记录牧安平台从 0 到 1 的开发过程，一个待业在家的网安老兵边做边想。

第6期聊完三级架构怎么分、又怎么一个人盯。这期说个具体的活儿，本来只想给告警列表加个「AI 军师」按钮。结果一层叠一层，回头一看——这不成 AISOC 了么。

最开始那步很朴素：告警列表里每条卡片，多一个「AI 分析」按钮。点一下，右侧抽屉拉出结构化研判——这条为啥响、可信度多高、该隔离还是先观察、是不是误报。后端 `ai_client` 把上下文拼成 prompt 扔给模型，强制它吐结构化 JSON，不兴写小作文。`ai_auto_analyze` 开关一开，新告警落库后台线程自己跑分析，不挡嗅探不挡调度。再不济没配模型，走内置启发式兜底，结果标个"兜底"也不阻断主流程。

你是一名资深安全运营分析师（MSSP SOC）。收到一条安全告警及其上下文后，必须以严格 JSON 返回结构化研判，不要任何解释性文字、不要 markdown 代码块。JSON 字段与类型：{  "severity_reassessed": "高危|中危|低危|误报",  "confidence": 0.0,  "risk_summary": "字符串，2-4句话风险研判",  "attack_chain": ["时间 动作", "..."],  "recommended_actions": ["处置建议", "..."],  "related_alerts": [告警id整数, "..."],  "mitre": ["Txxxx", "..."],  "whitelist_suggestions": [{"ip":"1.2.3.4","reason":"周期性内部扫描源，长期无后续恶意行为","rule_type":"scan"}]}rule_type 只能取以下之一：scan / brute / sensitive_access / exfil / pii / db_audit。仅在确有把握该源为误报或授权业务流量时才给出 whitelist_suggestions，避免把真实攻击加白。

这套跑顺了，我一度觉得"齐活"。直到有天翻日志，看见同一个资产 `192.168.58.x` 在十分钟里被刷了三十多条告警——端口扫描、异常外连、核心文件改动……我盯着那串红点，突然意识到：这**不是三十个问题，是一件"事"**。

告警是原始信号，人是能逐条点「AI 分析」了，可三十条凑一块儿，你还是不知道"现在到底正在经历什么"。AI 帮我看了每棵树，但没帮我看森林。

森林这层，按架构该落在二级平台（客户侧）。逻辑顺理成章：L3 探针吐的是零散告警，L2 把它按"同一资产 + 时间窗"聚合成**事件**，然后——让 AI 研判的不再是某条告警，而是这件**聚合后的事件**。

但是有个问题，之前提到过，有的客户只买L3，不买L2。咋整。

那我就在L3上也做一个归并成事件的功能，同样给它配上AI分析的功能。

大模型调用成功，显示大模型分析结果：

大模型调用失败，调用启发式兜底，回复相关建议：

事件太多，看不过来怎么办，加了一个24点自动复盘，然后在"最近动态"展示：🤖 AI 复盘 · X月X日24点 AI 复盘 · 共 N 条告警。点击弹详情：等级分布徽章 + AI 整体研判原文 + 建议加白清单（IP/原因/类型）。

三级 AI 研判链：L3 告警 → L2 事件 → L1 跨客户，每一级都能独立用AI。

L3 午夜 → L2 02:00 → L1 04:00，数据逐级汇聚后再复盘，时间窗严格延迟，保证上游复盘已落库。

我把这三层摆一块儿才反应过来：

每一层 AI 的上下文都比下一层多一截：探针原始信号 → 客户内多告警+资产关联 → 跨客户情报。越往上越宏观。而且严重度驱动着 AI 注意力收敛——全量事件都上 L1 做统计（便宜），但只有高危危急才在 L1 触发 AI（贵，且人工触发）。

这不正是一个 **AI 辅助的安全运营中心**么？AI 不是某个功能，是顺着数据往上一层、再往上一层，自然长出来的骨架。我压根没立项说"我要做个 AISOC"，就是每层都觉得"上一层产出的东西，这层该再让 AI 帮我想想"，叠着叠着就成型了。

在加上两条自动链路：新告警异步分析 + 每日复盘写白名单，那就更AI了。

这套三级 AI，跟前面几期一样：规划、任务书、派工、联调结论，全是 workbuddy 出的。L1 用码道、L2 用 qcalw、L3 我自己在 workbuddy 里写。三套 `ai_client.py`（L1/L2/L3 各一份，各自独立配置 base_url/key/model，不互相绑），三张新表（`events` / `event_ai_analysis` / `config`），外加 L2 那个 5 分钟 daemon 和每天的午夜复盘。

现在三级平台各自的规划书都已经出来了，而且L3的AI功能已经基本完成了。后面先不能三驾马车一块跑了，因为得逐个把数据上传的环节打通之后，才能逐级开发测试L2和L1的AI功能。

干着干着，AISOC的结构就这么搓出来了。看看后面要花多长时间才能把所有功能都搓完吧。

下期聊聊一些悦己的东西——做一块一眼看懂的态势大屏。

本系列记录牧安平台从 0 到 1 的开发过程，一个待业在家的网安老兵边做边想。

 《定了三级架构，可只有我一个人盯》

；下期预告：《做个悦己的态势大屏》。

AI开发牧安 · 第7期 干着干着，搓了一个AISOC

这期说个具体的活儿，本来只想给告警列表加个「AI 军师」按钮。结果一层叠一层，回头一看——这不成 AISOC 了么。

人工智能

安全

职业发展

牧安平台开发日记：从单条告警AI分析到三级AISOC架构演进。通过L3告警级、L2事件级、L1态势级AI研判链，实现安全信号逐层聚合分析。包含自动异步分析、24点复盘、错峰触发等机制，构建完整的AI辅助安全运营体系。

运营分析

JSON

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

AI开发牧安 · 第7期干着干着，搓了一个AISOC

AI开发牧安 · 第7期干着干着，搓了一个AISOC

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

AI开发牧安 · 第7期 干着干着，搓了一个AISOC

AI开发牧安 · 第7期 干着干着，搓了一个AISOC

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

AI开发牧安 · 第7期干着干着，搓了一个AISOC

AI开发牧安 · 第7期干着干着，搓了一个AISOC