病毒 - 扫描你能看到指定扫描期间 CPU 使用率的最大百分比这个策略直接改成 10% 或 20%效果比 PowerShell 更稳定因为系统会持续强制这个值。组策略里还有配置排除路径的选项可以把第 2 节的排除项固化成策略避免以后被安全中心的某些重置操作清掉。这正是很多人折腾组策略的原因。3.2 家庭版缺的不是 gpedit.exe而是整套组策略组件问题来了Windows 10 家庭版默认没有 gpedit.msc。很多人在运行框里输入gpedit.msc会看到Windows 找不到 gpedit.msc于是以为只要补一个 gpedit.exe 文件就能解决。这恰恰是最大的误解。家庭版缺的不是那一个 exe而是整套组策略管理组件包括 MMC 管理单元、策略定义模板ADMX、本地安全机构接口以及相关的系统服务。这些是一套东西光补一个文件双击后照样会报错。你可以理解为专业版的组策略是一整套控制面板家庭版只给你留了一个遥控器壳但里面的芯片、天线、电源全被拿掉了。你往壳里塞一块石头它当然没法工作。所以我的判断标准是先看系统版本如果在设置 - 系统 - 关于里看到的是家庭版就不要浪费时间折腾 gpedit.msc 了。3.3 避坑gpedit 恢复包和一键启用脚本为什么容易翻车网上流传的家庭版启用 gpedit方案通常是有人从专业版系统里提取文件打包成恢复包或一键脚本分发给家庭版用户。表面看有一部分人确实成功了但随之而来的问题往往比收益更大。首先是版本不匹配。Windows 10 的每个大版本、每个语言包、每次累积更新之后系统文件版本号都不一样。你从某个版本的专业版里提取的文件放到另一个版本的家庭版里运气好能打开运气不好直接报错。其次是系统组件损坏。这些文件属于受保护的系统组件强行用脚本覆盖或注册会污染系统的组件存储区导致后续sfc /scannow检测出错、Windows 更新失败甚至出现反复要求修复的循环。更严重的是安全性。很多脚本在启用组策略的过程中顺手就把 Windows Defender 的篡改保护给关了或者把服务改成了手动启动。这等于把保安打晕然后自己接管大门。一旦后来又安装了什么来路不明的软件系统根本没有防御能力。我自己处理过不止一次这类问题最后只能通过系统还原来恢复而有些脚本还会先把还原点清理掉真是修到崩溃。所以这一节最想提醒的就是远离来路不明的 gpedit 恢复包这不是优化这是在给系统埋雷。4. 家庭版启用组策略的几条路线怎么选才不后悔虽然我不建议普通用户在家庭版上强行启用组策略但如果你确实有需要可以了解下面几条路线以及各自的风险心里有个数。4.1 路线一手动找匹配版本的可选功能包仅部分版本可用在较新的 Windows 10 版本里部分系统镜像或在线源可能包含类似 Group Policy Client Extensions 的可选功能。你可以用管理员命令提示符先看一眼dism /online /get-capabilities | findstr /i GroupPolicy如果输出结果里能看到GroupPolicy.ClientExtensions这一类名称理论上可以用dism /online /add-capability加上后面的能力名来完成安装。但现实是家庭版里大部分情况下根本看不到这条功能名强行从 Windows 镜像里的累积更新包或者第三方资源里找 CAB 来装又会因为版本不匹配而失败。即便你能找到匹配的包也强烈建议先做系统备份再在虚拟机里试一次。这条路只对极少数版本可行只适合有时间折腾的玩家普通用户不建议走。4.2 路线二从专业版提取文件手动补齐风险极高不建议另一种流传很广的做法是从专业版里把gpedit.msc、相关 DLL、PolicyDefinitions目录等拷贝到家庭版然后注册 DLL。很多教程写得很简单好像复制粘贴就能成功但实际操作中你会遇到几个坎系统权限不足必须拿到 TrustedInstaller 权限才能覆盖系统文件而这个提权过程本身就容易被杀毒软件拦截文件版本和当前系统不一致组策略编辑器即使能打开策略项也会加载失败强行注册的 DLL 很可能被系统识别为异常之后每次更新都在报错。我的观点是千万别拿自己的主力机当试验场。