Vigil-SOC/vigil

解决的问题

Vigil 是一个开源的 AI 安全运营中心（SOC），旨在替代“黑箱”式的专有 AI 安全工具。它通过提供一个透明、由用户自主操作的系统，自动化复杂的安全监控、告警分类和事件响应流程。系统逻辑采用可读性强的 Python 编写，剧本（playbooks）为纯文本文件。

工作原理

Vigil 通过三大核心支柱运行：

• 专用 AI 代理：包含 13 个不同类型的代理（如 Triage、Investigator 和 Malware Analyst），负责处理特定安全任务。这些代理使用 Agent SDK 和 Model Context Protocol (MCP) 与外部工具交互。
• 工作流：以 Markdown 文件定义的多代理剧本。一条命令即可触发一系列代理（例如 Triage → Investigator → Responder → Reporter）执行端到端的安全流程。
• 集成：通过 MCP 标准连接 SIEM（Splunk）、EDR（CrowdStrike）、威胁情报源（VirusTotal、Shodan）以及通信平台（Slack、Jira），用于数据收集和执行操作。

适用人群

希望拥有完全自主或半自主 SOC 能力，且无需依赖厂商锁定的专有软件的安全运营团队和分析师。

主要亮点

• 代理式架构：13 个专用代理，可访问 19 个后端工具和 100 多个 MCP 工具。
• 人机协同：内置安全机制，系统会检查成本和置信度阈值，对高风险或高成本操作请求人工审批。
• 开放标准：使用 Model Context Protocol (MCP) 进行集成，使用 Markdown 定义工作流。
• 灵活部署：支持通过 Ollama 使用本地 LLM，支持云服务商（Anthropic、OpenAI），可通过 Docker 或 Kubernetes 部署。