智能体使用简介 #

目前智能体已上线六大核心功能，覆盖了从知识咨询到策略生成、再到集群自动加固的完整链路。

智能体入口：

知识问答 #

通用问答智能体内置了 vArmor 完整的产品知识体系，涵盖功能介绍、概念解释、使用方法、最佳实践等内容。用户可通过自然语言提问，快速获取精准答案，无需在文档中逐页查找。
技术上采用 RAG 知识库检索 + 文档树检索 双路召回机制，结合 vArmor 专业背景知识，确保智能体既能回答 "是什么、为什么" 的概念性问题，也能解答 "怎么配、怎么用" 的实操性问题，均能给出贴合场景的准确解答。
示例问题：

增强防护模式策略模版生成 #

面向 vArmor 的 EnhanceProtect(Allow-by-Default) 模式，该智能体将 "选规则、判环境、避冲突、出模板" 的全过程自动化。用户只需描述运行环境、应用特征与能力需求(可选附带行为数据)，即可生成策略模板的 YAML。
其处理链路可概括为四步：

1. 环境适配：根据 PaaS 平台、发行版、内核与 Kubernetes 版本，自动研判可用的 Enforcer (AppArmor / BPF / Seccomp)。信息不足时采取保守判定，确保生成的策略在目标环境中可落地执行。
2. 规则召回：加载 90+ 条内置规则，涵盖逃逸防护、能力管理、漏洞缓解等七大类，作为候选规则集。
3. 规则过滤：对候选规则进行多维校验，依次完成 Enforcer 兼容性匹配 → 上下文冲突检测 (应用特征 / 能力需求)→ 行为数据冲突检测 (能力、系统调用、执行程序、文件访问)，剔除会与业务实际运行需求冲突的规则。
4. 策略组装：按防护优先级组织入选规则，输出结构化 YAML; 默认采用观察模式 (仅审计、不阻断)，建议先观察验证、再切换强制模式，平滑上线。

其设计遵循两条核心原则：一是应用优先，应用声明的实际需求高于防护规则，从源头规避误杀；二是行为感知，在有行为数据时动态收敛规则，实现自适应加固。最终在安全覆盖面与业务可用性之间取得平衡，让用户无需具备深厚的安全背景，也能获得针对性的容器加固策略。
模板生成示例：

深度防护模式策略模版生成 #

面向 vArmor 的 DefenseInDepth(Deny-by-Default) 模式，该智能体基于应用真实行为数据生成白名单，只放行 "应用做过的事"，实现最小权限防护。它与增强防护分别对应两种不同的安全模型：增强防护采用 Allow-by-Default，基于内置规则库阻断已知危险，适合通用加固、快速见效；深度防护采用 Deny-by-Default，基于行为数据收敛出精确白名单，适合行为稳定、需要精细防护的关键业务。
与增强防护不同，深度防护完全由行为数据驱动、无需用户描述运行环境 —— 直接接收 BehaviorModeling 模式采集的行为数据，自动完成从原始行为数据到可落地策略模板的转化，并会根据数据规模自适应推荐分组参数。
其处理链路主要包含路径聚类与泛化两个核心环节：先将海量访问记录组织为前缀树，通过熵差分组自动定位最佳聚合层级，收敛零散记录；再借助大模型识别版本号、随机串等可变元素，将具体路径提炼为通配符规则（如 /python3.10/ → /python*/），使策略能适应应用演进。敏感系统路径（/proc、/etc等）会被优先隔离，不参与泛化。
其设计核心在于两点：一是自适应收敛，用熵差分组与 LLM 泛化，在 "规则过细导致难维护" 与 "规则过粗导致过度授权" 之间自动寻优；二是安全优先，敏感路径隔离、属主与权限的保守合并，确保白名单在精简的同时不留缺口。最终让原本需要人工解读、二次加工的行为建模数据，一步转化为高质量的纵深防护策略。

vArmor 的 DefenseInDepth 模式同时支持 AppArmor 与 Seccomp 两种 Enforcer，具体选用由用户决定，深度防护智能体不对目标环境做可用性校验。当前智能体默认生成 AppArmor Profile —— 因为 Seccomp Profile 不支持热更新，策略变更需重启工作负载才能生效，在迭代与运维体验上不及 AppArmor。若业务对系统调用层面的管控有需求，可在此基础上按需叠加 Seccomp。

