如何在Argus中配置MCP工具与Skills：AI安全运营智能体接入实战指南

【免费下载链接】Argus-Agentic-SOC-PlatformAn open source AI-native agentic SOC platform项目地址https://gitcode.com/gh_mirrors/ar/Argus-Agentic-SOC-Platform点击查看免费下载Argus-Agentic-SOC-Platform 是一个开源的 AI 原生智能体安全运营中心Agentic SOC平台。本教程带你从零开始一步步完成MCP 工具模型上下文协议工具与Skills 技能的配置让你的 AI 安全运营智能体能够调用工单上下文、查询资产 CMDB、提取 IOC并自动套用勒索软件响应、钓鱼邮件分诊等专业安全调查技能。为什么需要配置 MCP 工具与 Skills对于安全分析员来说逐条查看告警、查询资产、提取 IOC 非常耗时。Argus 的 AI 智能体可以把这些工作自动化MCP 工具让 AI 在分析过程中实时调用外部安全服务获取结构化工单上下文、相似案例、CMDB 资产信息和 IOC 提取结果Skills 技能一组 Markdown 定义的专业调查手册如ransomware-response、phishing-triageAI 会根据告警内容自动选用匹配的技能按专家方法论输出调查结论。两者配合后AI 智能体从会聊天升级为会干活的 Agentic SOC 分析助手。第一步打开 AI Assistant 设置页面导航路径Administration管理 → AI Assistant进入页面后你会看到四个标签页General通用设置、MCP ManagementMCP 管理、Skills Management技能管理、Monitors监控。先完成通用设置MCP 和 Skills 才有意义。通用设置General必填项清单设置项说明Enable AI Assistant总开关必须开启工单页才会显示 AI 功能OpenAI API Key管理员提供的 OpenAI 兼容 API KeyModel模型标识符如gpt-4oBase URLAPI 端点地址如https://api.openai.com/v1Timeout请求超时秒数默认 45慢速模型可调大填写完成后点击Test Connectivity验证端点与 Key 是否有效再点击Save General保存。通用设置存储在浏览器本地MCP 与 Skills 配置则存储在服务端团队内共享。⚠️ 安全提示请勿在截图、文档或聊天中分享 API Key 等敏感凭证。第二步认识内置 MCP 工具MCPModel Context Protocol模型上下文协议让 AI 能够调用外部服务。Argus 在backend/ai_assistant/模块中内置了 4 个开箱即用的 MCP 工具源码见 mcp_views.py 与 mcp_gateway.py工具作用ticket_context获取当前工单完整上下文标题、状态、时间线、工作日志ticket_search_similar_cases按 IOC 与标题检索历史相似工单参考以往定级cmdb_asset_lookup通过 IP、主机名、资产编号从 CMDB 查询资产元数据observables_extract从告警原文提取并规范化 IOCIP、域名、哈希、邮箱、进程等 11 类内置工具无需额外配置即可使用——只要通用设置开启AI 在分析工单时就会自动按需调用它们。第三步添加外部 MCP Server如果你的团队还有威胁情报平台、SIEM 查询等自建 MCP 服务可以在MCP Management标签页接入数据模型见 models.py 的ExternalMCPServer添加外部 MCP 服务器步骤点击 MCP 管理区域的Add MCP在弹窗中填写三项信息Name— 服务器显示名称如threat-intel-mcpURL— MCP 服务端的 JSON-RPC 端点地址Description— 该服务器提供哪些工具AI 会据此判断何时调用。点击Save保存即可启用/停用单个服务器。添加后AI 智能体会自动向该服务器发起tools/list发现其全部工具并在分析会话中按相关性路由调用动态路由逻辑见 mcp_gateway.py 的invoke_mcp_tool_from_prompt。第四步配置 Skills 技能Skills 是 AI 可读取的专家调查手册每个技能就是一个目录加一份SKILL.md文件带 name/description 的 YAML front matter统一存放在 backend/skills/ 目录。