现代安全运营中心（SOC）每天要处理数百万条安全事件。告警来自终端、云工作负载、网络设备、身份提供商和业务应用，SIEM 与 XDR 平台虽然提供了可见性，但分析师仍要花大量时间关联告警、翻文档、判断下一步查什么。AI 在这里的角色不是替代人，而是补上下文、做摘要、给处置建议。

打开网易新闻 查看精彩图片

告警量大带来的直接后果是分析师疲劳，关键事件被漏掉的风险随之上升。一次完整调查往往要在仪表盘、文档、漏洞库和威胁情报源之间来回切换。基础设施越分散——本地加云——维持一致的态势感知就越难。AI 辅助工作流的切入点很明确：减少重复分析、补充上下文、加快调查决策。

Wazuh 的 AI 落地路径

Wazuh 提供两条路：云端订阅用户直接用 Wazuh AI Analyst，自部署用户则通过集成第三方 AI 提供商来扩展能力。

Wazuh AI Analyst 是自动化、免手动的服务，面向 Wazuh Cloud 订阅，安全数据经 Amazon Bedrock 和 Anthropic 的 Claude 处理，无需任何手动配置。它会定期邮件推送关键指标、受保护终端直方图、告警量、活跃漏洞，以及一份态势摘要，并附完整 PDF 报告。报告按订阅的排程生成，也可在 Wazuh Cloud 控制台的 Environments > AI Reports 页面查看。

隐私方面，订阅数据不与第三方共享，也不用于训练 AI 模型，仅用于生成报告，传输加密、处理隔离、不做永久存储。需要提醒的是，AI 输出属于建议性质，执行前应结合自身策略验证。

自托管与外部集成的取舍

对隐私或数据驻留要求严格的团队，可以选择把一切留在自己网络里：Ollama 在 Wazuh 服务器本地运行 Meta 开源的 Llama 模型，Python 脚本解压指定时段的归档日志，向量化存入 FAISS，再由 LangChain 驱动的聊天机器人提供查询。数据不出内网。

另一条路是把 Anthropic 的 Claude 3.5 Haiku（托管于 Amazon Bedrock）通过 OpenSearch Assistant 变成仪表盘里的对话框。配置流程包括在 Bedrock 启用模型、安装相关 OpenSearch 插件、创建 ML Commons 连接器、模型和会话代理。这个助手能就常见任务给出指引，比如某个发现该怎么处理、某些设置该怎么配。

三种形态对应三种诉求：云端订阅要的是开箱即用的定期报告，自托管要的是数据不出门，外部托管集成要的是在现有仪表盘里随手可问。分析师仍然对验证和最终决策负责，AI 承担的是把重复劳动压下去的那部分。