过去 18 个月里,所有卖安全产品的厂商都在自己的营销页面上贴了「AI」标签。绝大多数只是改头换面的 ML 分类 — 早就存在的异常检测,换上 2024 年的外衣。真正有意思的地方 — 也是大多数团队失败的地方 — 是当你真的把一个会调用工具的 LLM agent 接入告警管道,让它像 Tier-1 分析师那样做研判。

Continue reading “在生产环境构建 Tier-1 SOC 分析师 Agent:Wazuh + Claude + Shuffle 实战经验 为什么大多数「AI for SOC」根本不工作 — 以及什么才是真正有效的” →

この 18 か月間、セキュリティ製品を持つベンダーは皆、マーケティングページに「AI」というラベルを貼り付けてきました。その大半は再ブランド化された ML 分類 — もともと存在していた異常検知に 2024 年の衣装を着せたもの — に過ぎません。本当に興味深い、そしてほとんどのチームが失敗するのは、tool-using LLM agent をアラートパイプラインに実際に組み込み、Tier-1 アナリストのようにトリアージさせようとした時です。

Continue reading “Tier-1 SOC アナリスト Agent を本番環境で動かす:Wazuh + Claude + Shuffle 実装の現場知見 なぜ「AI for SOC」のほとんどは機能しないのか — そして何が実際に機能するのか” →

ในช่วง 18 เดือนที่ผ่านมา vendor ทุกเจ้าที่ขายผลิตภัณฑ์ security ต่างก็แปะคำว่า "AI" ลงบนหน้าการตลาดของตัวเอง ส่วนใหญ่เป็นแค่ ML classification ที่ rebrand ใหม่ — anomaly detection ที่มีอยู่แล้วตั้งนาน แต่งตัวใหม่ให้ดูทันสมัย ที่น่าสนใจจริง ๆ — และที่ทีมส่วนใหญ่พังตรงนี้ — คือตอนที่คุณต่อ tool-using LLM agent เข้ากับ alert pipeline จริง ๆ และให้มัน triage แบบที่ Tier-1 analyst ทำ

Continue reading “การสร้าง AI Agent สำหรับ Tier-1 SOC Analyst: Wazuh + Claude + Shuffle ในระบบ Production ทำไม “AI for SOC” ส่วนใหญ่ถึงไม่เวิร์ก — และอะไรที่เวิร์กจริง” →

Every vendor with a security product has bolted "AI" onto the marketing page in the last eighteen months. Most of it is rebranded ML classification: anomaly detection that already existed, dressed in 2024 clothes. Where it gets genuinely interesting — and where most teams fail — is when you actually wire a tool-using LLM agent into the alert pipeline and let it triage like a Tier-1 analyst would.

Continue reading “Building a Tier-1 SOC Analyst Agent: Wazuh + Claude + Shuffle in Production, Why “AI for SOC” mostly doesn’t work — and what does” →