beenuar/AiSOC

AiSOC 是一个开源、可自托管的安全运营系统：它接入安全遥测，运行检测规则，把触发的告警汇成事件，再由 AI 智能体调查并给出处置建议，最终动作须经人工批准。它适合希望在自己的硬件上获得可审计告警分诊流水线的团队，而不是把它当作托管 SIEM 的替代品。

实际会改变什么

数据有两条进入路径：用绑定租户的凭证推送到 ingest API，或在 87 个可点击配置的连接器中选择一个。事件经过规范化、由 Kafka 传递、进入检测引擎，再被关联为事件（incident），最后由智能体分诊；提示词、工具调用、引用和结论都写入 Investigation Ledger，并可导出为签名的证据包。两个机制值得注意：一条规则只有在厂商格式的事件经真实连接器回放并亲眼看到它触发后，才算“可执行”；若结论引用了证据中不存在的线索，就会被降级为人工复核而不是自动关闭。响应动作只有在部署、租户和 Playbook 三个开关同时同意时才生效，审批步骤会持久化暂停在 Postgres 中，重启后仍能继续。

运行方式

make up 是最小的真实路径：16 个服务、约 8 GB 内存，需要 Docker Compose v2、Docker 虚拟机中约 20 GB 空闲磁盘、python3 3.9+ 和 bash；make doctor 会检查这些条件，安装要求写明了每个数字的实测依据。首次运行会拉取一个固定版本、约 2 GB 的本地模型，因此分诊能给出真实结论，无需 API key 或任何凭证。特定路径另有无 Docker 的 pip install aisoc-sandbox 离线演示、Windows 或空白机器上的安装脚本，以及在 GitHub Codespaces 中运行。full 配置多约 4 GB 内存，增加事件湖、图、搜索和富化服务，参见架构说明。

需要了解的约束

• 内置本地模型不是前沿模型：作者报告，在 50 条告警中，约束为 JSON 前有 44 次可用输出，约束后为 50 次。托管模型供应商从未被实际测试，相关行标注“未测量”而非 0（模型在哪里运行）。
• Stable 状态绑定于每次 PR 都运行、带负向对照的测试，而不是 star 数或仓库年龄（成熟度定义）。事件湖、回溯狩猎、实体图和 UEBA 属于 full 配置功能。
• 迁移既有 Splunk 规则不等于还原度：2,005 条内置 Splunk 规则中 1,734 条可翻译，其中 1,711 条仅为部分翻译（Splunk 迁移）。
• 项目明确说明它不是可直接替换的 SIEM，看不到未接入的遥测，默认也不自动执行响应。采用 MIT 许可证；作者公开了仓库现状审计，列出声明与实际覆盖不符之处。

HotRepo 点评

2026-10-28 单日榜单记录为 4,729 stars；仅一天样本不足以判断趋势。