IOC 検索用に AI モデルを接続する

GoChannel Desk は、標準の API エンドポイント経由のクラウド AI プロバイダー、自分の PC で動くモデル、または内蔵モデルと連携します。この選択は重要です。プロンプトに含まれるログの行がどこへ送られるかが決まり、ログにユーザー名や IP アドレスが含まれる場合には特に大切です。

モデルを接続する 3 つの方法

クラウドの AI プロバイダー

クラウドの AI プロバイダーは標準の API エンドポイント経由で接続し、大きなログフォルダや難しい推論に向いています。プロンプトはそのエンドポイントに送られるため、エージェントが含めたログの行は PC の外に出ます。ツール出力の機密情報はモデルに届く前に伏せ字になります。ログには個人データが含まれます。ユーザー名や IP アドレスを含む通常のログの行もエンドポイントに送られるので、先に組織のルールを確認してください。

PC 上のモデル

PC 上でローカルに動くモデルは、すべてをマシンの中に留めます。ローカルモデルなら何も外に出ないため、ユーザー名やアドレスを含むログや、非公開にすべきインシデントに合っています。速度と品質は、お使いのハードウェアと実行するモデルによって変わります。まず無害なサンプルのログで試してください。

内蔵モデル

内蔵モデルは、手元にエンドポイントやキーがないときに試せる選択肢です。品質にはばらつきがあります。出力は他のモデルと同じように確認し、機密性のあるログのコピーを渡す前に、個人データに関する組織のルールに従ってください。

Test でエンドポイントを確認する

Test ボタンは、エンドポイントを頼りにする前に確認します。応答時間とコンテキストウィンドウが表示され、1 回のリクエストにどれだけのログのテキストが収まるかがわかります。変更後はもう一度テストしてください。ウィンドウが小さいなら、エージェントには小さめのファイルを渡すか、一度に 1 つのフォルダだけを渡しましょう。

ログ検索に合うモデルの選び方

複数のログファイルにまたがるヒットの突き合わせや調査結果のメモの下書きのように判断が必要な手順には大きめのモデルを、iocs.txt の無害化したテキストを元に戻すような小さな編集には小さめのモデルを使います。run_on_model は難しい手順を 1 つだけ大きなモデルに送り、残りの作業は既定のモデルで進めます。組み合わせて使ってください。

モデルによって品質は異なります。すべての diff と検索結果を自分で確認し、新しいモデルを試すときは Ask first を使って、すべての変更があなたの承認を待つようにしてください。クリーンな結果は、システムが安全であることを決して証明しません。