仓库内置了 10 个面向 SOC 场景的技能例如技能适用场景ransomware-response勒索软件批量文件变更、加密进程、横向移动的隔离与取证phishing-triage钓鱼邮件发件人认证、URL、附件与遏制建议suspicious-login-investigation异常登录源 IP、地理位置、MFA 上下文dns-c2-investigationDNS 命令控制高熵域名、信标行为识别incident-containment-planning事件遏制规划在 Skills Management 标签页中在技能列表中切换Enabled开关控制 AI 能否看到该技能点击Add Skill新增自定义技能填写Name— 技能标识符与目录名一致Version— 语义化版本号Description— 技能用途AI 据此判断何时调用建议写清楚适用场景Content (SKILL.md)— 完整的 Markdown 技能定义。点击Save保存。 小技巧技能的description写得越具体包含攻击类型、关键指标词AI 路由器在匹配时的命中率越高。第五步用 MCP 与 Skill 监控验证接入配置完成后切换到监控标签确认 AI 真的在调用工具MCP Status Monitor展示 Total Calls、Success Rate、Last Called 及每次调用的详细日志工具名、耗时、状态、错误信息。数据来源于服务端持久化的MCPToolExecution记录见 models.py。Skill Monitor展示每个技能的调用次数与成功/失败统计。若某技能调用次数为 0 属正常现象——技能只在 AI 判断适用时才被读取可先在聊天中明确提示 AI 使用某技能来验证。实战验证在工单中调用 AI 智能体所有配置就绪后进入Investigation → Tickets → 任意工单 → Incident 标签页点击Run AI Assistant触发一键分析。AI 会先读取工单告警数据再自动调用ticket_context、observables_extract、cmdb_asset_lookup等 MCP 工具并按需加载匹配技能产出告警解释、风险级别建议与后续任务点击Chat打开工单级对话聊天上下文自动携带工单元数据与关联告警历史按工单持久化。试试这些提示从这条告警中提取所有 IOC格式化为列表。分析这批告警隐含的攻击链。这是真阳性还是误报请给出理由。也可以在工作日志中直接输入ai 问题AI 的回复会直接发布到工作日志线程。故障排查速查表问题现象排查步骤AI 完全不响应检查 Enable 开关验证 API Key / Model / Base URL运行 Test ConnectivityMCP 工具无调用记录查看 MCP Status Monitor 的失败日志确认工单内容是否触发该工具场景外部 MCP Server 调用失败核对 URL 是否为 JSON-RPC 端点检查网络与 Token确认tools/list可达Skill 调用次数始终为 0技能仅在被 AI 认为适用时才调用可在 Chat 中显式提示技能名验证分析结论不准确AI 仅使用当前工单上下文在战情室补充更多证据可提升质量总结按照本文步骤你已经完成了 Argus AI 安全运营智能体的完整接入General 通用设置— 打通 OpenAI 兼容模型端点MCP 管理— 启用 4 个内置工具 接入外部 MCP ServerSkills 管理— 启用 10 个内置安全调查技能并自定义新技能监控面板— 验证每次工具与技能调用的真实执行轨迹工单实战— 一键分析与 AI Chat 中体验 Agentic SOC 的完整调查闭环。更多源码细节可参考 ai_assistant 模块 下的 chat_agent.py智能体主循环与工具调用、skill_library.pySKILL.md 解析以及前端设置页面 AiAssistantSettings.tsx帮助官方文档 docs/architecture.md。赞分享【免费下载链接】Argus-Agentic-SOC-PlatformAn open source AI-native agentic SOC platform项目地址https://gitcode.com/gh_mirrors/ar/Argus-Agentic-SOC-Platform点击查看免费下载相关推荐如何把 WeKnora 智能体接入外部 MCP 服务并配置认证、测试连接与选择工具如何把 WeKnora 智能体接入外部 MCP 服务并配置认证、测试连接与选择工具 如果你的 WeKnora 智能体需要调用外部系统的工具查询内部系统、操作第人工智能大模型RAGAI Agent后端前端MCP 服务知识库dsh-plugin工具调用在 Neovim 中接入 DeepSeekminuet-ai.nvim 智能代码补全配置实战指南在 Neovim 中接入 DeepSeekminuet ai.nvim 智能代码补全配置实战指南 minuet ai.nvim 是一款面向 Neovim 0.文档在 goose 中接入 Nostrbook MCP 扩展安装配置与 NIP-61 实战指引在 goose 中接入 Nostrbook MCP 扩展安装配置与 NIP 61 实战指引 本篇技术指南讲解如何将 Nostrbook MCP Server人工智能大模型AI AgentAI 应用本地部署MCP ClientsMCP 服务工具调用桌面应用CLI创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考