① 安全场景里，可解释比聪明更重要
在推荐系统里，一个 90% 准确的模型已经很有价值；在安全运营里，一个 90% 准确的自动处置系统可能是灾难—— 因为那 10% 的误判可能意味着业务中断。因此我们把工程重心放在约束、验证与回滚上， 而不是追求更激进的自动化边界。
- 结论必须带证据引用
- 高危动作必须人工审批
- 每个动作必须有回滚方案
关于我们
关于 SecClaw 智能安全
SecClaw（智能安全）是一个企业网络安全 AI 原生安全运营智能体平台。 品牌名的含义很直接：Claw 是爪，抓住的是威胁；Sec 是安全，守住的是责任。 我们希望做的不只是把告警变少，而是让安全团队在每一个决策上都不再孤军奋战。
愿景
让每个安全团队都拥有一支 24 小时在线的 AI 安全分析师团队
我们观察到一个共同的困境：几乎所有安全团队都被同一类工作消耗——重复的告警确认、零散的上下文查找、 跨系统的手工关联、以及「不敢自动执行所以只能人工点确认」的处置流程。 这些工作重要，但它们不产生战略价值，也无法沉淀为组织能力。
与此同时，真正需要人类判断力的事情——判断攻击者的意图、权衡处置的业务代价、决定风险敞口的取舍、 向管理层解释安全投入的价值——却因为时间被耗尽而无暇顾及。
所以我们把目标定为：让安全团队从「警报处理员」转变为「战略分析师」。 这不是一句口号，而是一个可以拆解的工程目标：把重复性判断交给智能体， 把审批与责任边界交给机制，把人的时间还给真正需要判断力的地方。
而这一切的前提是信任。因此我们没有把「更强的自动化」作为第一优先， 而是把可解释、可拦截、可撤回、可追责作为产品设计的第一原则。
我们的四条产品原则
- 不替换，只增强：复用客户已有的 SIEM / EDR / NDR / TI 投资，做架在上面的一层智能体运行时，而不是要求客户推倒重来。
- 不确定就说不确定：模型结论必须有证据支撑；无法被证据支撑的推论降级为待人工确认，而不是用流畅的文字掩盖不确定性。
- 边界由客户定义：哪些动作可以自动、哪些必须审批、审批人是谁，由客户的组织职责决定，产品只提供机制与默认安全值。
- 责任必须可界定：每一次 AI 结论与人工审批都写入不可篡改的审计链，让「AI 做了什么、人批了什么」可以被清晰回答。
为什么这样做
三个我们不愿妥协的判断
这些判断决定了产品形态，也决定了我们主动放弃了哪些看起来更「聪明」的做法。
② 多智能体结构化协同，而非自由对话
多个大模型自由讨论看起来很先进，但在安全场景里它难以复现、难以审计、难以界定责任， 还容易被提示注入在网络中放大传播。我们选择结构化的协同：明确的状态机、明确的写权限归属、明确的消息契约。
- 共享上下文 + 单写者原则
- 每个智能体有独立权限与边界
- 每次协同都有可追溯的消息记录
③ 安全产品自身必须是最小攻击面
我们无法一边告诉客户「注意供应链风险」，一边在自己的产品里塞进几十个第三方运行时依赖。 SecClaw 控制台采用零第三方运行时依赖的静态前端；组件清单可审计、可离线交付、可做完整性校验。
- 无外部 CDN、外链字体与统计脚本
- 依赖清单可审计可追溯
- 支持客户自行扫描与安全测试
技术架构
技术架构摘要：五层结构
从数据接入到审计留痕，每一层职责单一、边界清晰，便于独立扩展与替换。
接入层（Ingest）
适配器插件负责多源接入、字段映射、枚举转换与预处理，把异构数据统一为 secclaw.event.v1 事件模式。
- REST / Webhook / syslog / Kafka / 文件 / 数据库只读
- 适配器独立版本化，可灰度升级与回滚
- 接入健康度监控，防止静默失联
上下文层（Context）
维护资产、身份、漏洞、情报、基线与业务六维上下文，并通过主数据对齐把同一实体的多种标识折叠为逻辑对象。
- 资产与身份主数据对齐
- 行为基线滚动更新
- 多源情报交叉验证
智能体层（Agent Runtime）
七大智能体运行在同一运行时上，共享上下文、独立权限、结构化协同。事件状态机驱动流转，能力注册表负责路由。
- 共享上下文 + 单写者原则
- 每智能体独立服务身份与最小权限凭据
- 多模型可插拔与策略化路由
执行与安全层（Execution & Guardrails）
承载处置动作执行、审批卡点、沙箱预演与回滚管理。所有写操作必须经过这一层，没有旁路。
- 动作风险分级与作用域限制
- 审批令牌按次申请、用后即废
- 影响面建模与回滚点管理
审计与合规层（Audit & Compliance）
记录全链路操作与决策，以前后哈希串链，提供校验工具、合规报表与离线举证包。
- 链式哈希，改动即校验失败
- 四类合规报表生成
- 离线独立验签与验链
贯穿能力
身份与权限、密钥与凭据管理、可观测性、配置与版本管理作为横向能力服务于全部五层。
- 三权分立与字段级权限
- 凭据轮换与即时吊销
- 组件与配置全量可审计
架构示意（文本图）secclaw / architecture.txt
┌──────────────────────────────────────────────────────────────────────┐
│ 数据源：SIEM · EDR · NDR · 邮件网关 · 云审计 · 漏洞扫描 · 情报 · ITSM │
