微软Project Perception: AI驱动的闭环自动安全防御系统

范式转变：从人工分类到机器速度的缓解

多年以来，网络安全行业一直在一个根本性的失衡状态下运作：攻击以机器速度进行，而防御以人类速度进行。即使是依靠现代安全信息和事件管理（SIEM）以及安全编排、自动化和响应（SOAR）平台的最先进的安全运营中心（SOC），仍然受到人工分类的瓶颈限制。当告警触发时，人类分析师仍必须验证威胁、调查其影响范围，并手动执行剧本。在自动化、多阶段漏洞可在几分钟内破坏整个云租户的时代，这种被动态势已不再可行。

微软宣布的 Project Perception 和 MAI-Cyber-1-Flash 模型的发布标志着解决这种失衡的一个重大架构里程碑。与其仅使用人工智能来总结告警、起草电子邮件通知或编写基础 KQL 查询不同，这种范式转变引入了闭环的多智能体自主缓解。通过将专用的、低延迟的模型与结构化的多智能体编排模式相结合，这些技术旨在将安全从被动观察转向自主、自我纠正的行动。

在对这些发展的分析中，我看到了巨大的前景，也看到了重大的工程挑战。转向自主缓解需要对信任边界、状态管理和模型路由进行彻底的重新思考。

微软 Project Perception 和 MAI-Cyber-1-Flash 模型的深入技术分析。了解如何实现多智能体自主缓解循环、利用 MDASH 模型路由模式

Project Perception 的三智能体循环的架构解析

Project Perception 的核心是一个三智能体架构，旨在防止单智能体系统固有的单点故障风险。当单个 LLM 智能体被任务化来检测、验证和缓解威胁时，它极易受到确认偏见和失控执行循环的影响。如果智能体出现幻觉威胁，它可能会执行破坏性的缓解行动来"修复"一个不存在的问题，从而导致自我造成的拒绝服务攻击。

为了缓解这一点，Project Perception 将自主行动结构化为三个不同的、专业化的智能体角色，在持续的、对抗的和合作的反馈循环中运作：Red Agent（红队智能体）、Blue Agent（蓝队智能体）和 Green Agent（绿队智能体）。这种分工方式镜像了经典的安全运营，但将交互自动化为毫秒级别。

Red Agent（攻击性验证）

当遥测源标记潜在异常时，Red Agent 被激活。它的唯一目标是验证漏洞或活跃漏洞利用。Red Agent 不依赖于静态签名，而是充当自主渗透测试工具。它动态生成安全的、非破坏性的有效载荷或查询来探测目标系统，并确认报告的漏洞是否真正可被利用或是否存在活跃的入侵路径。例如，如果告警指示内部端点上存在潜在的 SQL 注入漏洞，Red Agent 将制定良性 SQL 查询，旨在测试输入清理，而不会泄露数据或损害数据库。通过在触发防御行动之前验证告警的可利用性，Red Agent 筛选出会触发破坏性缓解的假阳性。

Blue Agent（防御性遏制）

Red Agent 确认威胁后，Blue Agent 接管。其主要职责是遏制和隔离。Blue Agent 分析活跃遥测、映射影响范围，并制定缓解策略。这可能涉及动态生成网络隔离策略、撤销被攻破的 IAM 令牌或关闭被攻破的容器。Blue Agent 不盲目执行这些行动；它将其策略转换为结构化的、声明式的配置（如 Kubernetes NetworkPolicies、AWS Security Groups 或 Azure NSGs），并将其提交到执行队列。它必须在严格的约束下运作，确保其提议的行动是最小的、有针对性的，并直接映射到识别的威胁向量。

Green Agent（运营安全性和策略执行）

Green Agent 充当循环的安全阀和合规引擎。它代表平台工程和业务连续性的利益。在执行 Blue Agent 提议的任何行动之前，Green Agent 针对运营安全政策、服务级别目标（SLO）和依赖关系图评估提议的缓解。例如，如果 Blue Agent 提议隔离数据库容器，Green Agent 评估该数据库是否是其他生产服务的关键依赖项。如果缓解违反安全阈值，Green Agent 拒绝该行动，并强制 Blue Agent 计算替代的、破坏性较小的遏制策略（如速率限制或轮换凭证，而不是完全隔离）。