模板生成示例：

附件示例 (api-gateway-behavior.json，节选，采集方式参见 BehaviorModeling Mode | vArmor)

{
  "metadata": { "name": "api-gateway", "namespace": "default" },
  "data": {
    "dynamicResult": {
      "appArmor": {
        "executions": ["/usr/bin/nginx", "/usr/local/bin/envoy"],
        "files": [
          { "path": "/etc/nginx/nginx.conf", "permissions": ["r"], "owner": true },
          { "path": "/etc/nginx/conf.d/",   "permissions": ["r"], "owner": true },
          { "path": "/var/log/nginx/",      "permissions": ["w", "a"], "owner": false },
          { "path": "/run/secrets/kubernetes.io/serviceaccount/token", "permissions": ["r"], "owner": true }
        ],
        "capabilities": ["net_bind_service"],
        "networks": {
          "sockets":  [{ "domain": "AF_INET", "type": "SOCK_STREAM", "protocol": "TCP" }],
          "egresses": [{ "ip": "10.0.0.0/8", "ports": [80, 443] }]
        }
      }
    }
  }
}

智能体分析后会返回策略模版 yaml 文件，并且文件提供直接下载功能：

集群自动加固 #

对于火山引擎 VKE (容器服务) 的用户，vArmor 可作为集群组件一键安装。但在多集群场景下，用户仍需逐个集群安装组件、配置策略，操作繁琐且难以保证防护的一致性。
自动加固配置智能体将这一流程自动化：用户只需预先配置一份自动加固配置(涵盖生效集群、组件版本、自动下发的防护策略及组件参数)，此后新增的 VKE 集群便会自动完成 vArmor 组件安装与策略下发，为持续扩张的集群提供统一、一致、开箱即得的安全防护。
一份自动加固配置由四部分构成：

• 生效集群：声明配置作用于哪些新增集群，支持全局生效或按标签匹配;
• 组件版本：新增集群自动安装的 vArmor 组件版本;
• 自动加固策略：集群接入后自动下发的防护策略列表，从已有的 vArmor 策略中选取作为下发模板;
• 组件安装参数：自动安装 vArmor 组件时使用的配置参数。

围绕这份配置，智能体提供查询、创建、编辑、删除、启停等全生命周期管理能力，用户通过自然语言即可完成运维操作，例如"当前自动加固开了没""给我看看现在的自动加固配置""帮我查询一下当前的加固策略列表"。

说明: 该功能仍在持续迭代中，现阶段存在以下限制，后续将根据反馈不断完善:

• 当前版本暂只支持维护一套自动加固配置;
• 自动下发的策略只能从存量集群中已有的加固策略里选取作为模板，不支持在配置过程中新建策略。若集群中尚无配备加固策略，请先前往云安全中心控制台，在 【容器加固 - 策略配置 - 新建策略】 页面完成策略创建。

场景示例（所有智能体入口均互通，此处展示为额外特定场景的侧边栏唤起按钮）：

自动加固智能体完整功能（均可由对话直接触发）：

自动诊断 #

面向 vArmor 组件异常、策略未生效、Pod 启动失败、权限拒绝等运行态问题，提供全自动的排障与分析能力。用户发起诊断后，智能体自动采集集群内 vArmor 各组件与目标负载的运行日志、策略状态、Workload/Pod 信息及 Kubernetes 事件，逐层验证策略从生成、注入到节点加载、运行时执行的完整链路，定位问题并输出有证据支撑的根因、修复建议与诊断报告。
策略列表与组件列表均配有快捷入口：对处于异常状态的条目，悬停状态标签弹出的「智能诊断」按钮，点击即可唤起智能体抽屉，对话框中已自动填入该组件 / 策略的上下文信息，直接发送即可开始诊断。

