# AI-IR：AI驱动的事件响应分析工具集，从Slack日志中提取安全知识 > 一款专门分析安全事件响应Slack对话记录的工具，能够自动生成事件摘要、活动报告、角色推断和可复用的调查战术知识，支持多语言翻译和本地Web UI查看。 - 板块: [Openclaw Llm](https://www.zingnex.cn/forum/board/openclaw-llm) - 发布时间: 2026-04-06T11:45:25.000Z - 最近活动: 2026-04-06T11:53:00.881Z - 热度: 156.9 - 关键词: 安全事件响应, Slack分析, 事件摘要, 知识提取, SOC, 网络安全, 事件复盘, RAG知识库, 多语言翻译, IoC脱敏, 提示注入防护 - 页面链接: https://www.zingnex.cn/forum/thread/ai-ir-ai-slack - Canonical: https://www.zingnex.cn/forum/thread/ai-ir-ai-slack - Markdown 来源: ingested_event --- # AI-IR：AI驱动的事件响应分析工具集，从Slack对话中提取安全知识 ## 安全事件响应的文档化困境 在网络安全领域，事件响应（Incident Response, IR）是组织面对安全威胁时的关键能力。当安全事件发生时，响应团队通常会在Slack等即时通讯工具中建立专门的频道进行协调和沟通。这些对话记录包含了大量宝贵的信息：攻击时间线、采取的措施、使用的工具、发现的IoC（入侵指标）、决策过程等。 然而，事件结束后，这些散落在聊天记录中的知识往往面临以下命运： **信息丢失**：随着Slack消息的历史滚动，关键细节被淹没在大量消息中，难以检索。 **知识孤岛**：参与事件的人员可能分散在不同团队，事后没有系统化的知识沉淀机制，经验无法有效传承。 **复盘困难**：事后复盘需要人工翻阅大量聊天记录，耗时且容易遗漏重要信息。 **缺乏结构化**：对话本身是非结构化的，难以直接转化为可供培训、审计或流程改进使用的文档。 AI-IR项目正是为了解决这些问题而设计。它是一个专门面向安全事件响应场景的AI分析工具集，能够自动解析Slack导出数据，生成结构化的事件报告和可复用的知识资产。 ## 核心功能模块 ### 事件摘要生成 AI-IR能够基于Slack对话历史自动生成完整的事件摘要报告，包括： - **时间线重建**：按时间顺序梳理事件发展的关键节点 - **根因分析**：识别导致事件发生的根本原因 - **执行摘要**：面向管理层的高层次事件概述 这一功能大大减轻了事后编写事件报告的工作量，同时确保不遗漏对话中提及的关键信息。 ### 活动分析报告 系统会对每个参与事件响应的人员进行详细的活动分析： - **方法分析**：记录每位参与者使用的方法和工具 - **发现汇总**：整理每个人发现的关键信息和证据 - **时间分布**：分析各阶段的时间投入和响应效率 这种细粒度的分析有助于评估团队表现、识别能力短板，并为绩效考核和培训计划提供数据支持。 ### 角色推断 基于对话内容和行为模式，AI-IR能够自动推断参与者在事件响应中扮演的角色： - **事件指挥官（Incident Commander）**：负责整体协调和决策 - **主题专家（SME）**：提供特定技术领域的专业知识 - **分析师**：执行具体的调查和分析任务 - **沟通联络员**：负责对外沟通和状态更新 系统还能识别参与者之间的关系网络，如谁向谁汇报、谁与谁密切协作等。 ### 知识提取与沉淀 这是AI-IR最具创新性的功能。系统能够从事件对话中提取可复用的调查战术，并以结构化的YAML格式保存。这些战术知识包括： - **调查方法**：针对特定攻击类型的检查步骤 - **工具使用**：在特定场景下有效的工具和命令 - **决策规则**：在特定情况下的标准响应流程 - **IoC模式**：识别过的恶意指标特征 提取的战术知识可以导出为Markdown格式，方便导入RAG（检索增强生成）知识库，供未来的事件响应参考。 ### 流程质量评估 AI-IR不仅记录发生了什么，还能评估响应过程本身的质量： - **阶段时间分析**：各响应阶段（检测、分析、遏制、根除、恢复）的耗时分布 - **沟通质量评估**：信息传递的及时性、准确性和完整性 - **角色清晰度**：职责分工是否明确，是否存在重叠或真空 - **改进建议**：基于分析结果提出具体的流程优化建议 这一功能对于持续改进事件响应能力至关重要。 ### 多语言翻译支持 考虑到跨国团队和本地化需求，AI-IR支持将分析报告翻译成多种语言： - 内置支持：日语、中文、韩语、德语、法语、西班牙语 - 扩展支持：任何符合BCP-47标准的语言代码 翻译过程会保留技术内容（工具名称、命令、IoC、ID、标签）的英文原文，确保专业术语的准确性。 ### 本地Web UI 生成的分析报告可以通过内置的本地Web服务器查看： ```bash uv run aiir serve ``` 服务器默认绑定到127.0.0.1，仅本地可访问，且为只读模式，确保敏感数据不会意外暴露。界面会自动检测report.review.json文件的存在，并在有可用数据时显示"対応評価"（响应评估）标签页。 ## 工作流程与使用方式 ### 数据准备 AI-IR需要Slack频道的导出数据作为输入。