这个三智能体循环创建了一个自平衡的系统。Red Agent 验证、Blue Agent 遏制驱动和 Green Agent 安全约束之间的对抗性紧张关系确保自主行动既必要又在运营上安全。在我看来，这种关注点分离是在生产环境中部署自主智能体而不冒广泛运营停机风险的唯一可行方式。

🔐 MAI-Cyber-1-Flash 和 MDASH 路由模式的深入探讨

在生产中执行多智能体循环需要高度优化的模型策略。标准前沿模型（如 GPT-4o）太慢且成本高昂，无法连续运行数百万安全事件。典型的安全管道每秒处理数万个事件；将所有这些路由通过大规模、通用目的 LLM 会导致天文数字般的 API 账单和延迟配置，这将违反实时缓解的目的。

这是 MAI-Cyber-1-Flash 和 MDASH（模型驱动智能体安全处理程序）路由模式变得至关重要的地方。MAI-Cyber-1-Flash 是一个专用的、高吞吐量的、低延迟的模型，专门在安全本体、威胁情报源、系统调用模式和网络流量日志上进行微调。

MDASH 充当这个模型生态系统的智能流量控制器。它是一个路由层，评估传入的安全任务，并动态地将其分配给最具成本效益和性能的能够处理该任务的模型。路由决策基于三个主要因素：任务复杂性、延迟预算和所需的上下文窗口。

要理解 MDASH 如何优化操作，请考虑以下路由层级：

Tier 1：高容量解析和过滤（边缘路由） 传入的原始日志流和低级别告警被路由到高度精馏的、边缘优化的模型或确定性正则表达式引擎。此阶段不调用任何 LLM。这筛选出 99% 的背景噪声，并确保下游模型不会被琐碎的遥测淹没。

Tier 2：快速分类和模式生成（MAI-Cyber-1-Flash） 当告警需要语义理解时——例如分析可疑的 PowerShell 脚本或解析异常的 API 调用序列——MDASH 将任务路由到 MAI-Cyber-1-Flash。因为该模型小而专门化，它在毫秒内返回结构化 JSON 输出，允许 Blue Agent 快速制定遏制策略。

Tier 3：复杂威胁搜捕和根本原因分析（前沿模型） 如果威胁被识别为跨越多个云环境的新型、多阶段高级持续威胁（APT），MAI-Cyber-1-Flash 可能会标记任务为高度复杂。MDASH 随后将上下文升级到更大的前沿模型（如 GPT-4o 或专门的深度推理模型），以执行深度语义分析、交叉关联不同的数据源，并生成长期补救计划。

通过利用这种分层路由，MDASH 大幅降低了自主安全的成本。我建议在您的安全管道中将 MDASH 实现为中间件层，确保您昂贵的前沿模型令牌严格保留用于高认知负荷推理任务，而 MAI-Cyber-1-Flash 处理高速度的缓解循环。

⚙️ 工程状态管理和密码学信任边界

将理论三智能体循环转换为生产级别的系统需要解决两个难题：异步智能体运行间的状态管理，以及绝对信任边界的执行。

不能允许 AI 智能体以无状态方式运行。如果智能体循环在执行过程中失败，或发生网络分区，系统必须能够重建调查的确切状态，以及已经应用的缓解措施。我建议使用持久化执行引擎（例如 Temporal）或高可用的分布式状态存储（例如 Redis），为每个活跃事件维护一个集中的“安全上下文对象”。该对象必须跟踪事件的完整生命周期，包括初始告警遥测数据、红方智能体的验证结果、蓝方智能体提出的缓解措施、绿方智能体的安全评估，以及最终载荷的执行状态。

