Panguard's five-stage security pipeline — Detect, Analyze, Respond, Report, and Chat — processes threats through a three-tier AI funnel where 90% of threats are caught by local rules, 7% by local AI, and only 3% require cloud analysis.
運作原理
Panguard 怎麼 保護你
五層防禦。三級 AI 分析。一行指令部署。
一目了然
層層遞進的安全思維
每一層攔截上一層漏掉的威脅。組合起來，形成一個適應你環境的防禦系統。
<50ms
平均偵測時間
90%
僅靠規則引擎攔截的威脅
7 天
學習你的正常狀態
五階段偵測
五階段偵測，攔截別人漏掉的
從靜態分析到上下文記憶，每一階段都增加智慧。
環境探索
自動掃描你的基礎設施：作業系統、服務、開放端口、安裝套件、執行中的程序。
這是 Panguard 學習你的環境「正常」樣貌的方式。
規則引擎
3,760條 Sigma 規則 + 5,961 條 YARA 規則 + Suricata 網路 IDS + Falco eBPF 監控。
50 毫秒內攔截 90% 已知威脅。不需要 AI。
行為基線
7 天學習期。Panguard 觀察你的系統但不採取行動，建立正常行為模型。
第 8 天自動進入保護模式。從第一天起就不會有誤判。
AI 分析
當規則無法解釋一個行為時，AI 介入。先用本地指紋比對 & 啟發式分析（零設定，完全離線）。只在必要時用雲端 LLM。
三層漏斗：90% 規則 / 7% 本地啟發式 / 3% 雲端 AI。雲端分析由 Threat Cloud 伺服器端執行 -- 所有用戶完全免費。
自動回應
11 種回應動作：log_only、notify、block_ip、kill_process、disable_account、isolate_file、block_tool、kill_agent、quarantine_session、revoke_skill、reduce_permissions。針對 AI agent 威脅的 ATR 專用動作。
信心值 >= 85%：自動執行。50-84%：附證據警報，建議動作。< 50%：記錄供調查。速率限制：kill_agent 3 次/分鐘、block_tool 10 次/分鐘。
AI 漏斗
三層架構。最低成本。最高準確率。
90% 的威脅不需要 AI。我們先用規則，再用 AI，最後才用雲端。
規則引擎
90%- 3,760條 Sigma 偵測規則
- 5,961 條 YARA 惡意程式特徵
- Suricata 網路 IDS 規則
- Falco eBPF 系統呼叫監控
- 行為基線偏差偵測
每事件 <50ms
本地 AI
7%- 指紋比對 & 啟發式分析
- 零設定 -- 開箱即用
- 完全離線 -- 數據不會外洩
- 處理規則無法分類的模糊事件
每次分析約 2 秒
雲端 AI
3%- Claude Sonnet 4（Threat Cloud 伺服器端）
- 僅在本地分析不確定時才啟動
- 伺服器端執行 -- 所有用戶免費
- 多步推理鏈（最多 8 步）
每次分析約 5 秒
AGENT 管線
五個 AI Agent。一個調查引擎。
每個 Agent 有專業分工。組合起來，形成一個自主的資安團隊。
DetectAgent
監控 5 個來源：網路、程序、檔案系統、系統日誌、正規化事件。
AnalyzeAgent
關聯警報、判定嚴重程度、映射到 MITRE ATT&CK 框架。
RespondAgent
根據信心閾值執行回應。自動、詢問或通知。
ReportAgent
產生人類可讀的事件報告，透過 Telegram/Slack/Email 發送。
調查引擎
對複雜事件進行深入調查，最多 8 步推理鏈。
自動回應
八種動作。三個信心等級。
Panguard 不只偵測，還會行動 -- 包含針對 AI agent 威脅的 ATR 專用回應動作。
封鎖 IP
跨平台防火牆規則，自動解封計時器
終止程序
SIGTERM 再 SIGKILL，程序樹清理
隔離檔案
SHA-256 雜湊隔離，可還原
封鎖工具
阻止 MCP 工具呼叫（速率限制：10 次/分鐘）
終止 Agent
終止失控的 AI agent session（速率限制：3 次/分鐘）
隔離 Session
將受損的 AI agent session 與其他資源隔離
撤銷 Skill
從白名單移除 skill 並封鎖後續呼叫
降低權限
將 agent 存取等級降至最低權限
7 天學習期
先觀察，再行動。
從第一天起就不會誤判。Panguard 先學習你的環境，再做決策。
第 1-3 天
觀察期
程序基線、網路模式、檔案變更模式、使用者行為。
第 4-7 天
統計建模
建立平均值 + 標準差模型。識別真正的異常。
第 8 天起
保護模式
自動進入主動保護。持續學習 -- 基線隨你的環境演進。
優雅降級
你的防護永遠不會歸零。
雲端掛了？本地 AI 接手。本地 AI 掛了？規則引擎永遠在跑。
最佳狀態
所有層級啟用。雲端 AI + 本地 AI + 規則引擎。
雲端不可用
本地 AI 處理複雜分析。規則引擎攔截已知威脅。
LLM 離線
規則引擎 + 行為基線。仍攔截 90% 的威脅。
緊急模式
僅規則引擎。核心防護永遠運行。