如果你真的好奇想看看过程可以在虚拟机里拍个快照再试但不要指望用它来解决日常卡顿问题。这个方向的风险远大于收益也是我踩过坑之后想反复强调的。4.3 路线三升级到专业版或企业版最省心的正路如果你对组策略管理的需求很强比如需要在系统层面统一配置 Defender 扫描策略或者你是给多台机器做标准化部署那么最稳妥的方案就是升级系统版本。在设置 - 系统 - 激活里可以更改产品密钥从家庭版升级到专业版之后组策略编辑器原生可用不需要任何额外操作。有人觉得升级要花钱但换个角度想你花两个多小时去折腾恢复包还不一定能成功最后系统可能被打补丁打坏升级之后以后重装系统、大版本更新都不用再折腾一次。这笔账怎么算都划算。更何况组策略只是管理入口升级之后你仍然可以用前面说的 PowerShell 方式两者完全可以结合使用。4.4 路线四不启用组策略用 PowerShell 达到 80% 效果最后一条路其实是最实在的你根本不一定需要组策略。回到最初的目标——你需要降低 Antimalware Service Executable 的 CPU 和内存占用。那么Set-MpPreference里的ScanAvgCPULoadFactor、ExclusionPath、DisableArchiveScanning这些参数已经覆盖了大部分需求只不过它们没有图形界面看起来不那么系统级而已。甚至注册表方向也不是不行但我真不建议普通人去改HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender下的键值。Defender 自带自我保护普通权限根本改不了关键键值而且注册表直接改的策略经常有启用、停用、未配置三种状态搞错了会让安全中心显示异常反而不如 PowerShell 命令直观可控。所以对家庭版用户来说真正的避坑指南就是先判断自己是不是真的需要 gpedit如果只是为了限制 Defender 占用PowerShell 方案已经够用如果确实需要完整的组策略管理升级系统版本比任何破解式启用都安全。5. 优化完成后请按照这套标准检查一遍5.1 三项验证占用、排除项、实时保护状态优化不是跑几条命令就完事的最后一定要验证。我会按下面这个顺序检查在任务管理器里观察 24 小时内的 CPU 峰值确认空闲状态下的占用是否已经降下来打开 Windows 安全中心确认实时保护仍然开启除非你只是临时关闭并且现在已经恢复用 PowerShell 执行Get-MpPreference确认ExclusionPath、ScanAvgCPULoadFactor、DisableArchiveScanning都已经生效故意在排除目录里放一个临时文件确认不会触发任何扫描提示如果不放心可以放一个压缩包测试。如果Get-MpPreference输出里没有你设置的排除路径回到安全中心排除项页面重新添加一次然后再检查。很多时候是界面添加和 PowerShell 添加之间没有同步两边都用 PowerShell 统一设置反而更省事。5.2 这套组合拳的实测体感仅供参考我在不同配置的笔记本和台式机上按上面这套方案做下来效果大致是这样优化前的空闲状态CPU 经常被拉到 30%~50% 并持续半小时以上内存占用超过 300MB风扇呼呼转优化之后空闲状态 CPU 基本在 1%~3% 波动内存稳定在 150~250MB计划扫描时段之外几乎感觉不到它的存在。注意这不是严谨的实验室数据每台机器的硬件、硬盘类型、后台软件、Defender 版本都不一样你的实际数字会有出入。你只需要看趋势不用追求和某个具体数值一模一样。如果优化后仍然长时间高占用别急着怀疑方法本身先想想是不是存在恶意软件在反复触发扫描这种情况建议用系统自带的 Defender 脱机扫描或第三方专杀工具查一次。5.3 大版本更新后需要复查什么Windows 10 每年都会有大版本更新更新之后 Defender 的引擎版本也会跟着升级。大多数情况下你配置的排除项和计划任务都会保留但偶尔会出现策略失效的情况尤其是如果你用过第三方 Defender 管理工具更新后很可能把它们重置掉。我的习惯是把Get-MpPreference的输出保存成一个文本文件每次系统更新后对比一眼看看ExclusionPath和ScanAvgCPULoadFactor有没有被改回去。