诊断完成后，智能体会产出一份分析报告，涵盖 vArmor 各组件的详细状态、异常原因分析、关键证据与修复建议，帮助用户快速定位并修复问题。

策略自动优化 #

建立一份最优的防护策略，通常要求用户既熟悉自身业务行为、又了解 vArmor 的内置规则，门槛较高。策略自动优化智能体将这一过程全自动化 —— 用户无需了解内置规则细节、也无需梳理业务行为，只需以优化任务的形式指定目标集群与策略、迭代轮次与每轮观察周期。优化任务创建后即自动执行：策略先以观察模式（仅审计、不阻断）运行并持续采集违规日志，对日志与规则进行归因，逐轮移除被证实阻碍必要业务的内置规则，如此往复，最终收敛出一份 "防护尽可能强、又不误伤业务" 的最优策略。
在 [容器加固 - 策略配置] 页面点击「配置自动优化任务」按钮，即可唤起智能体，发送预填的提示词触发创建流程。随后在智能体生成的卡片中填写本次任务的配置：目标集群、优化迭代轮次、观测间隔、业务上下文 (可选) 与策略内容。其中策略支持两种方式——直接输入会为你新建并下发策略，选择已有策略则对既有策略直接展开优化。

当前策略自动优化仅支持增强防护（EnhanceProtect）模式，您可以先使用容器加固智能体的“策略生成”功能生成一份增强防护模式的策略模版，然后再使用“策略自动优化”功能对其进行自动优化。
为采集更完整的业务行为数据，建议您创建任务后重启业务负载。

任务每轮执行完成后，可让智能体下载对应轮次的产物——优化报告与策略文件。优化报告包含本轮收集的违规日志：智能体对日志进行去重与归因，匹配规则后优化对应策略，并给出总结分析；策略文件则是本轮优化后的完整策略 YAML, 方便用户随时回滚或保存。

后续计划 #

0day 漏洞应急响应智能体 #

内核漏洞层出不穷，而漏洞从公开披露到被实际利用的窗口正在不断缩短。针对这一场景，我们已将漏洞分析方法论沉淀为 vArmor 漏洞策略生成器 Skill，输入漏洞信息即可产出针对性的缓解规则，把响应周期从数小时压缩到数分钟。（ skill 详见 vArmor 漏洞策略生成器：从漏洞披露到缓解策略的分钟级响应）
vArmor 漏洞策略生成器已把最难的漏洞根因分析、防御点识别与策略生成沉淀为标准化能力，让缓解规则的产出不再依赖专家逐个手写；而其产出的通用缓解草案，业务影响评估仍需结合具体环境判断。平台侧的应急响应智能体正是补齐这一环：它天然掌握用户侧的真实上下文 —— 前序智能体沉淀的策略与业务特征、行为建模数据、运行时审计日志等，可将通用草案收敛为贴合用户实际的防护方案。其规划的响应流程为：

• 漏洞研判： 自动收集漏洞情报 (公告、PoC、分析文章)，借助 AI 分析漏洞成因与利用链，识别其中可在内核 / 系统调用 / 网络 / 文件访问层面被阻断的利用步骤；
• 可缓解性评估： 判断该漏洞能否通过 vArmor 有效缓解，并从内置规则与自定义规则中择优匹配阻断方式，权衡各方案的防护精准度与业务影响；
• 结合用户实际的防护研判： 任何缓解规则的引入都可能影响正常业务 —— 这正是平台侧智能体的价值所在。智能体结合用户的行为数据与运行状况，预判候选规则是否会与该用户的实际行为冲突，从而为其推荐影响最小、最贴合业务的防护方案，而非套用统一模板；
• 推送与先观察后拦截： 将确定的缓解策略主动推送至受影响的工作负载，默认以观察模式上线 (仅审计、不阻断)，确认无业务冲突后再切换至拦截模式，在快速响应的同时规避误伤。

此外，即便某条缓解规则经评估确认与业务存在冲突、无法切换至拦截模式，将其保持在观察模式上线仍具有独立的防御价值：规则可持续观测潜在的漏洞利用行为，第一时间触发告警，作为入侵检测的补充手段。
这一闭环将漏洞应急从 "用户被动等待、手动处置" 转变为 "平台主动分析、按需推送"，让存量集群在漏洞利用窗口期内第一时间获得贴合自身业务的缓解能力。同时，分析与推送均保留人工审核环节，最终部署决策仍由安全工程师把控，确保方案在生产环境中的准确与稳妥。