Exemplos de indicadores de comprometimento que o agente pode procurar

O que o agente faz no trabalho com IOCs

• Arquivosread_file lê logs, write_file cria o iocs.txt, edit_file o altera com um diff, e grep e glob encontram ocorrências dentro da pasta de trabalho.
• Shellexecuta seus próprios comandos, como certutil -hashfile para calcular o hash de um arquivo ou findstr para buscar texto, e informa o código de saída real.
• Webweb_search e http_get leem alertas e relatórios de incidentes publicados, para você copiar os indicadores para a sua própria lista.
• Capturas de tela e imagenso ocr lê o texto de uma captura de tela, por exemplo uma tabela de indicadores que só foi publicada como imagem.
• Orquestraçãotask executa subagentes em paralelo em pastas de logs diferentes, skill guarda um roteiro reutilizável e run_on_model envia um passo difícil a um modelo maior.
• Modos de aprovaçãoAuto-run age de imediato, Ask first pausa antes de cada alteração e Plan only lista as buscas sem executar nada.
• Cronexecuta um prompt em horário programado, por exemplo uma busca semanal em uma exportação de logs nova que você copiou para a pasta.
• Modelosconecte um provedor de IA na nuvem, um modelo no seu próprio PC ou o modelo integrado, e clique em Test para verificar o endpoint.

Dois exemplos práticos

De anotações bagunçadas a uma lista limpa

Anotações em texto livre são comuns depois de um incidente, então o agente pode funcionar como um analisador básico de IOCs: o read_file abre a nota, o grep encontra tudo que parece um endereço, um hash ou um domínio, e o write_file salva um primeiro iocs.txt. É um rascunho. Depois que um dispositivo apresenta comportamento incomum, os indicadores coletados dos logs dele podem ir para a mesma lista. Valores como o nome de uma tarefa do evento de segurança 4698 ou o nome de um arquivo em uma pasta temporária precisam de olhos humanos, então peça ao agente que adicione uma linha de comentário dizendo de onde veio cada valor. Use no modo Ask first, leia o diff linha por linha e remova tudo o que for apenas um nome normal no seu ambiente.

Confira uma lista e depois compartilhe

Execute o grep nas suas cópias de logs para cada linha do iocs.txt e deixe o write_file salvar uma nota de achados ao lado dele. Se a sua equipe compartilha IOCs para enriquecimento e caça a ameaças, passe adiante apenas a lista revisada e «defanged», nunca os logs brutos. O GoChannel Desk não é um sistema de gestão de casos: ele escreve uma nota de achados na sua pasta, e o registro oficial do caso fica onde a sua equipe o guarda. Teste a rotina primeiro com valores de documentação inofensivos, como a faixa 192.0.2.x, e leia cada cartão conforme ele aparece antes de confiar nela em um incidente real.