安全告警不再只靠人翻日志：AiSOC把7015条规则里可执行的2534条跑成事件，每个AI判断都留痕
核心概要
开源项目AiSOC把安全遥测归一化后，用其7015条规则库中可执行的2534条规则做检测，把触发的告警聚成事件，再交给AI智能体逐条调查并给出处置建议。智能体的每次提示和工具调用都被记录，处置动作须经人工批准才会发往厂商工具。新威胁情报会重新扫描已收集的历史数据，使旧数据在新情报下再次被检查。
深度剖析
安全运营中心的核心流程被装进一个可自托管、开源的系统：遥测接入、规则检测、事件聚合、AI调查与处置建议串成一条链路，人只负责最后批准。 此前的做法是安全工具各自产生告警，由分析人员逐条翻看日志并手工关联；AiSOC把归一化、检测、聚合和调查放在同一套自托管部署里完成。 项目给出的验证方式是 make smoke：向接入接口投递一条真实事件，让它依次经过Kafka、检测、关联和Postgres，再从公开API读回告警，十个阶段逐项报告PASS或FAIL。
AI智能体在调查环节的每一步都可审计，提示和工具调用全部被记录，因此调查结论可以回溯到具体输入与动作。 通常的自动化告警处理只留下最终判定，中间推理不可见；这里把智能体的提示与工具调用一并留存。 这一可审计性针对的是每个事件各自的调查过程，处置建议在到达厂商工具之前仍需人工批准。
新到的威胁情报会重新扫描已经收集的历史数据，使先前采集的遥测在新情报下再次被检查。 常规流程里，情报更新通常只影响此后进入的数据，历史数据需要另行回溯。 该行为被描述为系统内置能力，与规则检测、事件聚合和智能体调查同处一条处理链路。
启示与展望
已展示的范围是一套自托管部署：需要Docker Compose v2、8 GB内存与20 GB空闲磁盘，外加python3 3.9以上和bash，首次运行会下载约2 GB模型到卷中。演示与冒烟测试覆盖从接入到告警读回的链路，以及五个从低到严重级别的样例场景。
公开材料说明的是安装、冒烟测试与演示场景，未报告检测准确率、误报率或与其他安全运营方案的对比结果。样例场景被有意设计为跨越低到严重级别，且不会把租户标记为配置完成。