beenuar/AiSOC

解决的问题

AiSOC 是一个开源、可自托管的 AI 安全运营中心 (SOC)，旨在自动化安全遥测数据的分类与调查。它通过摄取来自各种安全工具的数据、使用大型可执行规则库检测威胁，并利用 AI 代理进行具备完整可审计推理能力的事件调查，从而减轻安全分析师的负担。它确保响应行动皆经过人工审核，防止生产环境中出现自主 AI 错误。

运作方式

AiSOC 作为一个管线运作：遥测数据通过连接器摄取并标准化为通用格式，随后传递至检测引擎，执行数千条可执行规则以产生警报。这些警报会被分组为事件。接着，AI 代理通过读取警报上下文、实体上下文和先前的判断结果，并调用类型化工具进行数据湖查询和丰富化查找，来对这些事件进行分类。代理推理的每一步，包括提示词和工具调用，都会记录在调查账本 (Investigation Ledger) 中以供审计。响应剧本 (Playbooks) 可以被触发，但默认保持在预览模式，执行前需要明确的人工批准。

适用对象

需要一个可自托管、AI 驱动的分类与调查平台，且能维持严格的人工介入控制与 AI 决策完整可审计性的安全运营团队与组织。

特色亮点

• 可审计的 AI 代理：每个提示词、工具调用和判断结果都会记录到签名的证据包中，以供法证审计。
• 广泛的检测库：包含数千条规则，其中超过 2,600 条规则已被证明可针对真实遥测数据执行。
• 广泛的连接性：具备 84 个点击即用的数据连接器，适用于 Splunk、Sentinel、AWS 和 Kubernetes 等工具。
• 本地 LLM 支持：通过 Ollama 内置本地模型 (Llama 3.2 3B) 进行纯 CPU 推理，确保数据隐私与零成本分类。
• 受控响应：响应行动受权限层级限制并需要人工批准，防止未经授权的自主行动。
• 人工介入 (Human-in-the-Loop)：剧本包含持久的批准暂停机制，即使系统重启也能保留状态。