Argus-Agentic-SOC-Platform 是一个开源的 AI 原生智能体安全运营中心（Agentic SOC）平台。本教程带你从零开始，一步步完成MCP 工具（模型上下文协议工具）与Skills 技能的配置，让你的 AI 安全运营智能体能够调用工单上下文、查询资产 CMDB、提取 IOC，并自动套用勒索软件响应、钓鱼邮件分诊等专业安全调查技能。

为什么需要配置 MCP 工具与 Skills

对于安全分析员来说，逐条查看告警、查询资产、提取 IOC 非常耗时。Argus 的 AI 智能体可以把这些工作自动化：

• MCP 工具：让 AI 在分析过程中实时调用外部安全服务，获取结构化工单上下文、相似案例、CMDB 资产信息和 IOC 提取结果；
• Skills 技能：一组 Markdown 定义的专业调查手册（如ransomware-response、phishing-triage），AI 会根据告警内容自动选用匹配的技能，按专家方法论输出调查结论。

两者配合后，AI 智能体从"会聊天"升级为"会干活"的 Agentic SOC 分析助手。

第一步：打开 AI Assistant 设置页面

导航路径：

Administration（管理） → AI Assistant

进入页面后你会看到四个标签页：General（通用设置）、MCP Management（MCP 管理）、Skills Management（技能管理）、Monitors（监控）。先完成通用设置，MCP 和 Skills 才有意义。

通用设置（General）必填项清单

填写完成后，点击Test Connectivity验证端点与 Key 是否有效，再点击Save General保存。通用设置存储在浏览器本地，MCP 与 Skills 配置则存储在服务端，团队内共享。

⚠️ 安全提示：请勿在截图、文档或聊天中分享 API Key 等敏感凭证。

第二步：认识内置 MCP 工具

MCP（Model Context Protocol，模型上下文协议）让 AI 能够调用外部服务。Argus 在backend/ai_assistant/模块中内置了 4 个开箱即用的 MCP 工具（源码见 mcp_views.py 与 mcp_gateway.py）：

内置工具无需额外配置即可使用——只要通用设置开启，AI 在分析工单时就会自动按需调用它们。

第三步：添加外部 MCP Server

如果你的团队还有威胁情报平台、SIEM 查询等自建 MCP 服务，可以在MCP Management标签页接入（数据模型见 models.py 的ExternalMCPServer）：

添加外部 MCP 服务器步骤：

1. 点击 MCP 管理区域的Add MCP；
2. 在弹窗中填写三项信息：
   • Name— 服务器显示名称（如threat-intel-mcp）；
   • URL— MCP 服务端的 JSON-RPC 端点地址；
   • Description— 该服务器提供哪些工具（AI 会据此判断何时调用）。
3. 点击Save保存，即可启用/停用单个服务器。

添加后，AI 智能体会自动向该服务器发起tools/list发现其全部工具，并在分析会话中按相关性路由调用（动态路由逻辑见 mcp_gateway.py 的invoke_mcp_tool_from_prompt）。

第四步：配置 Skills 技能

Skills 是 AI 可读取的"专家调查手册"，每个技能就是一个目录加一份SKILL.md文件（带 name/description 的 YAML front matter），统一存放在 backend/skills/ 目录。

仓库内置了 10 个面向 SOC 场景的技能，例如：

在 Skills Management 标签页中：

1. 在技能列表中切换Enabled开关，控制 AI 能否看到该技能；
2. 点击Add Skill新增自定义技能，填写：
   • Name— 技能标识符（与目录名一致）；
   • Version— 语义化版本号；
   • Description— 技能用途（AI 据此判断何时调用，建议写清楚适用场景）；
   • Content (SKILL.md)— 完整的 Markdown 技能定义。
3. 点击Save保存。

💡 小技巧：技能的description写得越具体（包含攻击类型、关键指标词），AI 路由器在匹配时的命中率越高。

第五步：用 MCP 与 Skill 监控验证接入

配置完成后，切换到监控标签确认 AI 真的在调用工具：

• MCP Status Monitor：展示 Total Calls、Success Rate、Last Called 及每次调用的详细日志（工具名、耗时、状态、错误信息）。数据来源于服务端持久化的MCPToolExecution记录（见 models.py）。
• Skill Monitor：展示每个技能的调用次数与成功/失败统计。若某技能调用次数为 0 属正常现象——技能只在 AI 判断适用时才被读取，可先在聊天中明确提示 AI 使用某技能来验证。

实战验证：在工单中调用 AI 智能体

所有配置就绪后，进入Investigation → Tickets → 任意工单 → Incident 标签页：

1. 点击Run AI Assistant触发一键分析。AI 会先读取工单告警数据，再自动调用ticket_context、observables_extract、cmdb_asset_lookup等 MCP 工具，并按需加载匹配技能，产出告警解释、风险级别建议与后续任务；
2. 点击Chat打开工单级对话（聊天上下文自动携带工单元数据与关联告警，历史按工单持久化）。试试这些提示：
   • "从这条告警中提取所有 IOC，格式化为列表。"
   • "分析这批告警隐含的攻击链。"
   • "这是真阳性还是误报？请给出理由。"

3. 也可以在工作日志中直接输入@ai <问题>，AI 的回复会直接发布到工作日志线程。

故障排查速查表

总结

按照本文步骤，你已经完成了 Argus AI 安全运营智能体的完整接入：

1. General 通用设置— 打通 OpenAI 兼容模型端点；
2. MCP 管理— 启用 4 个内置工具 + 接入外部 MCP Server；
3. Skills 管理— 启用 10 个内置安全调查技能并自定义新技能；
4. 监控面板— 验证每次工具与技能调用的真实执行轨迹；
5. 工单实战— 一键分析与 AI Chat 中体验 Agentic SOC 的完整调查闭环。

更多源码细节可参考 ai_assistant 模块 下的 chat_agent.py（智能体主循环与工具调用）、skill_library.py（SKILL.md 解析）以及前端设置页面 AiAssistantSettings.tsx，帮助官方文档 docs/architecture.md。