Tomasz Tchorz

检测工程站在网络安全的前沿，但它往往是一团纠缠的复杂网络。传统的检测编写涉及艰苦的手工过程，包括理解日志格式和模式、创建复杂查询、威胁建模，以及反复的手工检测测试和打磨，既耗时，又依赖专门技能。这会导致威胁覆盖出现缺口，以及多到压垮人的告警。在 Block，我们面对不断演进的威胁和错综复杂的系统。为了保持领先，我们采用了 AI 驱动的方案，尤其是 goose（Block 的开源 AI 智能体）和 Panther MCP，让更广的组织能为自己擅长的领域贡献高质量规则。本文深入讲我们如何把复杂的检测工作流变成精简、由 AI 驱动、所有相关方都能用的流程。