此外，绝不能向 LLM 智能体授予原始 Shell 访问权限，或提供对云基础设施不受限制的 API 密钥。智能体必须在严格的沙箱中运行，并且只能通过定义明确、经过模式验证的 API 网关与你的环境交互。智能体输出一个描述其预期操作的结构化 JSON 载荷；网关根据 OpenAPI 模式验证该载荷，检查智能体的加密签名，并使用预先授权且遵循最小权限原则的服务账号执行操作。

为了防止提示词注入攻击劫持自主循环，我建议实施加密证明。循环中的每个智能体都必须使用专用的密钥管理服务（KMS）密钥对其输出进行签名。执行网关在执行任何操作之前，都必须验证这些签名。如果恶意载荷试图将命令注入日志文件，诱骗蓝方智能体删除数据库，执行网关会捕获该未授权操作，因为它要么无法匹配预期模式，要么缺少绿方智能体提供的必要加密证明。

⚙️ MDASH 与模式验证的生产级实现

下面是一个实用的 Python 实现，展示了 MDASH 风格的路由和验证引擎。这段代码演示了如何接收告警、将其路由到适当的模型层级（针对标准威胁模拟使用 MAI-Cyber-1-Flash）、根据显式模式验证智能体提出的缓解措施，以及在执行前强制进行安全检查。这种模式可以确保，即使模型生成了非预期载荷，执行网关也能在其造成运维损害之前将其拦截。

import json
import os
from typing import Dict, Any
from pydantic import BaseModel, Field, ValidationError

# Define the expected schema for the Blue Agent's mitigation action
class MitigationAction(BaseModel):
    action_type: str = Field(..., description="The type of mitigation, e.g., 'isolate_host', 'revoke_token'")
    target_identifier: str = Field(..., description="The unique ID of the target resource")
    rationale: str = Field(..., description="The reasoning behind this mitigation action")
    risk_score: int = Field(..., ge=1, le=10, description="The operational risk score of the action")

class MDASHRouter:
    def __init__(self):
        # In a production system, these would point to actual model endpoints
        self.flash_model_endpoint = "https://api.microsoft.com/v1/mai-cyber-1-flash"
        self.frontier_model_endpoint = "https://api.microsoft.com/v1/gpt-4o"

def route_and_triage_alert(self, alert: Dict[str, Any]) -> str:
        """
        Evaluates the complexity of the incoming alert and routes to the correct model tier.
        """
        severity = alert.get("severity", "low").lower()
        contains_custom_code = alert.get("contains_custom_code", False)

# MDASH Routing Logic
        if severity == "critical" and contains_custom_code:
            print("[MDASH] Escalating complex threat to Frontier Model.")
            return self.frontier_model_endpoint
        else:
            print("[MDASH] Routing standard security alert to MAI-Cyber-1-Flash.")
            return self.flash_model_endpoint

class AutonomousSecurityCoordinator:
    def __init__(self, router: MDASHRouter):
        self.router = router
        # Define safety thresholds representing the Green Agent's policy engine
        self.max_allowable_risk = 7

def process_incident(self, alert: Dict[str, Any]) -> Dict[str, Any]:
        # 1. Route the alert using the MDASH pattern
        target_endpoint = self.router.route_and_triage_alert(alert)

# 2. Simulate the model's structured JSON output (the Blue Agent's proposal)
        # In production, this JSON is returned by calling the target_endpoint with the alert context
        simulated_model_output = {
            "action_type": "isolate_host",
            "target_identifier": alert.get("resource_id", "unknown"),
            "rationale": "Host is communicating with known C2 IP address. Isolation required to prevent lateral movement.",
            "risk_score": 5
        }

# 3. Enforce strict schema validation on the agent's output
        try:
            validated_action = MitigationAction(**simulated_model_output)
            print(f"[Schema Validation] Passed. Action: {validated_action.action_type} on {validated_action.target_identifier}")
        except ValidationError as e:
            print(f"[Schema Validation] Failed! Agent output violated schema: {e}")
            return {"status": "rejected", "reason": "Schema validation failure"}