如果某天电脑又莫名卡顿先打开安全中心看病毒和威胁防护设置页面如果出现黄色警告说实时保护已关闭或其他安全提供程序已打开说明某个配置被系统或第三方软件改了这时候先恢复安全中心设置再从源头排查。5.4 最后分享一个习惯我不建议任何普通用户把 Defender 彻底禁用。我知道很多优化教程会教你把 Windows 安全中心的服务关掉换来极致的流畅但那是拿系统安全换来的。对于大多数人来说安全中心那点内存占用远比中一次毒之后恢复数据的代价小。所以我的默认建议始终是先排除可信目录再限制扫描负载最后调整扫描时间。这三件事做完Antimalware Service Executable 基本就不会打扰你了。如果你真的在极低配置的老笔记本上跑 Windows 10可以考虑安装一款轻量级第三方杀毒作为替代然后再选择性地关闭 Defender 的部分功能。注意是有选择地关闭不是连自保护一起破坏。需要调整的时候能用 PowerShell 和官方设置就尽量别碰那些一键脚本。组策略这块能不动就不动动了也要在系统还原点或虚拟机快照的保护下做。这篇文章里所有涉及系统配置的操作我都建议你先建一个还原点再动手。别嫌麻烦五分钟的事关键时刻能省下你重新配置系统的大半天。 
长河君 · 2026/10/23 3:43:29 · 阅读 1.2k Antimalware高占用？从进程原理到PowerShell优化全指南
你是不是也遇到过这种情况电脑没开几个程序风扇却转得飞起打开任务管理器一看占着 CPU 和内存的全是 Antimalware Service Executable。很多人第一反应是中毒了其实这是 Windows 10 自带杀毒程序的核心进程平时它默默干活但在某些场景下会突然蹿到 30%、50% 甚至更高把整台机器拖得卡顿。这篇文章不讲虚的先把进程是怎么回事说清楚再给出一套我自己反复试过有效的优化步骤最后专门说说让很多人翻车的家庭版组策略问题——毕竟在家庭版里想通过组策略来配置杀毒扫描有几个坑几乎没人提醒。适合被这台杀毒进程困扰、又不想裸奔关防护的普通用户和 IT 运维参考。1. 先认清进程Antimalware Service Executable 不是病毒但也别放任不管1.1 任务管理器里那个黑户到底是什么Antimalware Service Executable 对应的不是独立软件而是 Windows 10 自带的 Windows Defender现在界面里叫 Microsoft Defender 防病毒的扫描引擎进程真正的程序名是 MsMpEng.exe。它负责实时文件监控、下载文件扫描、计划扫描、威胁处理以及行为分析说白了就是系统自带安全中心里的那个保安的办事员。任务管理器里显示为 Antimalware Service Executable进程路径通常在C:\ProgramData\Microsoft\Windows Defender\platform\版本\MsMpEng.exe你不需要去动这个文件只要知道它不是病毒就行。为什么它经常高占用常见触发场景有这么几类刚装完系统或病毒库刚更新完Defender 会主动做一次快速扫描甚至全盘扫描你下载了大型的 ISO、压缩包、虚拟机磁盘镜像实时监控会逐个检查文件内容你打开一个包含海量小文件的工程目录比如前端的 node_modules、代码仓库的 .git 目录Defender 会对每个新出现的文件都做一次检查某些软件安装包或脚本的行为特征不够明确Defender 可能会在后台做一段时间的进程行为分析。这些都会导致 CPU 和内存短时间内被拉高如果你的硬盘性能一般卡顿感会更明显。1.2 关键认知你的目标不是干掉保安而是让保安别乱加班很多人第一反应是直接把 Windows Defender 关掉或者把实时保护永久关闭。说实话如果你机器上没有安装任何第三方杀毒软件这种做法等于让系统裸奔。我见过几台机器为了压这个进程的占用把 Defender 和防火墙相关设置全改了结果没过几天就中了一堆弹窗广告和捆绑软件最后又用第三方清理工具折腾半天。