beenuar/AiSOC来源发表:
安全告警不再只靠人翻日志：AiSOC把7023条规则里可执行的2538条跑起来，每一步智能体推理都留痕
核心概要
开源、可自托管的AiSOC把安全遥测归一化后，用其7023条规则库中可执行的2538条规则做检测，把触发的告警聚成事件，再由AI智能体逐条调查并给出处置建议，每个提示词和工具调用都被记录，任何动作都要人批准后才发往厂商。新威胁情报会重新扫过已收集的历史数据。项目给出从安装到智能体结论的单机演示，并说明首次运行需下载约2 GB模型。
深度剖析
安全运营中心的核心流程被放进一个可自托管的开源系统：遥测进入后被归一化、按规则检测、聚成事件，再由AI智能体调查并给出待人工批准的处置建议。 此前这类关联与调查通常由厂商托管的商业平台承担，检测逻辑和智能体的推理过程不对外可见。 项目给出从安装到AI结论的单机演示，并说明演示在一台服务器上针对已发布镜像运行，录像中缩短的终端等待时间在画面上标注。
检测环节运行的是规则库中可执行的那一部分，而不是整个规则库。 规则库共7023条，实际执行的是其中2538条可执行规则。 触发的规则被聚成事件，每个事件交给一个AI智能体调查，其提示词与工具调用全部记录。
系统把新威胁情报回灌到已经采集的历史数据上，并把人放在动作之前。 新情报到达后重新扫过既有历史，而不是只对之后到达的遥测生效。 任何处置动作在送达厂商之前都需要人工批准。
启示与展望
演示范围是一台服务器上针对已发布镜像的单机运行，从安装走到AI结论；首次运行需下载约2 GB模型到卷中，只有make clean会清除。运行环境要求Docker Compose v2、8 GB内存、20 GB空闲磁盘，以及python3 3.9+和bash。
项目自述的演示录像比所用v20.1.0运行的截图更早，二者在同一套规则下取得。示例数据被标注为来自AiSOC，不会载入已有真实告警的租户，也不把安装标记为完成。