Greenlight Financial 如何在 Amazon Bedrock AgentCore 上构建自主 SOC 方案

Greenlight Financial 为家庭提供借记卡、储蓄工具及 Family Hub、Pet Tracker 等联网设备，其安全运营中心每月接收 3000–4000 起安全与风险告警，来源包括暗网泄露卡、身份与访问异常、基础设施告警和金融风险事件。单起暗网泄露卡告警需人工核对卡状态、去重、查看会话数据与工单，耗时 15–30 分钟，按此规模人力难以支撑。 Greenlight 在 Amazon Bedrock AgentCore 上构建了名为 Luna 的分层多智能体系统。Tier 1 supervisor 运行于 Amazon VPC 内的 AgentCore runtime，通过 ZIP 文件与 Amazon S3 直接部署代码，负责高频分诊，编排身份与访问、终端检测、可观测性、资产清单、数据分析、支付处理、客户体验、客户支持、代码仓库、项目跟踪、威胁情报与 SOAR 自动化等 30 多个专用智能体。案件通过 Amazon API Gateway 暴露的 Luna Queue API 与 MCP 端点，以及 Tines SOAR 进入系统，常规案件分诊中位时间为个位数秒。 超出 Tier 1 置信度阈值的约 10% 案件升级至 Tier 2 supervisor，后者使用具备扩展推理能力的基础模型，通过 boto3 调用专用智能体，跨 3–5 个数据源链式推理并生成带证据链的调查报告。Tier 2 通过 Amazon EventBridge 速率触发器和 Amazon SNS 队列完成事件批量处理升级案件，也支持紧急按需调用。不同角色有三个入口：Tines SOAR 自动告警接入、面向安全/风险/ProdOps 工程师的直接 API，以及供值班工程师使用的 Claude Desktop 扩展。 记忆层基于 AgentCore memory，是 Luna 区别于无状态分诊工具的关键。30 天滚动窗口的情景记忆存储近期事件与处置结果，例如某基础设施角色每周二凌晨 3 点的维护访问模式在首次处置后即被自动加入允许列表；长期记忆则持久化语义偏好与处置模板，如某暗网来源卡片 73% 的误报率。案例学习流水线由 AWS Lambda 从 Tines 事件捕获处置结果，DynamoDB 存储模式并对相似案件去重，同一案件以相同方式解决三次即记为确认模式，再经 Lambda 消化为 supervisor 推理时可用的上下文。该闭环将自主解决率从 83% 提升至 90% 以上。 SOC 部署后两个月内，Greenlight 将 Luna 扩展至金融风险分诊，仅新增专用智能体与风险域 supervisor，架构改动极小。暗网泄露卡工作流中，Luna 从 Mastercard 与内部情报源摄取卡号，查询 Galileo 验证归属与状态，经 DynamoDB 去重，再交叉查询 Mixpanel 会话异常、Zendesk 工单与内部欺诈评分，按风险等级记录监控、标记复核或带证据链升级人工。Greenlight 每日收到数百起泄露卡通知，Luna 数秒内完成处理。 效果方面，自主解决率从全人工的 0% 提升至仅 Tier 1 的 83%，Tier 1 加 Tier 2 后超过 90%；人工升级比例从 100% 降至 17%，再降至 10% 以下。按每月 4000 起、每起 15–30 分钟估算，原本需约 1000–2000 分析师小时，Luna 每月避免约 900–1800 小时的常规人工工作。Greenlight 总结的经验包括：从边界清晰的领域起步再横向扩展、让分层结构映射人工团队、以及让记忆层持续复利增值。