更麻烦的是Defender 自带篡改保护你试图关闭它的时候系统会提示操作被阻止于是有人又去关闭篡改保护这一步就把系统最后的防护底线也拆了。所以这篇文章的优化思路不是关闭防护而是通过合理的调度和配置让 Defender 只在合适的时间、合适的范围内干活平时不去打扰你。请先记住这个前提后面所有操作都是围绕限制它的活动范围和降低它的活动强度来做的不是围绕把它干掉。1.3 动手之前先做基线判断到底是异常占用还是正常扫描在优化之前我建议先做一次 3 分钟的观察。打开任务管理器切到性能页把 CPU 和内存的使用曲线拉出来看三分钟再切回进程页找到 Antimalware Service Executable查看它的 CPU 和内存峰值出现在哪些时刻。如果开机之后第一次全盘扫描持续 20~60 分钟期间占用高是正常的你不用管它等扫描跑完自然会降下来。如果空闲状态下一小时还不回落或者持续保持在 20% CPU 以上那才说明有问题需要进入下一步优化。你还可以用系统自带的资源监视器来看这个进程具体在读哪些文件。按WinR输入resmon打开资源监视器在进程里勾选 Antimalware Service Executable展开磁盘选项卡就能看到它正在读取的路径。这一步很关键因为如果你发现它总是在读某个特定目录后面配置排除项的时候就有依据了不是凭感觉猜。2. 四条优化手段把扫描狂魔调教成定时上班2.1 给可信的大型目录添加扫描排除第一条也是最直接的优化手段把你确定可信的大型工作目录加入 Defender 的排除项。打开 Windows 安全中心进入病毒和威胁防护点击病毒和威胁防护设置下的管理设置滚动到排除项选择添加或删除排除项。建议优先排除这些类型的目录自己开发的源代码目录尤其是包含 node_modules、.git、build 输出这类海量小文件的地方虚拟机软件存放磁盘文件和快照的目录比如D:\VM虚拟磁盘文件单个就好几个 GB扫描它们极其耗时存放大型影音素材、设计素材的目录你确定来源可靠的游戏安装目录。要特别注意排除之后该目录内的文件不再被实时防护扫描万一里面混入恶意程序系统不会主动报警。所以只排除你确定可信的目录不要图省事把整个 C 盘或整个 D 盘都排除。打个比方这相当于给保安发了一张这几个仓库不用巡视的通行证但前提是仓库管理员自己得保证里面没有危险品。我在实际配置时通常会先想清楚这个目录里的文件我是不是已经从可信渠道拿到如果是再排除。还有一个细节Defender 的排除项是分类型的可以选择排除文件、文件夹、文件类型或进程。如果你是开发人员还可以把编译器、包管理器这类高频执行进程加入进程排除但个人不建议普通用户这样操作容易过度放宽防护。2.2 把计划扫描改到空闲时段Defender 默认可能会在你正用电脑的时候偷偷跑快速扫描这时候 CPU 和磁盘占用就会突然飙升。你可以通过任务计划程序把计划扫描调整到不打扰自己的时间。按WinR输入taskschd.msc打开任务计划程序依次展开任务计划程序库 - Microsoft - Windows - Windows Defender找到名为Windows Defender Scheduled Scan的任务右键编辑它的触发器把时间设置成凌晨 2 点到 4 点之间并勾选如果任务运行时间超过以下时间停止任务比如 2 小时。如果设备在计划时间内处于睡眠或关机状态任务可能会被错过。你可以在任务的条件选项卡里取消勾选只有在计算机使用交流电源时才启动此任务如果是台式机或者勾选唤醒计算机以运行此任务。不过要注意计划扫描期间如果电脑正在被使用Defender 会降低自身的进程优先级但你仍可能感受到轻微卡顿所以尽量把它安排在完全没人的时段。2.3 用 PowerShell 限制扫描 CPU 负载和档案扫描前面两步是避开这一步是限流。以管理员身份打开 PowerShell执行下面这条命令一次性设置扫描负载、禁用压缩包扫描、并补上排除目录Set-MpPreference -ScanAvgCPULoadFactor 20 -DisableArchiveScanning $true -ExclusionPath D:\Code,D:\VM简单解释一下参数含义。