└───────────────────────────────┬──────────────────────────────────────┘
│ 只读接入（适配器插件 / OpenAPI / Webhook）
┌───────────────────────────────▼──────────────────────────────────────┐
│ L1 接入层 归一化 → secclaw.event.v1 接入健康度监控 │
├──────────────────────────────────────────────────────────────────────┤
│ L2 上下文层 资产 · 身份 · 漏洞 · 情报 · 基线 · 业务 │
├──────────────────────────────────────────────────────────────────────┤
│ L3 智能体层 NoiseReduction → Analysis → Response │
│ Hunting · Vulnerability · Orchestration · Compliance │
│ （共享上下文 / 单写者 / 事件状态机 / 能力注册表） │
├──────────────────────────────────────────────────────────────────────┤
│ L4 执行与安全层 动作分级 L0–L3 · 审批卡点 · 沙箱预演 · 回滚 · 验证 │
├──────────────────────────────────────────────────────────────────────┤
│ L5 审计与合规层 哈希审计链 · 四类报表 · 离线校验 · 责任界定 │
└───────────────────────────────┬──────────────────────────────────────┘
│ 受控写（仅经 L4，无旁路）
┌───────────────────────────────▼──────────────────────────────────────┐
│ 执行目标：EDR · 防火墙 / DNS · 邮件系统 · 账号系统 · 工单 · IM │
└──────────────────────────────────────────────────────────────────────┘
关于架构说明的边界：本页给出的是架构层级的摘要，用于帮助评估技术路线与集成方式。
详细的接口契约、部署拓扑、容量规划参数与安全加固基线，会在实际项目的技术方案中提供。
适用边界
我们适合谁，也坦诚说明不适合谁
选型时最重要的是匹配度。下面是我们基于实际交付经验总结的适用边界。
适合的场景
- 已有 SIEM / EDR / NDR / TI 等基础安全栈，但告警处理不过来、关联靠人工
- 希望引入自动化但又担心误伤生产，需要审批、预演与回滚机制
- 受监管行业需要可举证的审计记录与责任界定材料
- MSSP 需要一套平台服务多个客户，且要求租户级隔离与独立审计
- 关基单位需要纯离线内网部署、数据绝对不出域
- 安全团队人手有限，希望把重复劳动交给系统
暂时不太适合的场景
- 完全没有日志采集与资产台账基础——建议先补齐数据与主数据，否则智能体的判断质量无法保证
- 期望「零配置即自动运行」——降噪基线与审批链需要结合环境进行配置，我们不做不切实际的承诺
- 期望完全无人值守的高危处置——高危动作的审批卡点是我们不会移除的设计
- 希望用 AI 替代全部安全人员——我们的目标是放大人的判断力，而不是取消人的责任
- 需要覆盖 OT / 工控协议深度解析——这类场景需单独评估，不在标准能力范围内
法律与声明
隐私、数据使用与内容声明
以下为本静态站点的说明性内容。正式合作以双方签署的合同与数据处理协议为准。
隐私与数据使用说明（摘要）
- 本静态站点不收集数据：本网站为纯静态页面，不含第三方统计脚本、不含 Cookie 追踪、不向外部发起任何网络请求。
- 表单为前端演示：联系页面的表单仅做浏览器端校验与提示，不会把内容发送到任何服务器。正式渠道请通过邮件联系。
- 产品部署中的数据：SecClaw 在客户环境中运行，客户数据始终保存在客户自己的基础设施内；平台不含外部回传通道。
- 数据主体权利：如涉及个人信息处理，我们支持按最小必要原则处理，并配合客户响应数据主体的查询、更正与删除请求。
内容与商标声明
- 本站提及的指标均为 SecClaw 的产品设计目标或演示口径指标，非第三方测评结论，也不构成对特定环境下效果的承诺。
- 本站提及的用户反馈为示意性示例，采用匿名表述，不代表对任何具体机构的真实评价。
- 本站提到的第三方产品名称（如 Splunk 等）仅用于说明集成兼容性，相关商标归其各自权利人所有。
- 本页架构与合规内容为说明性描述，具体合规结论需由具备资质的测评机构结合实际情况判定。
服务条款（摘要）：SecClaw 软件以许可方式提供，许可范围、期限、支持等级与责任限制以双方签署的合同为准。
本站内容可能随产品迭代更新而不另行通知。如需最新版本，请通过 联系我们 获取。