Подключите ИИ-модель для поиска IOC
GoChannel Desk работает с облачным ИИ-провайдером через стандартный API-эндпоинт, с моделью на вашем ПК или со встроенной моделью. Выбор важен. От него зависит, куда уходят строки логов внутри промпта, а это существенно, когда в логах есть имена пользователей и IP-адреса.
Три способа подключить модель
Облачный ИИ-провайдер
Облачный ИИ-провайдер подключается через стандартный API-эндпоинт и подходит для больших папок с логами или более сложных рассуждений. Промпты уходят на этот эндпоинт, поэтому любые строки логов, которые агент включит в них, покидают ваш ПК. Секреты в выводе инструментов скрываются, прежде чем попасть к модели. В логах есть персональные данные. Даже обычные строки логов с именами пользователей и IP-адресами уходят на эндпоинт, поэтому сначала проверьте правила своей организации.
Модель на вашем ПК
Модель, запущенная локально на вашем ПК, оставляет всё на машине: с локальной моделью ничего не уходит, что подходит для логов с именами пользователей и адресами и для инцидентов, которые нужно держать в тайне. Скорость и качество зависят от вашего оборудования и запущенной модели. Сначала проверьте её на безобидных тестовых логах.
Встроенная модель
Встроенную модель стоит попробовать, когда под рукой нет эндпоинта и ключа. Качество разное. Проверяйте её вывод так же, как у любой другой модели, и соблюдайте правила своей организации по персональным данным, прежде чем давать ей копии чувствительных логов.
Проверьте эндпоинт кнопкой Test
Кнопка Test проверяет эндпоинт, прежде чем вы начнёте на него полагаться. Она показывает время ответа и контекстное окно, а оно говорит, сколько текста логов помещается в один запрос. Проверяйте заново после изменений. Маленькое окно значит, что агенту стоит давать файлы поменьше или по одной папке за раз.
Как выбрать модель для поиска по логам
Берите более крупную модель для шагов, где нужна оценка, например для сопоставления совпадений из нескольких файлов логов или составления заметки с находками, и более мелкую для узких правок вроде восстановления «defanged» текста в iocs.txt. run_on_model передаёт один сложный шаг более крупной модели, а остальная задача остаётся на модели по умолчанию. Сочетайте их.
Качество у разных моделей разное. Сами проверяйте каждый diff и каждый результат поиска и включайте Ask first, когда пробуете новую модель, чтобы каждое изменение ждало вашего OK. Чистый результат никогда не доказывает, что система чистая.