ScanAvgCPULoadFactor是 Defender 扫描时平均 CPU 负载的上限默认值通常是 50我把系统里的机器统一调成 20 之后扫描时明显没那么抢 CPU 了代价是扫描时间会变长。DisableArchiveScanning设为$true表示不扫描压缩包zip、rar、cab 这类压缩包本身不能直接运行恶意代码等你解压的时候实时防护依然会检查所以关闭影响不大。如果你之后想看看当前配置是否生效可以执行Get-MpPreference | Select-Object ExclusionPath, ScanAvgCPULoadFactor, DisableArchiveScanning, DisableRealtimeMonitoring输出结果里能看到你设置的路径和参数。如果之前没有在安全中心界面添加排除项这一步里的ExclusionPath就能顺手补上。我这里把排除目录直接写到一条命令里就是为了避免多次执行Set-MpPreference -ExclusionPath时出现覆盖前面设置的情况。2.4 实时保护的其他细节与临时关闭的正确姿势除了上面三个手段还有几个容易被忽略的配置。在 Windows 安全中心的病毒和威胁防护设置页面可以看到实时保护开关。如果你正在做一次性的大文件拷贝、大批量解压可以临时关掉五分钟处理完马上打开。系统会提示你实时保护已关闭你的设备可能面临风险这是正常提醒。但如果你试图永久关闭系统自带的篡改保护会直接拦截很多优化工具就是在这里翻车的——它们强行改注册表把篡改保护也关了结果 Defender 彻底失去自我修复能力后面想恢复都难。如果你确实需要临时关闭实时保护再配合命令行操作可以用 PowerShellSet-MpPreference -DisableRealtimeMonitoring $true用完立刻恢复Set-MpPreference -DisableRealtimeMonitoring $false注意这个操作只建议在隔离环境或你知道自己在做什么的情况下用普通用户最好始终让实时保护保持开启。我的经验是做完排除、计划扫描和 CPU 负载限制这三件事之后绝大部分机器就不需要碰实时保护开关了所以别把它当成常规优化步骤。3. 组策略是精准控制的正路但家庭版用户别直接敲 gpedit3.1 组策略能做什么为什么有人说它能根治组策略编辑器gpedit.msc是 Windows 专业版以上版本自带的管理工具它可以把系统的很多配置集中管理起来其中就包括 Windows Defender 的详细策略。在组策略里你可以指定扫描期间 CPU 使用率的最大百分比、设置排除路径、配置计划扫描时间、关闭实时保护或者禁止用户修改某些安全设置。因为这些策略是系统层面的优先级比安全中心的普通设置更高所以很多人叫它根治方案。举个例子在专业版里进入计算机配置 - 管理模板 - Windows 组件 - Windows Defender 防病毒 - 扫描你能看到指定扫描期间 CPU 使用率的最大百分比这个策略直接改成 10% 或 20%效果比 PowerShell 更稳定因为系统会持续强制这个值。组策略里还有配置排除路径的选项可以把第 2 节的排除项固化成策略避免以后被安全中心的某些重置操作清掉。这正是很多人折腾组策略的原因。3.2 家庭版缺的不是 gpedit.exe而是整套组策略组件问题来了Windows 10 家庭版默认没有 gpedit.msc。很多人在运行框里输入gpedit.msc会看到Windows 找不到 gpedit.msc于是以为只要补一个 gpedit.exe 文件就能解决。这恰恰是最大的误解。家庭版缺的不是那一个 exe而是整套组策略管理组件包括 MMC 管理单元、策略定义模板ADMX、本地安全机构接口以及相关的系统服务。这些是一套东西光补一个文件双击后照样会报错。你可以理解为专业版的组策略是一整套控制面板家庭版只给你留了一个遥控器壳但里面的芯片、天线、电源全被拿掉了。你往壳里塞一块石头它当然没法工作。所以我的判断标准是先看系统版本如果在设置 - 系统 - 关于里看到的是家庭版就不要浪费时间折腾 gpedit.msc 了。3.3 避坑gpedit 恢复包和一键启用脚本为什么容易翻车网上流传的家庭版启用 gpedit方案通常是有人从专业版系统里提取文件打包成恢复包或一键脚本分发给家庭版用户。