SAAGE：协同自主代理，用于生成网络安全事件评估
一个自动化路由安全事件分析流程——一个由MCP驱动的框架，利用大型语言模型（LLMs）进行多源数据理解、关联、可视化和报告生成。
这项工作展示了基于大型语言模型（LLM）驱动的智能体管道在扩展网络安全运营方面的潜力——提高了响应的及时性、可重复性以及分析师的工作效率。
代理设计框架
该架构旨在对网络安全事件进行全面且自动化的分析。它涵盖了从异常检测、多源数据和情报收集、数据关联与可视化、上下文事件情报关联，到自动生成报告和格式化输出的整个工作流程。
通过利用大型语言模型（LLMs）和模型上下文协议（MCP）的能力，系统可以根据需求在不同节点之间动态切换不同的LLM提供商。整体架构如下图所示：
特点/特性
该代理实现了以下核心功能：
- 监控与告警 - 持续监控安全事件并发出通知
- 相关性与分析——多源数据集成与分析处理
- 动机与意图分析——评估威胁行为者的目标和策略
- 追踪与评估——对安全事件进行持续监控和评估
- 报告与预警 - 自动生成全面报告和警报
代理实施程序
以下所示的当前工作流设计实现了路由安全事件的全自动分析。它综合利用搜索引擎、内部和外部流量数据以及BGP路由信息库（RIB）数据来分析特定的网络事件。
这一实现方案支持灵活的大语言模型（LLM）替换，并且可以扩展以支持新的机器控制协议（MCP）功能。
以下是一份分析报告中的样本摘录：
用法
- 安装Dify - 请遵循安装指南，指南链接为：https://docs.dify.ai/en/introduction
- 导入工作流 - 将工作流配置YAML文件导入到Dify中
- 配置MCP服务 - 在Dify配置中设置并启用所需的MCP服务。某些服务可能需要事先授权（例如，Google搜索、Cloudflare Radar）
- 配置大型语言模型（LLM） - 修改并配置您偏好的大型语言模型（例如，Gemini、GPT、DeepSeek）
- 部署并运行 - 发布Dify应用程序，启动程序，输入分析目标和日期范围，等待生成综合报告