# 4. Green Agent Safety Check: Validate against operational risk threshold
        if validated_action.risk_score > self.max_allowable_risk:
            print(f"[Green Agent] REJECTED: Risk score {validated_action.risk_score} exceeds threshold of {self.max_allowable_risk}.")
            return {"status": "rejected", "reason": "Operational risk threshold exceeded"}

# 5. Execute the mitigation via a secure API gateway (simulated)
        print(f"[Execution Gateway] Executing {validated_action.action_type} on target {validated_action.target_identifier}...")
        return {"status": "executed", "action": validated_action.action_type, "target": validated_action.target_identifier}

# Example Usage
if __name__ == "__main__":
    router = MDASHRouter()
    coordinator = AutonomousSecurityCoordinator(router)

# Test Case 1: Standard high-velocity alert
    standard_alert = {
        "id": "evt_10293",
        "severity": "high",
        "resource_id": "i-09f823bc81a",
        "contains_custom_code": False
    }
    print("--- Processing Stan

该实现突出了确定性验证的必要性。验证步骤是完全确定性的，从而为 LLM 输出的非确定性特征划定了一条刚性边界。我建议将这一验证逻辑直接集成到 CI/CD 流水线和运行时执行环境中，确保任何未经验证的智能体操作都绝不可能进入生产系统。

运维现实：人在回路（HITL）与确定性回退机制

在开始规划向自主安全迁移时，你必须接受这样一个事实：自主性并非非此即彼。试图在第一天就部署完全自主的缓解机制，无异于为运维灾难埋下伏笔。相反，你必须实施渐进式信任模型：先从人在回路（HITL）过渡到人在环上（HOTL），最终再针对特定且定义明确的场景实现完全自主。

我建议为安全行动手册建立一个“信任分级”框架。低风险操作，例如隔离一台开发人员工作站、轮换非生产服务中泄露的 API 密钥，或在边缘防火墙上封禁某个 IP 地址，可以立即实现完全自动化。高风险操作，例如修改核心数据库访问控制、隔离生产环境中的 Kubernetes 节点，或撤销根级 IAM 凭据，则必须在执行前通过 ChatOps 界面（例如 Slack 或 Microsoft Teams）获得明确的人工批准。

此外，系统还必须具备确定性回退机制。如果智能体无法达成共识、模型超时，或状态存储不可用，系统必须以安全方式失败。这意味着应回退到传统的确定性 SOAR 行动手册，或立即向人工工程师发出告警。自主循环应增强现有的安全控制，而不是将其完全取代。如果绿方智能体检测到蓝方智能体提出的操作具有较高风险评分，但红方智能体坚持认为威胁已达到严重级别，系统应自动将该事件连同收集到的全部上下文升级给人工分析师，而不是陷入停滞或执行高风险的缓解措施。

为了帮助你评估组织是否已准备好实施自主缓解，我整理了一份核心运维护栏清单。在将任何智能体安全工作流投入生产环境之前，必须先落实这些护栏：

通过系统性地落实每一项护栏，你可以构建具有韧性和自我防御能力的基础设施，在严格控制系统运维稳定性的同时，大幅缩短平均修复时间（MTTR）。

Project Perception 和 MAI-Cyber-1-Flash 的推出标志着网络安全演进中的一个分水岭时刻。通过超越被动告警生成，拥抱多智能体自主循环，一条以机器速度中和威胁的可行路径得以建立。然而，这一范式转变的成功完全取决于我们工程实现的严谨性。

当你开始设计自主安全路线图时，不要被完全自主、自愈企业的炒作所迷惑。专注于基础：建立明确的信任边界，实现 MDASH 路由模式以优化延迟和成本，对所有智能体输出强制执行严格的模式验证，并维护健壮的人在环安全阀。通过采取纪律严明、分阶段的智能体自动化方法，你可以将安全运维从反应式瓶颈转变为主动、弹性且自卫系统。

🔗 原文发布于 ixuvo.com

如需进一步操作，你可以考虑屏蔽此人和/或举报滥用