表面看有一部分人确实成功了但随之而来的问题往往比收益更大。首先是版本不匹配。Windows 10 的每个大版本、每个语言包、每次累积更新之后系统文件版本号都不一样。你从某个版本的专业版里提取的文件放到另一个版本的家庭版里运气好能打开运气不好直接报错。其次是系统组件损坏。这些文件属于受保护的系统组件强行用脚本覆盖或注册会污染系统的组件存储区导致后续sfc /scannow检测出错、Windows 更新失败甚至出现反复要求修复的循环。更严重的是安全性。很多脚本在启用组策略的过程中顺手就把 Windows Defender 的篡改保护给关了或者把服务改成了手动启动。这等于把保安打晕然后自己接管大门。一旦后来又安装了什么来路不明的软件系统根本没有防御能力。我自己处理过不止一次这类问题最后只能通过系统还原来恢复而有些脚本还会先把还原点清理掉真是修到崩溃。所以这一节最想提醒的就是远离来路不明的 gpedit 恢复包这不是优化这是在给系统埋雷。4. 家庭版启用组策略的几条路线怎么选才不后悔虽然我不建议普通用户在家庭版上强行启用组策略但如果你确实有需要可以了解下面几条路线以及各自的风险心里有个数。4.1 路线一手动找匹配版本的可选功能包仅部分版本可用在较新的 Windows 10 版本里部分系统镜像或在线源可能包含类似 Group Policy Client Extensions 的可选功能。你可以用管理员命令提示符先看一眼dism /online /get-capabilities | findstr /i GroupPolicy如果输出结果里能看到GroupPolicy.ClientExtensions这一类名称理论上可以用dism /online /add-capability加上后面的能力名来完成安装。但现实是家庭版里大部分情况下根本看不到这条功能名强行从 Windows 镜像里的累积更新包或者第三方资源里找 CAB 来装又会因为版本不匹配而失败。即便你能找到匹配的包也强烈建议先做系统备份再在虚拟机里试一次。这条路只对极少数版本可行只适合有时间折腾的玩家普通用户不建议走。4.2 路线二从专业版提取文件手动补齐风险极高不建议另一种流传很广的做法是从专业版里把gpedit.msc、相关 DLL、PolicyDefinitions目录等拷贝到家庭版然后注册 DLL。很多教程写得很简单好像复制粘贴就能成功但实际操作中你会遇到几个坎系统权限不足必须拿到 TrustedInstaller 权限才能覆盖系统文件而这个提权过程本身就容易被杀毒软件拦截文件版本和当前系统不一致组策略编辑器即使能打开策略项也会加载失败强行注册的 DLL 很可能被系统识别为异常之后每次更新都在报错。我的观点是千万别拿自己的主力机当试验场。如果你真的好奇想看看过程可以在虚拟机里拍个快照再试但不要指望用它来解决日常卡顿问题。这个方向的风险远大于收益也是我踩过坑之后想反复强调的。4.3 路线三升级到专业版或企业版最省心的正路如果你对组策略管理的需求很强比如需要在系统层面统一配置 Defender 扫描策略或者你是给多台机器做标准化部署那么最稳妥的方案就是升级系统版本。在设置 - 系统 - 激活里可以更改产品密钥从家庭版升级到专业版之后组策略编辑器原生可用不需要任何额外操作。有人觉得升级要花钱但换个角度想你花两个多小时去折腾恢复包还不一定能成功最后系统可能被打补丁打坏升级之后以后重装系统、大版本更新都不用再折腾一次。这笔账怎么算都划算。更何况组策略只是管理入口升级之后你仍然可以用前面说的 PowerShell 方式两者完全可以结合使用。4.4 路线四不启用组策略用 PowerShell 达到 80% 效果最后一条路其实是最实在的你根本不一定需要组策略。回到最初的目标——你需要降低 Antimalware Service Executable 的 CPU 和内存占用。那么Set-MpPreference里的ScanAvgCPULoadFactor、ExclusionPath、DisableArchiveScanning这些参数已经覆盖了大部分需求只不过它们没有图形界面看起来不那么系统级而已。