MukundaKatta/protocol-sift-agent

# 协议筛选代理 为 **FIND EVIL** 黑客松构建的自动事件响应代理 （SANS / Protocol SIFT）。在 Gemini 2.5 + Google Cloud Agent Builder (ADK) 技术栈上端到端处理 SIFT 案例，遍历 Protocol SIFT MCP 服务器，并在表面"恶意软件"指标被更深层的取证证据推翻时**可见地自我修正**。 ## 为何需要自我修正 大多数生产环境中的"恶意软件"警报是误报，由被批准的管理工具引起，这些工具与真实攻击共享表面指标（从 `%TEMP%` 运行、由计划任务触发、base64 编码的 PowerShell）。优秀的二级分析师会快速形成工作假设，当签名、IOC 源、父进程和变更管理记录不一致时，会大声修正它。代理的系统提示将此模式强制输出。 ## 技术栈 - **模型**：通过 Vertex AI 使用 Gemini 2.5 Flash - **Agent 运行时**：`google.adk.agents.LlmAgent` + `McpToolset` - **MCP**：Protocol SIFT 工具接口 — `list_artifacts`、`examine_binary`、`compute_hash`、`check_ioc`、`get_process_tree`、`query_event_log`、`list_persistence_mechanisms` - **仪表盘**：Streamlit，可部署到 Cloud Run - **许可证**：Apache 2.0 ## 预置案例 `CASE-2026-0518-001` 已接入存根 MCP，以便评审员无需任何集群设置即可重现自我修正。附带三个工件： | 工件 | 表面现象 | 深层真相 | |---|---|---| | 位于 `C:\Windows\Temp` 的 `update_helper.exe` | 混淆字符串 + 由计划任务触发 + 从临时目录运行 | 微软签名、IOC 干净、父进程是 `DOMAIN\svc_endpoint_admin`（经批准的服务账户） | | 包含 base64 和 `iex` 的 PowerShell evtx | 可疑 | 从已批准的端点管理器 IP 记录，属于变更 `CR-2026-MAY-0517` | | `\Microsoft\Windows\IT\NightlyMaintenance` 计划任务 | 每夜循环运行，以 SYSTEM 身份运行 | 已存在 412 天，所有者为 `endpoint-management@acme.example`，符合组织基线 | 天真分析师（或过于自信的 LLM）会将其称为 **MALWARE CONFIRMED**（恶意软件已确认）。 完整遍历工具会迫使判定翻转为 **FALSE POSITIVE — 经批准的管理活动**（误报 — 经批准的管理活动）。 ## 输出规范 系统提示要求输出恰好包含以下标记部分： ``` CASE: INITIAL HYPOTHESIS: ... EVIDENCE GATHERED: signature / iocs / process tree / logon / change window / persistence SELF-CORRECTION: ... FINAL VERDICT: TRUE POSITIVE / FALSE POSITIVE / INCONCLUSIVE EVIDENCE TRAIL: ... NEXT STEP: ... ``` 如果 `INITIAL HYPOTHESIS`（初始假设）与 `FINAL VERDICT`（最终判定）不同，`SELF-CORRECTION`（自我修正）段落必须指明使其翻转的确切证据。 ## 运行 ``` pip install -e . python -m streamlit run app/dashboard.py ``` 要使用真实的 Protocol SIFT MCP 服务器而非存根，请切换侧边栏开关并设置 `SIFT_CASE_ENDPOINT` + `SIFT_API_TOKEN`。 ## 测试 ``` pip install -e ".[dev]" pytest -q ``` 测试套件固化了自我修正规范：表面指标可疑，深层指标干净，存根在多次运行中保持一致性，以确保代理评估的公平性。 ## 代码库与演示 - 代码：https://github.com/MukundaKatta/protocol-sift-agent - Cloud Run：https://protocol-sift-agent-1029931682737.us-central1.run.app - 演示视频（YouTube 未列出）：https://youtu.be/bcPKeo6DPXM Apache 2.0 许可证。在 FIND EVIL 竞赛期间独立构建。

标签：AI代理, AMSI绕过, Apache 2.0许可证, Cloud Run, DAST, Gemini 2.5, Google Cloud Agent Builder, IOC检查, Kubernetes, LLM代理, PowerShell分析, Protocol SIFT MCP, Streamlit, 临时文件分析, 事件响应系统, 事件日志分析, 威胁检测, 恶意软件分析, 持久化机制检查, 数字取证, 智能分析, 案例研究, 法证证据, 网络安全, 自主事件响应, 自动化安全分析, 自动化脚本, 自纠正机制, 计划任务分析, 访问控制, 误报分析, 进程树分析, 逆向工具, 隐私保护, 黑客马拉松