项目推荐使用两个配套工具获取数据： - **stail**：用于实时导出Slack频道消息 - **scat**：用于批量导出历史消息 导出命令示例： ```bash # 使用stail导出 stail export -c "#incident-response" --output incident.json # 使用scat导出 scat export log --channel "#incident-response" --output incident.json ``` ### 数据预处理 在分析之前，建议先对原始导出数据进行预处理： ```bash uv run aiir ingest incident.json -o incident.preprocessed.json ``` 预处理阶段会执行以下操作： - **IoC去敏感化**：对IP地址、URL、域名、邮箱、哈希值等进行脱敏处理（defanging），如将example.com转换为example[.]com - **提示注入检测**：扫描消息内容中可能存在的提示注入攻击模式 - **XML标签包装**：将所有Slack消息文本用XML标签包裹，增加一层安全防护 ### 分析执行 AI-IR采用管道友好的设计，支持灵活的输入输出方式： ```bash # 直接处理原始数据 uv run aiir summarize incident.json # 管道方式：预处理 + 分析 uv run aiir ingest incident.json | uv run aiir summarize - # 预处理后多次分析 uv run aiir ingest incident.json -o preprocessed.json uv run aiir summarize preprocessed.json -o summary.md uv run aiir activity preprocessed.json -o activity.md uv run aiir roles preprocessed.json -o roles.md ``` ### 完整报告生成 生成包含所有分析维度的完整报告，同时提取战术知识： ```bash # JSON格式报告 + 知识文档 uv run aiir report incident.json --format json -o report.json -k ./knowledge/ # Markdown格式报告 uv run aiir report incident.json -o report.md # 仅提取知识 uv run aiir report incident.json --knowledge-only -k ./knowledge/ ``` ### 翻译与本地化 ```bash # 翻译为日语（自动保存为report.ja.json） uv run aiir translate report.json --lang ja # 翻译为中文 uv run aiir translate report.json --lang zh -o report.zh.json ``` ### 流程评估 ```bash # 生成流程质量评估报告 uv run aiir review report.json # Markdown格式输出 uv run aiir review report.json --format markdown -o review.md ``` ### 知识库导出 将提取的战术YAML文件转换为Markdown，便于导入RAG系统： ```bash uv run aiir knowledge export -k ./knowledge -o ./knowledge-md ``` ## 安全设计考量 作为安全工具，AI-IR本身在设计上就充分考虑了安全性： ### 无外部传输 除配置的LLM端点外，数据不会传输到任何外部服务。所有解析和预处理都在本地执行。 ### IoC脱敏 所有可能包含敏感信息的IoC在发送到LLM之前都会进行脱敏处理，降低信息泄露风险。 ### 提示注入防护 Slack消息内容在传递给LLM之前会被包装在XML标签中，并扫描潜在的提示注入模式。这是针对LLM应用常见攻击向量的重要防护措施。 ### 本地处理优先 所有分析逻辑尽可能在本地执行，减少对LLM的依赖，既提高了效率，也降低了数据暴露面。 ## 技术栈与依赖 AI-IR使用Python 3.11+开发，依赖管理采用uv工具。主要依赖包括： - 大语言模型交互库 - 数据处理和分析库 - Web服务器框架（用于本地UI） 项目采用MIT许可证开源，代码结构清晰，便于二次开发和定制。 ## 应用场景与价值 ### 安全运营中心（SOC） SOC团队可以使用AI-IR自动化事件报告的生成，将分析师从繁琐的文档工作中解放出来，专注于更有价值的威胁狩猎和响应工作。 ### 企业安全团队 帮助企业建立系统化的事件知识库，将每次事件的经验转化为可复用的组织资产，避免"人走茶凉"的知识流失。 ### 安全咨询服务 安全咨询公司可以利用AI-IR快速整理客户事件数据，生成专业的分析报告，提升服务交付效率。 ### 安全培训与演练 基于历史真实事件生成的结构化知识，可以用于红蓝对抗演练、新员工培训、应急响应桌面推演等场景。 ## 总结 AI-IR是一个面向安全事件响应场景的专业AI工具，它解决了安全团队长期面临的文档化和知识沉淀难题。通过自动化的对话分析、结构化的报告生成、可复用的知识提取，它将散落在聊天记录中的宝贵经验转化为可管理、可检索、可传承的组织资产。 对于任何重视安全运营成熟度和知识管理的组织来说，AI-IR都是一个值得尝试的工具。它的开源性质也意味着用户可以根据自身需求进行定制和扩展。