甚至注册表方向也不是不行但我真不建议普通人去改HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender下的键值。Defender 自带自我保护普通权限根本改不了关键键值而且注册表直接改的策略经常有启用、停用、未配置三种状态搞错了会让安全中心显示异常反而不如 PowerShell 命令直观可控。所以对家庭版用户来说真正的避坑指南就是先判断自己是不是真的需要 gpedit如果只是为了限制 Defender 占用PowerShell 方案已经够用如果确实需要完整的组策略管理升级系统版本比任何破解式启用都安全。5. 优化完成后请按照这套标准检查一遍5.1 三项验证占用、排除项、实时保护状态优化不是跑几条命令就完事的最后一定要验证。我会按下面这个顺序检查在任务管理器里观察 24 小时内的 CPU 峰值确认空闲状态下的占用是否已经降下来打开 Windows 安全中心确认实时保护仍然开启除非你只是临时关闭并且现在已经恢复用 PowerShell 执行Get-MpPreference确认ExclusionPath、ScanAvgCPULoadFactor、DisableArchiveScanning都已经生效故意在排除目录里放一个临时文件确认不会触发任何扫描提示如果不放心可以放一个压缩包测试。如果Get-MpPreference输出里没有你设置的排除路径回到安全中心排除项页面重新添加一次然后再检查。很多时候是界面添加和 PowerShell 添加之间没有同步两边都用 PowerShell 统一设置反而更省事。5.2 这套组合拳的实测体感仅供参考我在不同配置的笔记本和台式机上按上面这套方案做下来效果大致是这样优化前的空闲状态CPU 经常被拉到 30%~50% 并持续半小时以上内存占用超过 300MB风扇呼呼转优化之后空闲状态 CPU 基本在 1%~3% 波动内存稳定在 150~250MB计划扫描时段之外几乎感觉不到它的存在。注意这不是严谨的实验室数据每台机器的硬件、硬盘类型、后台软件、Defender 版本都不一样你的实际数字会有出入。你只需要看趋势不用追求和某个具体数值一模一样。如果优化后仍然长时间高占用别急着怀疑方法本身先想想是不是存在恶意软件在反复触发扫描这种情况建议用系统自带的 Defender 脱机扫描或第三方专杀工具查一次。5.3 大版本更新后需要复查什么Windows 10 每年都会有大版本更新更新之后 Defender 的引擎版本也会跟着升级。大多数情况下你配置的排除项和计划任务都会保留但偶尔会出现策略失效的情况尤其是如果你用过第三方 Defender 管理工具更新后很可能把它们重置掉。我的习惯是把Get-MpPreference的输出保存成一个文本文件每次系统更新后对比一眼看看ExclusionPath和ScanAvgCPULoadFactor有没有被改回去。如果某天电脑又莫名卡顿先打开安全中心看病毒和威胁防护设置页面如果出现黄色警告说实时保护已关闭或其他安全提供程序已打开说明某个配置被系统或第三方软件改了这时候先恢复安全中心设置再从源头排查。5.4 最后分享一个习惯我不建议任何普通用户把 Defender 彻底禁用。我知道很多优化教程会教你把 Windows 安全中心的服务关掉换来极致的流畅但那是拿系统安全换来的。对于大多数人来说安全中心那点内存占用远比中一次毒之后恢复数据的代价小。所以我的默认建议始终是先排除可信目录再限制扫描负载最后调整扫描时间。这三件事做完Antimalware Service Executable 基本就不会打扰你了。如果你真的在极低配置的老笔记本上跑 Windows 10可以考虑安装一款轻量级第三方杀毒作为替代然后再选择性地关闭 Defender 的部分功能。注意是有选择地关闭不是连自保护一起破坏。需要调整的时候能用 PowerShell 和官方设置就尽量别碰那些一键脚本。组策略这块能不动就不动动了也要在系统还原点或虚拟机快照的保护下做。这篇文章里所有涉及系统配置的操作我都建议你先建一个还原点再动手。别嫌麻烦五分钟的事关键时刻能省下你重新配置系统的大半天。