让安全团队从「警报处理员」
变成「战略分析师」

不是。SecClaw 不替换你已有的 SIEM、EDR、NDR 与威胁情报平台，而是架在它们之上的一层「安全智能体运行时」。SIEM 负责采集与检索，SOAR 负责执行固定剧本，SecClaw 负责理解语义、建立攻击链上下文、判断影响面，并在受控边界内自主决策与处置。

降噪率指被归入 LOW_TOUCH 与 ARCHIVE 两档、无需人工逐条处理的告警占比，设计目标为 ≥80%。降噪不是简单丢弃：五段式管道中的聚类与富化会保留父子关系与原始证据，任何一条告警都可以回溯到源事件；同时系统以「高置信威胁召回 ≥95%」作为约束指标，宁可多留一条可疑告警，也不让真威胁被静默归档。

不会默认发生。SecClaw 采用 L0–L3 分级自主模型：L0/L1 只做只读与低风险动作；L2 需要策略显式授权并留痕；封禁 IP、隔离主机、禁用账号、终止关键进程等高危动作一律进入人工审批卡点，并且必须在沙箱中预演通过、具备可回滚方案后才允许下发。生产变更 100% 经审批或命中白名单。

SecClaw 对模型输出实行「证据链引用制」：每一条结论必须绑定可核查的证据对象（原始日志、告警 ID、资产指纹、情报条目、漏洞编号），模型无权凭空生成事实；同时用规则与统计层做交叉校验，任何无法被证据支撑的结论都会被降级为「待人工确认」，不进入处置流程。

支持。SecClaw 提供数据不出域的多模型路由：可对接本地私有化推理集群，在完全断网的内网环境中运行全部七大智能体；所有遥测、告警原文、处置记录与审计数据均留在你的环境中，平台自身不含任何外部回传通道。

每一次接入、研判、审批与处置都会生成一条审计记录，并以前后哈希串联成链。任何一条记录被修改或删除，都会导致后续哈希校验失败。SecClaw 提供离线校验工具，可在断网环境下对导出的审计包独立验签与验链，满足举证与责任界定需求。

SecClaw 将 Agent 安全内建为设计前提：对来自告警正文、邮件内容、日志字段等不可信输入做提示注入检测与指令隔离；工具调用走白名单与参数校验；每个智能体按最小权限授予凭据；运行期对智能体行为做基线监控与异常告警。提示注入拦截率为设计目标 100%。

标准私有化部署通常在 1–2 周内完成基础接入与降噪调优：第 1 周完成环境确认、数据源对接与只读模式观察；第 2 周完成降噪基线训练、分流策略与审批链配置。复杂多租户 MSSP 场景或需要定制适配器时，会按项目排期另行评估。

不需要改造现有设备。SecClaw 通过开放 OpenAPI、Webhook 与适配器插件对接 Splunk、主流 EDR/NDR、威胁情报平台与 ITSM 工单系统；对没有标准接口的老旧设备，可使用 syslog、日志文件采集或数据库只读接入等兼容方式。

可以。SecClaw 的定位就是把安全团队从「警报处理员」变成「战略分析师」：降噪与归因承担了绝大部分体力活，值班人员只需要处理被升格的少量高价值事件与审批请求，并可通过 IM 卡片直接完成审批。兼职安全岗也能以每天固定的短时段完成值守。

SecClaw 在架构上按合规友好设计：支持三权分立与最小权限、全量操作审计与留存周期配置、数据脱敏与字段级访问控制、本地化存储与不出域推理，并可自动生成 SOAR、留存、访问与价值四类合规报表，为等保 2.0 测评、数据安全法与个人信息保护法的合规举证提供材料。具体合规结论仍需结合贵单位实际情况由测评机构确认。

SecClaw 支持多租户隔离：租户级数据、策略、剧本、审批链与审计链相互隔离，可按租户维度出报表与计量，并支持租户自定义审批人。托管方可用一套平台服务多个客户，同时保留每个客户独立的责任边界与审计证据。

安全产品是攻击者的高价值目标，每引入一个第三方组件就多一份供应链风险与漏洞面。SecClaw 控制台采用零第三方运行时依赖的静态前端，后端组件清单可审计、可离线交付，配合完整性校验，尽可能缩小安全产品自身的攻击面。