Идея: Полностью автономный интеллектуальный охранник на малинке, который не спит, не пьет и видит паттерны там, где человек видит шум.
Ключевая идея: Агент не ждет конца дня! Каждое событие обрабатывается сразу и быстро.
[Датчик S1 сработал]
|
▼ (MQTT / HTTP)
[Raspberry Pi]
|
▼ (Событие падает в буфер Redis или прямо в MySQL)
[Гермес-обработчик] (Python-скрипт, висит в фоне)
|
├── 1. Смотрит: "А что было за последние 2 минуты?"
├── 2. Собирает последовательность (S1->S2)
├── 3. Отправляет в LLM с контекстом (память + история)
├── 4. Получает вердикт (Человек/Кошка/Глюк/Тревога)
└── 5. Если ТРЕВОГА → мгновенное письмо на почту
Основная фишка: Сырые данные живут 3 дня, потом или удаляются, или становятся "Доверенными паттернами".
CREATE TABLE raw_events (
id INT AUTO_INCREMENT PRIMARY KEY,
sensor_id VARCHAR(10),
event_time DATETIME,
sequence_path VARCHAR(100), -- 'S1->S2->S3'
ai_verdict VARCHAR(20), -- 'HUMAN', 'CAT', 'GLITCH', 'INTRUDER'
user_feedback VARCHAR(20), -- Ваша поправка (если есть)
created_at DATETIME,
expires_at DATETIME -- Через 3 дня удаляется
);
CREATE TABLE trusted_patterns (
id INT AUTO_INCREMENT PRIMARY KEY,
pattern VARCHAR(100),
verdict VARCHAR(20),
confirmation_count INT DEFAULT 1,
last_seen DATETIME,
is_active BOOLEAN DEFAULT TRUE
);
CREATE TABLE blacklist (
id INT AUTO_INCREMENT PRIMARY KEY,
pattern VARCHAR(100),
reason TEXT,
created_at DATETIME
);
Шаг 1: Датчик дернулся → скрипт пробуждается.
Шаг 2: Забирает последние события за 2 минуты.
Шаг 3: Формирует промпт для LLM:
"Ты охранник. Новая последовательность: S1->S2 за 2 секунды.
Учти мои знания из базы:
- Паттерн S1->S2 днем = ЧЕЛОВЕК (подтвержден 10 раз)
- Паттерн S1->S2 ночью = КОШКА (подтвержден 3 раза)
- Одиночные S3 = ГЛЮК (в черном списке)
Что сейчас произошло? Ответь строго в формате JSON:
{"verdict": "HUMAN|CAT|GLITCH|INTRUDER", "confidence": 0.95, "explanation": "..."}"
Шаг 4: Если вердикт "INTRUDER" (незнакомец) — шлем email/Telegram мгновенно.
Шаг 5: Запоминаем ответ ИИ в raw_events.
user_feedback = 'GLITCH' в таблицу raw_events.trusted_patterns и удаляет старую фигню.curl -fsSL https://ollama.com/install.sh | sh) и скачать модель llama3.2:3b (для слабого Pi) или mistral.systemd (автозапуск при включении).То, что мы обсуждали — чистим базу от мусора каждый день.
raw_events, где expires_at < NOW().confirmation_count < 5 — если есть исправления, пересмотреть.trusted_patterns, которые не видели 30 дней.ИИ-агент в безопасности — это не нейросеть, а система из трех частей: 1. Быстрый сбор данных (MQTT).
2. Решение в реальном времени (LLM).
3. Критически важная память (БД с автозачисткой).
Агент не "думает" сложно. Он просто сравнивает текущий паттерн с тем, что уже сохранено в БД, и если не находит — спрашивает у LLM.
И да, если у вас на даче 20 датчиков, Raspberry Pi 4 с 4 ГБ ОЗУ справится легко. Даже Pi 3B+ потянет, если модель поставить маленькую (llama3.2:3b).
Это не один умный скрипт, а целая экосистема (Multi-Agent System), где каждый агент занимается своей узкой задачей и общается с коллегами. Вся эта "команда" управляется главным координатором, который распределяет задачи и следит, чтобы никто не сошел с ума.
В корпоративной среде доверять агенту на слово — непозволительная роскошь. Поэтому внедряются Sentinel-агенты:
Корпорации не отправляют каждый чих в дорогой LLM. Вместо этого используется эшелонированная защита:
rm -rf / на сервере БД — блокировка без ИИ.Вместо того чтобы хранить все логи в одной базе (как у нас на даче), корпорации используют SIEM-системы (Wazuh, Rapid7, Splunk). Они агрегируют миллиарды событий, делают нормализацию и отдают агенту только то, что действительно интересно. Агент работает с готовыми выжимками, а не с сырыми данными.
| Аспект | "Гермес" на Raspberry Pi (дача) | Корпоративный ИИ-агент |
|---|---|---|
| Масштаб | ~20 датчиков | >100 000 датчиков, логов, алертов |
| Архитектура | Один агент + прямая БД | Экосистема специализированных агентов + координатор + сентинелы |
| Главная проблема | Отличить кошку от глюка | Обнаружить сложные атаки, избежать ложных блокировок, обеспечить аудит |
| Безопасность агента | "Забыть" плохой паттерн | Sentinel-агенты постоянно проверяют все действия других агентов |
| Анализ событий | Каждое событие → LLM | Трехуровневый фильтр: правила → LLM → глубокое расследование |
| Исполнение | Python-скрипт в фоне | Сложная цепочка с SIEM, HITL-шлюзами (человек в цикле) и неизменяемыми аудит-логами |
Комментарии
Пока нет комментариев. Будьте первым!